Hozzájárulás vagy jogos érdek: így döntsön

Az ágazatban két tábor van. Az egyik azt mondja: aki csak cégeket ismer fel, annak nincs szüksége hozzájárulásra, a jogos érdek elég. A másik azt mondja: a cookie-banneren adott hozzájárulás nélkül semmi sem fut. Mindkét oldalnak részben igaza van, mert különböző rétegekről beszélnek. Ez a cikk szétválasztja a rétegeket, és a végén öt kérdést ad a kezébe.

Higgadt besorolás, nem jogi tanácsadás. A konkrét beállítására vonatkozó döntés az adatvédelmi tanácsadójához tartozik.

Ami előzetesen érvényes: a végberendezéshez való hozzáférés

Mielőtt a GDPR-ről lenne szó, egy másik kérdés merül fel: hozzáfér-e a szkript a látogató eszközéhez? Az ePrivacy-irányelv (5. cikk (3) bekezdés) az információk végberendezésen történő tárolásához és az ilyen információk kiolvasásához alapvetően hozzájárulást ír elő. Kivétel az, ami a felhasználó által kifejezetten kért szolgáltatáshoz műszakilag szükséges.

Ezt Németországban a § 25 TDDDG (a német Telekommunikáció-Digitális Szolgáltatások Adatvédelmi Törvény), Ausztriában a § 165 Abs. 3 TKG 2021 ülteti át. Mindkét szabály attól függetlenül érvényes, hogy a végén keletkeznek-e személyes adatok. A hozzáférés maga a döntő.

Ez többet érint, mint a sütiket:

• A böngésző munkamenet-tárolójába (sessionStorage) írt bejegyzés a végberendezésen történő tárolás.
• A képernyőméret és a böngésző nyelvének kiolvasása a végberendezésből származó információk kiolvasása, még ha minden egyes adat ártalmatlannak is tűnik.
• A kattintások és az egérmozgások rögzítése amúgy sem olyasmi, amire a látogatónak az oldal megjelenítéséhez szüksége volna.

A német felügyeleti hatóságok ebben szigorú vonalat képviselnek: az elérésmérés és a statisztika általában nem számít műszakilag szükségesnek. Aki olyan szkriptet alkalmaz, amely ilyen hozzáféréseket végez, annak ezért szükséges hozzájárulásból kell kiindulnia. Ez nem ízlés kérdése, hanem az az előfeltétel, amely nélkül a többi el sem érhető.

A GDPR 6. cikk (1) bekezdés a) pontja az f) ponttal szemben

Csak ezután jön a kérdés, hogy a GDPR melyik jogalapjára támaszkodik az ezt követő feldolgozás, amennyiben személyes adatokat érint.

Hogy egy IP-cím egyáltalán személyes adat-e, azt az IP-cím és GDPR: személyes adat-e? tisztázza. Hogy a két vizsgálati lépés hogyan függ össze, azt a Látogatóazonosítás és GDPR: higgadt besorolás mutatja.

Hozzájárulás (a pont). Önkéntesnek, tájékozottnak, konkrétnak és egyértelműnek kell lennie. Bármikor visszavonható. Ehhez a jogi helyzet világos, amint a banner tisztán van felépítve.

Jogos érdek (f pont). Itt három dolgot vizsgál: van-e jogos érdek (például B2B értékesítés előkészítése)? Szükséges-e ehhez a feldolgozás? És nem élveznek-e elsőbbséget az érintett személyek érdekei vagy alapvető jogai? A (47) preambulumbekezdés az érintettek észszerű elvárásait nevezi meg mércének. A közvetlen üzletszerzés ugyanezen preambulumbekezdés szerint lehet jogos érdek.

Ehhez társul a 21. cikk szerinti tiltakozási jog: az érintettek tiltakozhatnak az f) pontra alapozott feldolgozás ellen. Ezt a gyakorlatban lehetővé kell tennie. A 13. és 14. cikk szerinti tájékoztatási kötelezettségek is mindkét esetben érvényesek.

Miért nehezítik a viselkedési adatok a mérlegelést

A cégek hozzárendelése önmagában a mérlegeléshez gyakran még jól megindokolható: az információ szűkös. A cél világos. Nehezebbé válik, amint viselkedés is társul hozzá. Hogy valaki mely oldalakat olvas, mennyi ideig görget és hol kattint, sokat elárul egy személyről, még ha csak egy cég látogatójaként jelenik is meg. Egy egérvideó még többet mutat. Minél finomabb a megfigyelés, annál kevésbé számítanak rá a látogatók. Ennek megfelelően nehéz megindokolni az Ön érdekének elsőbbségét.

