Zgoda czy uzasadniony interes: jak zdecydować

W branży istnieją dwa obozy. Jeden mówi: kto rozpoznaje tylko firmy, nie potrzebuje zgody, wystarczy uzasadniony interes. Drugi mówi: bez zgody w banerze cookie nic nie ruszy. Obie strony mają po części rację, ponieważ mówią o różnych warstwach. Artykuł rozdziela te warstwy i na końcu daje pięć pytań.

Jest to rzeczowa ocena, a nie porada prawna. W Państwa konkretnej konfiguracji decyzja należy do doradcy ds. ochrony danych.

Co obowiązuje wcześniej: dostęp do urządzenia końcowego

Zanim dojdzie do RODO, pojawia się inne pytanie: czy skrypt uzyskuje dostęp do urządzenia odwiedzającego? Dyrektywa o prywatności i łączności elektronicznej (art. 5 ust. 3) wymaga co do zasady zgody na zapisywanie informacji na urządzeniu końcowym i odczytywanie takich informacji. Wyjątkiem jest to, co jest technicznie niezbędne dla usługi wyraźnie żądanej przez użytkownika.

W Niemczech wdrożono to w § 25 TDDDG, a w Austrii w § 165 ust. 3 TKG 2021. Oba przepisy obowiązują niezależnie od tego, czy ostatecznie powstają dane osobowe. Decydujący jest sam dostęp.

Dotyczy to więcej niż plików cookie:

• Wpis w pamięci sesji przeglądarki (sessionStorage) jest zapisem na urządzeniu końcowym.
• Odczyt rozmiaru ekranu i języka przeglądarki jest odczytem informacji z urządzenia końcowego, nawet jeśli każda pojedyncza informacja wydaje się niewinna.
• Nagrania kliknięć i ruchów myszy nie są w żadnym razie czymś, czego odwiedzający potrzebuje do wyświetlenia strony.

Niemieckie organy nadzorcze reprezentują w tej sprawie surową linię: pomiar zasięgu i statystyka z reguły nie uchodzą za technicznie niezbędne. Kto stosuje skrypt wykonujący takie dostępy, powinien więc wychodzić z założenia, że zgoda jest wymagana. To nie kwestia gustu, lecz warunek, bez którego reszta w ogóle nie zostaje osiągnięta.

Art. 6 ust. 1 lit. a wobec lit. f

Dopiero potem pojawia się pytanie, na jaką podstawę prawną z RODO opiera się późniejsze przetwarzanie, o ile dotyczy ono danych osobowych.

Czy adres IP w ogóle jest daną osobową, wyjaśnia artykuł Adres IP a RODO: czy jest daną osobową?. Jak oba kroki oceny się łączą, pokazuje artykuł Rozpoznawanie odwiedzających a RODO: rzeczowa ocena.

Zgoda (lit. a). Musi być dobrowolna, świadoma, konkretna i jednoznaczna. Można ją wycofać w każdej chwili. Sytuacja prawna jest tu jasna, gdy tylko baner jest prawidłowo zbudowany.

Uzasadniony interes (lit. f). Tu bada się trzy rzeczy: czy istnieje uzasadniony interes (na przykład nawiązanie sprzedaży w B2B)? Czy przetwarzanie jest do tego niezbędne? I czy nie przeważają interesy lub prawa podstawowe osób, których dane dotyczą? Motyw 47 wskazuje jako miarę rozsądne oczekiwania tych osób. Marketing bezpośredni może według tego samego motywu być uzasadnionym interesem.

Dochodzi do tego prawo sprzeciwu z art. 21: osoby, których dane dotyczą, mogą wnieść sprzeciw wobec przetwarzania opartego na lit. f. Muszą Państwo uczynić to praktycznie możliwym. Obowiązki informacyjne z art. 13 i 14 obowiązują w obu przypadkach.

Dlaczego dane o zachowaniu utrudniają wyważenie

Samo przypisanie firmy jest przy wyważeniu często jeszcze dobrze uzasadnialne: informacja jest skąpa. Cel jest jasny. Trudniej robi się, gdy dochodzi zachowanie. To, jakie strony ktoś czyta, jak długo przewija i gdzie klika, wiele mówi o osobie, nawet jeśli pojawia się ona tylko jako odwiedzający z firmy. Nagranie ruchu myszy pokazuje jeszcze więcej. Im drobniejsza obserwacja, tym mniej odwiedzający się jej spodziewają. W związku z tym tym trudniej uzasadnić przewagę Państwa interesu.

