Privolitev ali zakoniti interes: kako se odločite

V panogi obstajata dva tabora. Prvi pravi: Kdor prepoznava samo podjetja, ne potrebuje privolitve, zakoniti interes zadošča. Drugi pravi: Brez soglasja v pasici za piškotke ne gre nič. Obe strani imata delno prav, ker govorita o različnih plasteh. Ta članek loči plasti in vam na koncu da v roke pet vprašanj.

Je trezna umestitev in ni pravno svetovanje. Za vašo konkretno postavitev spada odločitev k vašemu svetovalcu za varstvo podatkov.

Kaj velja predhodno: dostop do končne naprave

Preden gre za GDPR, se postavi drugo vprašanje: Ali skripta dostopa do naprave obiskovalca? Direktiva o e-zasebnosti (čl. 5 odst. 3) za shranjevanje informacij v končni napravi in za branje takih informacij načeloma zahteva privolitev. Izvzeto je tisto, kar je tehnično nujno za storitev, ki jo uporabnik izrecno želi.

Uresničeno je to v Nemčiji v § 25 TDDDG in v Avstriji v § 165 Abs. 3 TKG 2021. Obe pravili veljata neodvisno od tega, ali na koncu nastanejo osebni podatki. Odločilen je sam dostop.

To zadeva več kot piškotke:

• Vnos v pomnilnik seje brskalnika (sessionStorage) je shranjevanje v končni napravi.
• Branje velikosti zaslona in jezika brskalnika je branje informacij iz končne naprave, tudi če je vsaka posamezna navedba videti neškodljiva.
• Zapisi klikov in gibov miške tako ali tako niso nekaj, kar obiskovalec potrebuje za prikaz strani.

Nemški nadzorni organi zastopajo strogo linijo: merjenje dosega in statistika praviloma ne veljata za tehnično nujna. Kdor uporablja skripto, ki izvaja take dostope, naj zato izhaja iz potrebne privolitve. To ni vprašanje okusa, temveč predpostavka, brez katere ostalega sploh ne dosežete.

Čl. 6 odst. 1 točka a proti točki f

Šele nato pride vprašanje, na katero pravno podlago GDPR se opira nadaljnja obdelava, kolikor je osebna.

Ali je naslov IP sploh osebni podatek, pojasnjuje članek Naslov IP in GDPR: ali je osebni podatek?. Kako sta oba koraka preverjanja povezana, kaže članek Prepoznavanje obiskovalcev in GDPR: trezna umestitev.

Privolitev (točka a). Biti mora prostovoljna, informirana, določna in nedvoumna. Kadar koli jo je mogoče preklicati. Pravno stanje je jasno, brž ko je pasica čisto zgrajena.

Zakoniti interes (točka f). Tu preverjate tri stvari: Ali obstaja zakoniti interes (na primer vzpostavitev prodaje v B2B)? Ali je obdelava za to potrebna? In ali ne prevladajo interesi ali temeljne pravice posameznikov? Uvodna izjava 47 kot merilo navaja razumna pričakovanja posameznikov. Neposredno trženje je lahko po isti uvodni izjavi zakoniti interes.

Poleg tega velja pravica do ugovora po čl. 21: posamezniki lahko obdelavi na podlagi točke f ugovarjajo. To morate narediti praktično mogoče. Tudi obveznosti obveščanja po čl. 13 in 14 veljajo v obeh primerih.

Zakaj podatki o vedenju otežijo tehtanje

Dodelitev podjetja sama je za tehtanje pogosto še dobro utemeljljiva: informacija je skopa. Namen je jasen. Težje postane, brž ko se doda vedenje. Katere strani nekdo bere, kako dolgo drsi in kje klika, o osebi pove veliko, tudi če se pojavlja samo kot obiskovalec podjetja. Video miške pokaže še več. Čim natančnejše je opazovanje, tem manj ga obiskovalci pričakujejo. Temu primerno težko je utemeljiti prevlado vašega interesa.

