Teisė · 2026 m. lapkričio 7 d. · 4 min. skaitymo
§ 25 TDDDG: slapukai ir sekimas Vokietijoje
§ 25 TDDDG (anksčiau TTDSG) reglamentuoja slapukus ir scenarijus: kada reikia sutikimo, kokios išimtys galioja ir ką tai reiškia analizės įrankiams.
Kas Vokietijoje valdo svetainę, slapukų temoje susiduria su § 25 TDDDG. Ši nuostata kasdienybėje dar dažnai vadinama „TTDSG straipsniu“ ir yra priežastis, kodėl egzistuoja slapukų bannerių. Šis straipsnis paaiškina, ką jis reguliuoja, kada galioja, kokios yra išimtys ir ką tai reiškia analizės bei rinkodaros scenarijams.
Iš TTDSG tapo TDDDG
Taisyklė galioja nuo 2021 m. gruodžio 1 d. ir iš pradžių buvo Telekomunikacijų ir telemedijų duomenų apsaugos įstatyme (TTDSG). Nuo 2024 m. gegužės 14 d. įstatymas vadinasi Telekomunikacijų ir skaitmeninių paslaugų duomenų apsaugos įstatymas (TDDDG), vokiškai Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. § 25 turinio pervadinimas nepakeitė. Įstatymą rasite gesetze-im-internet.de.
Ko reikalauja § 25 1 dalis
Pagal formuluotę informacijos saugojimas galinėje naudotojo įrangoje arba prieiga prie jau joje išsaugotos informacijos leidžiama tik tada, kai galutinis naudotojas sutiko remdamasis aiškia ir išsamia informacija. Informavimas ir sutikimas turi vykti pagal BDAR.
Svarbūs trys dalykai:
- Kalbama apie įrenginį, o ne apie asmens duomenis. Taisyklė galioja ir tada, kai pabaigoje asmens duomenų neatsiranda. Teisinis pagrindas vėlesniam tvarkymui yra antras klausimas. Kaip abu tikrinimo žingsniai susiję, aprašyta straipsnyje Lankytojų atpažinimas ir BDAR: blaivus vertinimas.
- Kalbama apie daugiau nei slapukus. Ir naršyklės vietinė saugykla (localStorage, sessionStorage) yra saugojimas galinėje įrangoje. Įrenginio informacijos nuskaitymas scenarijumi gali būti prieiga.
- Sutikimas turi būti aktyvus. ETT dėl slapukų tai nusprendė jau 2019 m. Iš anksto pažymėtas langelis nepakanka (ETT, C-673/17, Planet49).
2 dalies išimtys
Sutikimo nereikia dviem atvejais:
- Žinutės perdavimas (1 punktas). Vienintelis tikslas yra žinutės perdavimas viešuoju telekomunikacijų tinklu.
- Būtinai reikalinga (2 punktas). Saugojimas ar prieiga yra būtinai reikalinga, kad teikėjas galėtų pateikti naudotojo aiškiai pageidaujamą skaitmeninę paslaugą.
Antroji išimtis aiškinama siaurai. Duomenų apsaugos konferencija, Vokietijos priežiūros institucijų susivienijimas, savo Telemedijų orientavimo rekomendacijose surinko pavyzdžių. Paprastai be išankstinio sutikimo leidžiama tai, ko pačiai svetainei reikia veikimui, pavyzdžiui, krepšelis, prisijungimas ar slapukų sprendimo išsaugojimas. Interesų pusiausvyra pagal BDAR 6 straipsnio 1 dalies f punktą iš sekimo scenarijaus nepadaro būtinai reikalingos funkcijos. Aprėpties matavimo ir statistikos institucijos paprastai čia nelaiko. Tai priežiūros linija, teismas atskiru atveju gali spręsti kitaip.
Pasekmės analizės ir rinkodaros scenarijams
Praktikai išplaukia paprasta nykščio taisyklė: kai tik scenarijus naršyklėje kažką padeda arba iš naršyklės nuskaito, kas nėra būtina puslapiui rodyti, anksčiau reikia sutikimo.
| Įrankis | Prieiga prie įrenginio? | Sutikimas pagal § 25 |
|---|---|---|
| Šriftai ir paveikslai iš savo serverio | Ne | Nereikalingas |
| Krepšelio slapukas | Taip, bet būtina | Nereikalingas (2 punktas) |
| Žiniatinklio analizė su slapuku ar įrenginio identifikatoriumi | Taip | Paprastai reikalingas |
| Reklamos ir retargeting pikseliai | Taip | Reikalingas |
| Šilumos žemėlapiai ir pelės įrašymas | Taip | Paprastai reikalingas |
Techniškai tai reiškia: scenarijus gali įsikelti tik lankytojui sutikus su atitinkama kategorija. Baneris, kuris tik informuoja, bet scenarijus vis tiek iškart įkelia, taisyklės neatitinka. Kaip tai atrodo diegiant per žymų tvarkyklę, aprašo pagalba apie sutikimą žymų tvarkyklėje. Apie pelės vaizdo įrašus daugiau skaitykite Session Replay ir duomenų apsauga: kaip teisingai naudoti pelės vaizdo įrašus.
Kas gresia pažeidus
Kas priešingai § 25 1 dalies 1 sakiniui saugo ar prieina, pagal § 28 1 dalies 13 punktą TDDDG daro administracinį nusižengimą. Bauda pagal § 28 2 dalį gali siekti iki 300 000 eurų. Papildomai tvarkymas pagal BDAR gali turėti savų pasekmių. Tai kontroliuoja duomenų apsaugos priežiūros institucijos.
Kaip tai tvarko Austrija ir Šveicarija
Taisyklė kilusi iš e. privatumo direktyvos (5 straipsnio 3 dalis). Austrija ją perkelia § 165 Abs. 3 TKG 2021, daugiau apie tai Slapukai Austrijoje: § 165 TKG 2021. Šveicarija eina kitu keliu, apie tai galima paskaityti Svetainių sekimas Šveicarijoje: revDSG ir FMG.
Dažniausiai užduodami klausimai
Ar § 25 TDDDG galioja ir serverio žurnalams? Ne, ne tam, ką serveris ir šiaip gauna puslapio užklausos metu. Nuostata taikoma saugojimui įrenginyje ir prieigai prie ten išsaugotų duomenų. Ar IP adresas užklausos metu patenka į BDAR, yra atskiras klausimas, kurį nagrinėja IP adresas ir BDAR: ar jis yra asmens duomuo?.
Ar man reikia sutikimo vien aprėpties matavimui? Pagal Vokietijos priežiūros institucijų nuomonę paprastai taip, jei tuo metu prieinama prie įrenginio. Aprėpties matavimas nelaikomas būtinai reikalingu.
Ar pakanka sutrumpinti slapuko galiojimą? Ne. Galiojimo laikas nekeičia klausimo, ar saugoma arba nuskaitoma. Lemia prieigos tikslas.