Dochodzi do tego problem praktyczny: nawet gdyby udało się wygrać wyważenie, nic to nie daje, dopóki istnieje obowiązek zgody na dostęp do urządzenia. Zgoda i tak jest wtedy dostępna. Wiele przemawia za tym, by wykorzystać ją także jako podstawę prawną przetwarzania, zamiast prowadzić obok siebie dwie podstawy.

Droga praktyczna: kategoria statystyki, skrypt dopiero potem

Rozwiązanie, które w praktyce działa najczęściej, jest proste:

1. Baner ma własną kategorię, zwykle „Statystyka” lub „Analityka”.
2. Skrypt rozpoznawania odwiedzających ładuje się dopiero po tym, jak odwiedzający zaakceptował tę kategorię.
3. Bez zgody nie następuje dostęp do urządzenia ani zapytanie do usługi.

Technicznie robi się to przez Tag Manager z Consent Mode lub przez zarządzanie zgodami w banerze. Instrukcję znajdą Państwo w pomocy w artykule Zgoda w Tag Managerze. Whovisit dostarcza na przykład szablon tagu, który czeka na udzieloną zgodę na statystykę, zanim załaduje skrypt. Aby ta droga była wiarygodna, baner musi jednak naprawdę odwzorowywać kategorię i prawidłowo przekazywać decyzję do Tag Managera.

Także Google Analytics działa z reguły za tą samą kategorią. Co Analytics zdradza o firmach, a czego nie, wyjaśnia artykuł Rozpoznawanie firm w Google Analytics: co jest możliwe, a co nie.

Szwajcaria: logika opt-out

W Szwajcarii punkt wyjścia jest inny. Ustawa o telekomunikacji (art. 45c) wymaga, aby użytkownicy byli informowani o przetwarzaniu danych na ich urządzeniu i mogli je odrzucić. Jest to więc rozwiązanie oparte na sprzeciwie zamiast uprzedniej zgody. Zrewidowana ustawa o ochronie danych (od 1 września 2023) również co do zasady opiera się na przejrzystości i możliwości sprzeciwu zamiast na ogólnym obowiązku zgody.

Jeśli na tej samej stronie mają Państwo odwiedzających ze Szwajcarii i z UE, dla odwiedzających z UE i tak obowiązuje surowsze prawo. W praktyce oznacza to: jednolity baner ze zgodą jest zwykle najprostszą drogą, także dlatego, że odwiedzających nie da się pewnie rozdzielić według kraju.

Droga decyzji w pięciu pytaniach

1. Czy skrypt uzyskuje dostęp do urządzenia? (Zapis lub odczyt, także pamięć sesji, rozmiar ekranu, język.) Jeśli tak, dla DE i AT potrzebna jest z reguły zgoda. Dalej do pytania 2.
2. Czy dostęp jest technicznie niezbędny do żądanego wyświetlenia strony? Przy statystyce i rozpoznawaniu odwiedzających prawie zawsze nie.
3. Czy baner ma kategorię pasującą do celu? Jeśli nie, dostosować, zanim zostanie wbudowany skrypt.
4. Czy skrypt naprawdę ładuje się dopiero po zgodzie? Sprawdzić w zakładce sieci przeglądarki: przed zgodą żadne zapytanie do usługi nie może wyjść.
5. Czy informacja w polityce prywatności jest kompletna? Czy istnieje droga wycofania zgody? Cel, podstawa prawna, odbiorcy, czas przechowywania.

Jeśli na pytanie 1 odpowiedzą Państwo „nie”, można zastanowić się nad lit. f. W procedurach z dostępem do urządzenia końcowego jest to w praktyce rzadkie.

Źródła

• Dyrektywa 2002/58/WE (o prywatności i łączności elektronicznej), art. 5 ust. 3
• RODO, art. 6 ust. 1, art. 13, 14, 21 oraz motyw 47
• § 25 TDDDG (Niemcy), § 165 ust. 3 TKG 2021 (Austria)
• Art. 45c ustawy o telekomunikacji (Szwajcaria), ustawa o ochronie danych (Szwajcaria) w wersji z 1 września 2023
• Wytyczne Konferencji Ochrony Danych dla dostawców telemediów (wersja aktualna)