Poleg tega je praktična težava: tudi če bi tehtanje lahko dobili, vam to ne pomaga, dokler obstaja obveznost privolitve za dostop do naprave. Privolitev je potem tako ali tako tu. Marsikaj govori za to, da jo uporabite tudi kot pravno podlago za obdelavo, namesto da vzdržujete dve podlagi vzporedno.

Praktična pot: kategorija statistika, skripta šele potem

Rešitev, ki v praksi najpogosteje deluje, je preprosta:

1. Vaša pasica ima lastno kategorijo, običajno „Statistika“ ali „Analiza“.
2. Skripta za prepoznavanje obiskovalcev se naloži šele, ko je obiskovalec tej kategoriji soglašal.
3. Brez soglasja ni dostopa do naprave in ne zahteve do storitve.

Tehnično to gre prek vašega Tag Managerja s Consent Mode ali prek upravljanja privolitev vaše pasice. Navodilo za to najdete v pomoči pod Privolitev v Tag Manager. Whovisit na primer dostavlja predlogo oznake, ki počaka na dano privolitev za statistiko, preden naloži skripto. Da pot nosi, mora vaša pasica kategorijo tudi resnično prikazati in odločitev čisto posredovati Tag Managerju.

Tudi Google Analytics praviloma teče za isto kategorijo. Kaj Analytics izda o podjetjih in kaj ne, piše v članku Prepoznavanje podjetij z Google Analytics: kaj gre in kaj ne.

Švica: logika opt-out

V Švici je izhodišče drugačno. Zakon o telekomunikacijah (čl. 45c) zahteva, da so uporabniki obveščeni o obdelavi podatkov na svoji napravi in jo lahko zavrnejo. Gre torej za rešitev z ugovorom namesto vnaprejšnje privolitve. Revidirani zakon o varstvu podatkov (od 1. septembra 2023) načeloma prav tako dela s preglednostjo in možnostjo ugovora namesto z splošno obveznostjo privolitve.

Če imate na isti strani obiskovalce iz Švice in iz EU, za obiskovalce iz EU kljub temu velja strožje pravo. V praksi to pomeni: enotna pasica s privolitvijo je običajno najlažja pot, tudi ker obiskovalcev ne morete zanesljivo ločiti po državah.

Vaša pot odločanja v petih vprašanjih

1. Ali skripta dostopa do naprave? (Shranjevanje ali branje, tudi pomnilnik seje, velikost zaslona, jezik.) Če da, za DE in AT praviloma potrebujete privolitev. Naprej pri vprašanju 2.
2. Ali je dostop tehnično nujen za želeni prikaz strani? Pri statistiki in prepoznavanju obiskovalcev skoraj vedno ne.
3. Ali ima vaša pasica kategorijo, ki ustreza namenu? Če ne, prilagodite, preden vgradite skripto.
4. Ali se skripta resnično naloži šele po soglasju? Preverite v zavihku omrežja svojega brskalnika: pred soglasjem ne sme iti nobena zahteva do storitve.
5. Ali je informacija v izjavi o varstvu podatkov popolna? Ali obstaja pot do preklica? Namen, pravna podlaga, prejemniki, čas shranjevanja.

Če pri vprašanju 1 odgovorite z ne, lahko razmišljate o točki f. To je pri postopkih z dostopom do končne naprave v praksi redko.

Viri

• Direktiva 2002/58/ES (e-zasebnost), čl. 5 odst. 3
• GDPR, čl. 6 odst. 1, čl. 13, 14, 21 ter uvodna izjava 47
• § 25 TDDDG (Nemčija), § 165 Abs. 3 TKG 2021 (Avstrija)
• Čl. 45c zakona o telekomunikacijah (Švica), zakon o varstvu podatkov (Švica) v različici z dne 1. septembra 2023
• Navodilo konference nemških organov za varstvo podatkov za ponudnike telemedijev (aktualna različica)