Ehhez gyakorlati probléma is társul: még ha meg is nyerhetné a mérlegelést, ez nem segít, amíg fennáll az eszközhöz való hozzáférés hozzájárulási kötelezettsége. A hozzájárulás ilyenkor amúgy is megvan. Sok minden amellett szól, hogy a feldolgozás jogalapjaként is azt használja, ahelyett hogy két jogalapot tartana fenn egymás mellett.

A gyakorlati út: statisztika kategória, a szkript csak utána

A megoldás, amely a gyakorlatban a leggyakrabban működik, egyszerű:

1. A bannernek van egy saját kategóriája, többnyire „Statisztika” vagy „Elemzés”.
2. A látogatóazonosító szkript csak azután töltődik be, hogy a látogató hozzájárult ehhez a kategóriához.
3. Hozzájárulás nélkül nincs hozzáférés az eszközhöz, és nincs kérés a szolgáltatáshoz.

Technikailag ez a Tag Manageren keresztül megy a Consent Mode-dal, vagy a banner hozzájárulás-kezelésén keresztül. Útmutatót erre a súgóban talál A hozzájárulás a Tag Managerben alatt. A Whovisit például olyan címkesablont szállít, amely megvárja a megadott statisztikai hozzájárulást, mielőtt betölti a szkriptet. Hogy az út megálljon, a bannernek viszont ténylegesen le kell képeznie a kategóriát, és tisztán továbbítania kell a döntést a Tag Managernek.

A Google Analytics is általában ugyanazon kategória mögött fut. Hogy az Analytics mit árul el a cégekről, és mit nem, azt a Cégek felismerése a Google Analyticsszel: mi megy és mi nem írja le.

Svájc: opt-out logika

Svájcban a kiindulási helyzet más. A távközlési törvény (Fernmeldegesetz, 45c. cikk) előírja, hogy a felhasználókat tájékoztatni kell az eszközükön lévő adatok feldolgozásáról, és el is utasíthatják azt. Tehát tiltakozási megoldás az előzetes hozzájárulás helyett. A módosított adatvédelmi törvény (2023. szeptember 1. óta) alapvetően szintén az átláthatósággal és a tiltakozási lehetőséggel dolgozik, nem általános hozzájárulási kötelezettséggel.

Ha ugyanazon az oldalon svájci és EU-s látogatói is vannak, az EU-s látogatókra ennek ellenére a szigorúbb jog érvényes. A gyakorlatban ez azt jelenti: az egységes, hozzájárulást kérő banner többnyire a legegyszerűbb út, azért is, mert a látogatókat nem tudja biztosan ország szerint szétválasztani.

Az Ön döntési útja öt kérdésben

1. Hozzáfér a szkript az eszközhöz? (Tárolás vagy kiolvasás, a munkamenet-tár, a képernyőméret, a nyelv is.) Ha igen, DE és AT esetén általában hozzájárulásra van szüksége. Tovább a 2. kérdéshez.
2. Műszakilag szükséges-e a hozzáférés az oldal kívánt megjelenítéséhez? Statisztikánál és látogatóazonosításnál szinte mindig nem.
3. Van-e a bannerben a célhoz illő kategória? Ha nincs, igazítsa ki, mielőtt beépíti a szkriptet.
4. Valóban csak a hozzájárulás után töltődik be a szkript? Ellenőrizze a böngésző hálózat-fülén: a hozzájárulás előtt nem mehet kérés a szolgáltatáshoz.
5. Teljes-e a tájékoztatás az adatvédelmi tájékoztatóban? Van-e út a visszavonáshoz? Cél, jogalap, címzettek, tárolási idő.

Ha az 1. kérdésre nemmel válaszol, az f) pontról gondolkodhat. Ez az eszközhöz hozzáférő eljárásoknál a gyakorlatban ritka.

Források

• 2002/58/EK irányelv (ePrivacy), 5. cikk (3) bekezdés
• GDPR, 6. cikk (1) bekezdés, 13., 14., 21. cikk, valamint a (47) preambulumbekezdés
• § 25 TDDDG (Németország), § 165 Abs. 3 TKG 2021 (Ausztria)
• Fernmeldegesetz 45c. cikk (Svájc), adatvédelmi törvény (Svájc) a 2023. szeptember 1-jei változatban
• Az adatvédelmi konferencia (Datenschutzkonferenz) iránymutatása a telemédia-szolgáltatók számára (aktuális változat)