Consimțământ sau interes legitim: cum decideți

În domeniu există două tabere. Una spune: cine recunoaște doar firme nu are nevoie de consimțământ, interesul legitim ajunge. Cealaltă spune: fără acord în bannerul de cookie-uri nu merge nimic. Ambele părți au o parte de dreptate, pentru că vorbesc despre straturi diferite. Acest articol separă straturile și vă pune la sfârșit în mână cinci întrebări.

Este o încadrare lucidă și nu consultanță juridică. Pentru configurația dumneavoastră concretă, decizia aparține consultanței dumneavoastră în protecția datelor.

Ce se aplică prealabil: accesul la dispozitivul final

Înainte de GDPR se pune o altă întrebare: accesează scriptul dispozitivul vizitatorului? Directiva ePrivacy (art. 5 alin. 3) cere în principiu un consimțământ pentru stocarea de informații pe dispozitivul final și pentru citirea unor astfel de informații. Se exceptează ceea ce este tehnic necesar pentru serviciul solicitat expres de utilizator.

Aceasta este transpusă în Germania în § 25 TDDDG și în Austria în § 165 Abs. 3 TKG 2021. Ambele reguli se aplică indiferent dacă la final rezultă date cu caracter personal. Decisiv este accesul în sine.

Asta atinge mai mult decât cookie-urile:

• O înregistrare în memoria de sesiune a browserului (sessionStorage) este o stocare pe dispozitivul final.
• Citirea dimensiunii ecranului și a limbii browserului este o citire de informații de pe dispozitivul final, chiar dacă fiecare informație în parte pare inofensivă.
• Înregistrările clicurilor și ale mișcărilor mausului nu sunt oricum ceva de care vizitatorul are nevoie pentru afișarea paginii.

Autoritățile germane de supraveghere susțin în privința asta o linie strictă: măsurarea audienței și statistica nu sunt considerate, de regulă, tehnic necesare. Cine folosește un script care face astfel de accesări ar trebui de aceea să pornească de la un consimțământ necesar. Nu este o chestiune de gust, ci condiția fără de care restul nici nu se mai ajunge.

Art. 6 alin. 1 lit. a față de lit. f

Abia după aceea vine întrebarea pe ce temei juridic din GDPR se sprijină prelucrarea ulterioară, în măsura în care se referă la persoane.

Dacă o adresă IP este deloc dată cu caracter personal lămurește Adresa IP și GDPR: sunt date cu caracter personal?. Cum se leagă ambii pași de verificare arată Recunoașterea vizitatorilor și GDPR: o încadrare lucidă.

Consimțământul (lit. a). Trebuie să fie liber, informat, specific și lipsit de ambiguitate. Poate fi retras oricând. Situația juridică este clară de îndată ce bannerul este construit corect.

Interesul legitim (lit. f). Aici verificați trei lucruri: există un interes legitim (de exemplu inițierea vânzărilor în B2B)? Este prelucrarea necesară pentru el? Și nu prevalează interesele sau drepturile fundamentale ale persoanelor vizate? Considerentul 47 indică drept criteriu așteptările rezonabile ale persoanelor vizate. Marketingul direct poate fi, potrivit aceluiași considerent, un interes legitim.

La acestea se adaugă dreptul de opoziție conform art. 21: persoanele vizate se pot opune prelucrării bazate pe lit. f. Trebuie să faceți acest lucru posibil în practică. Și obligațiile de informare conform art. 13 și 14 se aplică în ambele cazuri.

De ce datele comportamentale îngreunează cântărirea

O atribuire a firmei singură poate fi adesea bine justificată în cântărire: informația este restrânsă. Scopul este clar. Devine mai greu de îndată ce se adaugă comportamentul. Ce pagini citește cineva, cât timp derulează și unde dă clic spune mult despre o persoană, chiar dacă apare doar ca vizitator al unei firme. Un videoclip cu mausul arată și mai mult. Cu cât observația este mai fină, cu atât vizitatorii se așteaptă mai puțin la ea. În consecință, devine greu să justificați prevalența interesului dumneavoastră.

La aceasta se adaugă o problemă practică: chiar dacă ați putea câștiga cântărirea, nu vă ajută la nimic atât timp cât există obligația de consimțământ pentru accesul la dispozitiv. Consimțământul este atunci oricum acolo. Multe argumente vorbesc pentru a-l folosi și ca temei juridic pentru prelucrare, în loc să întrețineți două temeiuri unul lângă altul.

Calea practică: categoria Statistică, scriptul abia după aceea

Soluția care funcționează cel mai des în practică este simplă:

1. Bannerul dumneavoastră are o categorie proprie, de obicei „Statistică” sau „Analiză”.
2. Scriptul de recunoaștere a vizitatorilor se încarcă abia după ce vizitatorul a acceptat această categorie.
3. Fără acord nu are loc niciun acces la dispozitiv și nicio cerere către serviciu.

Tehnic, se poate prin Tag Manager cu Consent Mode sau prin gestionarea consimțământului din banner. O instrucțiune pentru asta găsiți în ajutor la Consimțământul în Tag Manager. Whovisit, de exemplu, furnizează un șablon de tag care așteaptă consimțământul acordat pentru statistică înainte de a încărca scriptul. Pentru ca această cale să fie viabilă, bannerul dumneavoastră trebuie însă să reproducă într-adevăr categoria și să transmită corect decizia către Tag Manager.

Și Google Analytics rulează de regulă în spatele aceleiași categorii. Ce dezvăluie Analytics despre firme și ce nu se află în Recunoașterea firmelor cu Google Analytics: ce merge și ce nu.

Elveția: logica opt-out

În Elveția, situația de pornire este alta. Legea privind telecomunicațiile (art. 45c) cere ca utilizatorii să fie informați despre prelucrarea datelor de pe dispozitivul lor și să o poată refuza. Este deci o soluție de opoziție în loc de un consimțământ prealabil. Legea revizuită privind protecția datelor (din 1 septembrie 2023) lucrează în principiu tot cu transparență și posibilitate de opoziție, în loc de o obligație generală de consimțământ.

Dacă aveți pe aceeași pagină vizitatori din Elveția și din UE, pentru vizitatorii din UE se aplică totuși dreptul mai strict. Practic asta înseamnă: un banner unitar cu consimțământ este de obicei calea cea mai simplă, și pentru că nu puteți separa sigur vizitatorii pe țări.

Calea dumneavoastră de decizie în cinci întrebări

1. Accesează scriptul dispozitivul? (Stocare sau citire, inclusiv memorie de sesiune, dimensiunea ecranului, limba.) Dacă da, pentru DE și AT aveți de regulă nevoie de consimțământ. Mai departe la întrebarea 2.
2. Este accesul tehnic necesar pentru afișarea dorită a paginii? La statistică și recunoașterea vizitatorilor, aproape întotdeauna nu.
3. Are bannerul dumneavoastră o categorie care se potrivește scopului? Dacă nu, adaptați înainte de a integra scriptul.
4. Se încarcă scriptul cu adevărat abia după acord? Verificați în fila de rețea a browserului: înainte de acord nu are voie să plece nicio cerere către serviciu.
5. Este informarea din politica de confidențialitate completă? Există o cale de retragere? Scop, temei juridic, destinatari, durata stocării.

Dacă la întrebarea 1 răspundeți cu nu, vă puteți gândi la lit. f. Asta este în practică rar în cazul procedurilor cu acces la dispozitivul final.

Surse

• Directiva 2002/58/CE (ePrivacy), art. 5 alin. 3
• GDPR, art. 6 alin. 1, art. 13, 14, 21 precum și considerentul 47
• § 25 TDDDG (Germania), § 165 Abs. 3 TKG 2021 (Austria)
• Art. 45c Legea privind telecomunicațiile (Elveția), Legea privind protecția datelor (Elveția) în versiunea din 1 septembrie 2023
• Orientierungshilfe a Conferinței pentru protecția datelor pentru furnizorii de telemedia (versiunea actuală)