Obveznosti glede piškotkov so enake za vse upravljavce v EU
+ -
Sporočilo za javnost
Odziv Informacijskega pooblaščenca na nekatere zavajajoče navedbe glede zakonodaje o piškotkih, ki naj bi bila v Sloveniji strožja kot drugje v EU
Informacijski pooblaščenec je v zadnjem času v medijih ter na spletu zasledil številne navedbe glede zakonodaje o piškotkih, ki so netočne in zavajajoče, predvsem glede domnevne strogosti pravil v Sloveniji, v nasprotju z drugimi državami članicami EU. Ker so različni komentarji in splošne kritike za bralce zavajajoči, v sporočilu za javnosti predstavljamo objektivna dejstva in okoliščine v zvezi z zakonodajo o piškotkih z namenom pomagati bralcem pri oblikovanju lastnega mnenja. Avtorje netočnih in zavajajočih navedb pozivamo, da jih ustrezno popravijo, saj je vztrajanje pri njih izjemno nekorektno.
Katere napake so naredili (in pri njih vztrajajo) kritiki zakonske ureditve o piškotkih:
1. Napačno navajanje evropske zakonodaje
Informacijski pooblaščenec je zasledil navedbe, da slovenska zakonodaja o piškotkih ne sledi evropski direktivi temveč, da je strožja. Evropska direktiva naj bi zahtevala le nakladno zavrnitev piškotkov (opt-out), medtem ko naj bi slovenska zahtevala privolitev (opt-in).
Direktiva 2002/58/ES, ki je veljala do leta 2009 je pri 5(3). členu o piškotkih res zahtevala le možnost naknadne zavrnitve (opt-out):
Države članice zagotovijo, da je uporaba elektronskih komunikacijskih omrežij z namenom shranjevanja podatkov ali pridobitve dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljena samo pod pogojem, da sta naročnik ali uporabnik jasno in izčrpno obveščena v skladu z Direktivo 95/46/ES, med drugim o namenih obdelave in da mu kontrolor podatkov zagotovi pravico do zavrnitve take obdelave.
Leta 2009 je bila ta direktiva spremenjena z Direktivo 2009/136/ES. Slednja v 2. členu navaja spremembe Direktive 2002/58/ES, in sicer pravi, da se stari 5(3). člen spremeni tako, da se glasi:
Države članice zagotovijo, da je shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, dovoljeno samo pod pogojem, da je zadevni naročnik ali uporabnik v to privolil po tem, ko je bil jasno in izčrpno obveščen v skladu z Direktivo 95/46/ES, med drugim o namenih obdelave. To ne prepreči nobenega tehničnega shranjevanja ali dostopa izključno za namen opravljanja prenosa sporočila prek elektronskega komunikacijskega omrežja, ali, če je nujno potrebno, da ponudnik zagotovi storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata.
Jasno je torej, da je prejšnja Direktiva 2002/58/ES zahtevala naknadno zavrnitev (opt-out), medtem ko je po spremembi z Direktivo 2009/136/ES potrebna privolitev po tem, ko je bil uporabnik o piškotkih seznanjen v skladu s pravili o varstvu osebnih podatkov (opt-in). Slovenska zakonodaja tako predstavlja zelo natančen prenos evropske direktive in nikakor ni strožja kot v drugih državah članicah EU.
2. Zavajanje, da so zahteve pri piškotkih v drugih državah članicah EU popolnoma drugačne in da zahtevajo le obvestilo o piškotkih, ne pa privolitve.
Zavajajoče so trditve, da Informacijski pooblaščenec zagovarja strožje rešitve, kot jih pričakujejo nadzorni organi v drugih državah EU. Informacijski pooblaščenec je zelo aktiven član Delovne skupine iz člena 29 (svetovalno telo Evropske Komisije, v katerem sodelujemo vsi nadzorni organi EU s tega področja), ki je na temo piškotkov izdala že več mnenj1, iz katerih jasno izhaja, da je za piškotke pri vedenjskem oglaševanju in profiliranju uporabnikov potrebna vnaprejšnja privolitev, katere piškotke smatramo kot izjeme, ipd. V nekaterih državah članicah so nadzorni organi že izdali tudi svoje smernice glede piškotkov, v drugih ne2. Izdane dokumente smo upoštevali tudi pri pisanju naših smernic in odgovorov na pogosta vprašanja.
Nadzorni organi pri vprašanju piškotkov tesno sodelujemo in imamo zelo podobna stališča glede veljavne privolitve v piškotke: spletna stran mora uporabnika natančno seznaniti s piškotki, ki so uporabljeni. Potrebna je vnaprejšnja privolitev (in nikakor ne opt-out, kot navajajo nekateri), ki je lahko podana na različne načine, npr. s klikom na gumb ali povezavo, označitvijo potrditvenega polja ali nadaljnjo uporabo spletne strani, t. j. nadaljnjim brskanjem ipd. Nekateri nadaljnje brskanje označujejo kot t. i. domnevno privolitev, pomembno pa se je zavedati, da ta termin v evropski zakonodaji ni določen in je vzniknil pri praktičnih vprašanjih implementacije novih pravil, zato ga lahko v različnih državah članicah različno tolmačimo, to pa ne pomeni, da si različno razlagamo, kdaj je privolitev VELJAVNA, le poimenovanja so lahko različna. Upamo, da bomo na to temo v bližnji prihodnosti izdali tudi skupno mnenje organov v EU.
