Mida küpsisereeglite jõustamine veebisaitide omanikele õpetab

Küpsisereeglite jõustamisel karistatakse ikka ja jälle samade vigade eest: „keeldu“ tehakse raskemaks kui „nõustu“, eelnevalt märgitud märkeruute või sirvimise jätkamist käsitletakse nõusolekuna ja jälgijad laaditakse enne, kui keegi on valiku teinud. Kõige selgemad õppetunnid pärinevad Euroopa Liidu Kohtu Planet49 otsusest ja Prantsusmaa 2021. aasta trahvidest Google’ile ja Facebookile. Paranda need mustrid ja kontrolli oma saiti nii, nagu seda teeks järelevalveasutus.

Mis juhtus CNIL-i Google’i ja Facebooki otsustes?

2021. aasta detsembris määras Prantsusmaa andmekaitseasutus CNIL Google’ile 150 miljoni euro ja Facebookile 60 miljoni euro suuruse trahvi. Peamine järeldus oli lihtne: nende saitidel sai küpsistega nõustuda ühe klõpsuga, kuid keeldumiseks oli vaja mitu klõpsu.

CNIL põhjendas, et selline asümmeetria suunas inimesi nõustuma, mistõttu kogutud nõusolek ei olnud vabatahtlik. Kedagi ei sunnitud nõustuma, kuid vähima vastupanu tee viis jah-vastuseni ja sellest piisas. Järelevalveasutus kohustas mõlemat ettevõtet pakkuma ka küpsistest keeldumise võimalust, mis oleks sama lihtne kui nõustumine.

Otsused näitasid ka, et küpsisereeglitel on oma jõustamistee. CNIL tegutses e-privaatsuse direktiivi üle võtva Prantsuse seaduse alusel, mitte isikuandmete kaitse üldmääruse (IKÜM, GDPR) piiriülese menetluse kaudu, seega ei pidanud ta juhtumit teise riigi juhtivale järelevalveasutusele üle andma.

Õppetund: lisa esimesele kihile keeldumisvalik, mis on sama silmapaistev kui nõustumisvalik. Meie juhend küpsisebännerite pimedatest mustritest käsitleb seotud disainivõtteid, mida järelevalveasutused otsivad.

Mida Planet49 otsus lõplikult selgitas?

Planet49 kohtuasjas (C-673/17, 2019) otsustas Euroopa Liidu Kohus, et eelnevalt märgitud märkeruut ei anna küpsistele kehtivat nõusolekut. Külastaja peab ise aktiivselt tegutsema.

Kohtuasi puudutas veebipõhist reklaamloosimist, kus küpsiseid lubav märkeruut oli vaikimisi märgitud. