Cookies v Rakúsku: § 165 TKG 2021 vysvetlený

V Rakúsku neexistuje vlastný paragraf o cookies v zákone o ochrane údajov. Pravidlo stojí v telekomunikačnom zákone 2021 (TKG 2021) a preto ľahko prepadne sitom. Tento článok vysvetľuje, čo vyžaduje § 165 Abs. 3 TKG 2021, aké výnimky platia a ako predpis spolupôsobí s GDPR.

Čo stojí v zákone

Text § 165 Abs. 3 TKG 2021 je v právnom informačnom systéme spolku. Obsahuje dve povinnosti pre poskytovateľa služby informačnej spoločnosti, teda aj pre prevádzkovateľov webov:

1. Informácia. Musíte používateľa informovať, aké osobné údaje spracúvate, na akom právnom základe, na aké účely a ako dlho sa údaje ukladajú.
2. Súhlas. Zisťovanie týchto údajov je prípustné, len ak používateľ udelil súhlas aktívne a na základe jasných a úplných informácií.

Predpis preberá čl. 5 ods. 3 smernice o e-privacy. Pre firmy v Nemecku platí paralelné pravidlo v § 25 TDDDG.

Ktorá technika pod to patrí?

Text zákona cookies neuvádza. Úrad na ochranu údajov (DSB) vykladá predpis vo svojich FAQ k cookies široko: Podľa tohto výkladu zahŕňa ukladanie informácií v koncovom zariadení a prístup k nim, nielen cookies. Patria sem podobné techniky ako lokálne úložisko prehliadača.

Existuje aj užší výklad. Vzťahuje znenie („zisťovanie týchto údajov“) na osobné údaje a tým zužuje rozsah pôsobnosti. Pre prax je to riziko, nie bianko šek. Kto sa opiera o úzky výklad, mal by to prediskutovať so svojím poradcom pre ochranu údajov.

Výnimky

Súhlas nie je potrebný, ak

• jediným účelom je uskutočnenie prenosu správy cez komunikačnú sieť, alebo
• je ukladanie alebo prístup bezpodmienečne nutný na to, aby poskytovateľ mohol sprístupniť službu, ktorú používateľ výslovne požaduje.

Oboje je vymedzené úzko. Podľa DSB technicky nevyhnutné cookies súhlas nepotrebujú. Ani smernica, ani TKG 2021 však neposkytujú zoznam, DSB sa opiera o kritériá bývalej pracovnej skupiny podľa článku 29. Sledovacie cookies sem podľa jej názoru nepatria. Typické prípady bez predchádzajúceho súhlasu sú nákupný košík, prihlásenie a uloženie rozhodnutia v banneri. Štatistické a marketingové nástroje pod to spravidla nepatria.

Súhra s GDPR

Platia dva kroky posúdenia vedľa seba, tak ako v zvyšku EÚ:

Úspešný prvý krok druhý nenahrádza. Kto získa súhlas na skript, môže ho často využiť aj ako základ podľa čl. 6 ods. 1 písm. a GDPR. Kedy namiesto toho obstojí oprávnený záujem, je v článku Oprávnený záujem podľa GDPR: 3 kroky posúdenia.

Kto kontroluje a čo hrozí

Podľa FAQ DSB leží presadzovanie pri porušeniach § 165 Abs. 3 TKG 2021 na telekomunikačných orgánoch. DSB môže byť príslušný, ak sa používaním zároveň spracúvajú osobné údaje, napríklad pri vytváraní profilov. Pre porušenia GDPR platia pokuty podľa čl. 83 GDPR.

TKG 2021 samotný predpisuje v § 188 Abs. 4 Z 24 správny trest do 50 000 eur, ak používatelia nie sú v rozpore s § 165 Abs. 3 informovaní. Pre prípad chýbajúceho súhlasu toto ustanovenie vlastný trest neuvádza. To neznamená, že porušenie zostane bez následkov, pretože popri tom platí GDPR.

Kontrolný zoznam pre Rakúsko

1. Zostavte zoznam všetkých skriptov, pixelov a prístupov do úložiska na svojom webe.
2. Roztrieďte na „bezpodmienečne nutné“ a „všetko ostatné“.
3. Všetko ostatné načítajte až po aktívnom súhlase.
4. Informujte vo vyhlásení o ochrane údajov a v banneri o údajoch, základe, účele a dobe ukladania.
5. Ponúknite odmietnutie a odvolanie rovnako jednoducho ako súhlas.

Časté otázky

Platí § 165 Abs. 3 TKG 2021 aj pre nemecké firmy? Závisí to od jednotlivého prípadu, napríklad od toho, kde firma sídli a komu je ponuka určená. Objasnite to so svojím poradcom pre ochranu údajov. V Nemecku platí § 25 TDDDG, v oboch krajinách je prax rovnaká: nepotrebné skripty až po súhlase.

Stačí upozornenie „Používaním súhlasíte“? Nie. Zákon vyžaduje aktívny súhlas. Obyčajné ďalšie používanie stránky nie je aktívny úkon.

Je Švajčiarsko podobne prísne? Nie, tam platí iný model s informovaním a možnosťou odmietnutia. Vysvetľuje to Sledovanie webu vo Švajčiarsku: revDSG a FMG.