Seveda je mogoče na tujih (in tudi na slovenskih) spletnih straneh najti različne rešitve, nekatere so skladne z zgoraj opisanim, druge ne. Kar pa ne pomeni, da imajo v drugih državah drugačna pravila, pač pa zgolj to, da pravila spletne strani različno upoštevajo. V tujini boste našli mnogo prehitrih voznikov, pa zaradi tega ne boste rekli, da se sme v Veliki Britaniji ali Franciji voziti 200 km/h, pač pa zgolj to, da prehitrih očitno še niso ujeli. Nadzor nad tistimi, ki zakonodaje ne spoštujejo, je v pristojnosti nadzornih organov iz držav članic. V Sloveniji to pomeni, da nazor izvaja Informacijski pooblaščenec, po uradni dolžnosti, in da ob kršitvah upravljavcu spletne strani najprej naloži, da stanje uskladi z zakonodajo. Če gre za kršitev, Pooblaščenec izvede prekrškovni postopek, v katerem lahko izreče opozorilo ali opomin, če meni, da je glede na okoliščine prekrška to primerno oziroma najnižjo mero predpisane globe (za veliko podjetje je to 1000 evrov).
3. Zavajanje, da je le določena implementacija pravil skladna z zakonom
Zaslediti je navedbe, da naj bi Informacijski pooblaščenec zahteval, da uporabnik ob obisku spletne strani najprej potrdi, da se strinja s piškotki, tako, da klikne na gumb »strinjam se«.
Informacijski pooblaščenec nikdar zahtev zakonodaje ni interpretiral na način, ki bi dopuščal le eno pravilno možnost implementacije. V smernicah pojasnjujemo, da so lahko primerni različni mehanizmi za privolitev, odvisno od invazivnosti piškotkov. Pri sledilnih piškotkih zagovarjamo izrecno privolitev. Prav tako smo pojasnili, da bomo smernice glede na razvoj dogodkov posodabljali. V ta namen smo na spletni strani objavili več mnenj, ki smo jih združili v odgovore na pogosta vprašanja, katera še vedno posodabljamo glede na konkretna vprašanja, ki jih prejmemo. Že pred mesecem smo tako natančneje pojasnili, kaj razumemo kot veljavno privolitev v primeru uporabe bolj invazivnih, torej sledilnih piškotkov3. Pri tem smo upoštevali pomisleke oglaševalcev in njihove strahove pred padcem spletnega prometa ter njihove bojazni pri uporabi lastne analitike.
Veljavna privolitev mora uporabniku ponuditi možnost, da privoli v uporabo piškotkov ali pa jo zavrne. Uporabnik mora svojo izbiro izraziti izrecno, torej aktivno (npr. klikne na gumb ali povezavo, označi potrditveno polje, pošlje e-pošto, se strinja s pogoji storitve ali pa naprej brska oz. klikne na vsebino na spletni strani, ipd.). Kot izrecno privolitev razumemo tudi rešitve, kjer je uporabniku ponujena izbira tako, da strinjanje izrazi s tem, da naprej brska, nestrinjanje pa tako, da klikne na izbiro “ne strinjam se” oziroma na polje/povezavo, kjer lahko spremeni nastavitve piškotkov. Če mu opcija, da označi »ne strinjam se« ali polje/povezava, kjer lahko spremeni vsaj nastavitve piškotkov, ki za delovanje spletne strani niso argumentirano potrebni, ni dana, ne moremo govoriti o izrecni privolitvi. Pomembno je, da je obvestilo o uporabi piškotkov jasno razvidno na spletni strani, da natančno opredeli za kakšne namene se piškotki uporabljajo in da je uporabniku jasno predstavljeno, s kakšnim dejanjem se s piškotki strinja in kako jih lahko zavrne. Ključno je, da je posamezniku na vstopni strani jasno in zelo vidno ponujena resnična in vsebinska izbira med tem, da z aktivnim dejanjem (naj bo to klik na gumb/potrditev polja ali nadaljevanje brskanja) sprejme piškotke oz. jih lahko na vstopni strani zavrne ali preko enostavne povezave spremeni njihovo nastavitev.
Primerov implementacije pravil o piškotkih, kjer uporabnik izrazi strinjanje s tem, da naprej uporablja spletno stran/naprej brska, je v tujini veliko, po vsej verjetnosti največ. Zavajajoči so torej podatki, da naj bi zaradi pravil o piškotkih obiskanost nekaterih spletnih strani v Sloveniji padla praktično na ničlo. Če je implementiran mehanizem, ki je uporabniku prijazen, padec obiskanosti težko pripišemo zakonodaji o piškotkih. Če uporabniki nočejo podati soglasja za piškotke, pa je valiti krivdo na zakonodajo najmanj nesmiselno, če ne tudi napačno. Do uveljavitve zakonodaje je zbiranje podatkov s pomočjo piškotkov potekalo običajnemu uporabniku prikrito, torej brez njegove vednosti. Če soglasja uporabniki sedaj ne podajo, ni bolj upravičeno domnevati, da spraševalcu morda ne zaupajo in bi se ta moral bolj potruditi, ter svojim uporabnikom na prijazen način razložiti, kako mu piškotki lahko koristijo in pridobiti njihovo zaupanje in pristanek? Tako stvari funkcionirajo v realnem življenju, ali ni torej logično, da bi bilo tudi na spletu vsaj podobno?
Za konec pa še o povsem zgrešenih primerjavah z videonadzorom. Glasnik digitalnih tehnologij v republiki Sloveniji Aleš Špetič je v svojem blogu4 zapisal:
»Povsem podoben primer bi bil, če bi pred vhodom v vsako trgovino stal varnostnik s formularjem, na katerem bi se morali najprej strinjati, da z vstopom v trgovino sprejemate tveganja, možnost, da vas posnamejo in podobno. Šele, ko bi formular podpisali, bi vas spustili noter. Verjetno bi obisk prav tako padel čez noč. Tako pa nas danes trgovine obveščajo z nemotečimi, a vidnimi napisi o tem, da kaj počnemo na lastno odgovornost, ali pa da je objekt opremljen s kamerami. In se s tem vsi strinjamo.«
Žal je tako kot pri citiranju napačne direktive tudi tu povsem spregledal različne pravne temelje in prebral (pre)malo zakonov. Pri videonadzoru Zakon o varstvu osebnih podatkov zelo natančno določa, za kakšen namen in v katerih primerih se lahko videonadzorni posnetki uporabijo, predvsem pa določa, kdaj nekdo kamere sploh lahko namesti – zgolj takrat, ko gre za ogrožanje življenj posameznikov in ko gre za varovanje premoženja. Povsem jasno tudi je, kdaj upravljavec lahko posnetke uporabi, oziroma jih pregleduje – zgolj takrat, ko je prizadeta z videonadzorom varovana dobrina in videonadzorni posnetek lahko pomaga ugotoviti, kaj in kako se je zgodilo. Pri videonadzoru se je zakonodajalec odločil, da torej omeji namene uporabe in hkrati zahteva obveščenost posameznikov, ne pa privolitve, takšni primeri pa so zelo redki. Za kakršnokoli drugo uporabo videonadzora pa zakonodaja že zdaj zahteva opt in, torej predhodno privolitev, kot pri piškotkih. Piškotki so leta in leta bili mnogo manj regulirani kot videonadzor in tudi zdaj zakonodajalec ni omejil njihove uporabe, pač pa le zahteva obveščanje posameznika, ki mora imeti nato možnost izbire oz. odločitve. Njihova uporaba do danes ni bila nikoli omejena, videonadzor pa je v Sloveniji že vrsto let natančno reguliran.
Če bi že iskali primerjave, bi pretekli režim obravnave sledilnih piškotkov lahko primerjali kvečjemu s klubom zvestobe, v katerega bi bili takoj včlanjeni, ne da bi nas kdorkoli o tem obvestil ali vprašal. Podatki o naših nakupih bi se torej takoj beležili, izstopili iz kluba ugodnosti pa bi lahko šele naknadno - če bi vedeli, da smo sploh bili vključeni in če bi vedeli, kako sploh izstopiti.
Ni vse tako preprosto, kot želijo prikazati nekateri, v ozadju je zapleten globalni sistem interneta, ki ga moramo poskušati razumeti z dveh strani, s strani tistih, ki ga ustvarjajo, in s strani tistih, ki ga uporabljajo. Brez simbioze in vzajemnega razumevanja in spoštovanja preprosto ne bo šlo.
Nataša Pirc Musar
Informacijska pooblaščenka RS
___________________________________________
1. O izjemah pri piškotkih: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2012/wp194_en.pdf. O vedenjskem oglaševanju: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2010/wp171_en.pdf. O kodeksu EASA/IAB: http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2011/wp188_en.pdf.
2. Npr. Smernice nadzornega organa iz Velike Britanije: http://www.ico.org.uk/for_organisations/privacy_and_electronic_communications/the_guide/cookies. Poročilo o nadzoru iz Velike Britanije: http://www.ico.org.uk/enforcement/action/~/media/documents/library/Privacy_and_electronic/Research_and_reports/%20cookies_enforcement_activity_report.ashx. Smernice danskega nadzornega organa: http://erhvervsstyrelsen.dk/file/253400/cookie-exec-order-guidelines-english-version.pdf. Pojasnila (v angleškem jeziku) in povezava na smernice francoskega nadzornega organa: https://www.privacyassociation.org/publications/ cnil_releases_cookie_guidance.
3. Mnenje je dostopno na: http://bit.ly/13cK9lr. Odgovori so dostopni na: https://www.ip-rs.si/varstvo-osebnih-podatkov/informacijske-tehnologije-in-osebni-podatki/piskotki-odgovori-na-pogosta-vprasanja/#c1248.
4. http://www.alesspetic.si/2013/06/piskotki_20.html.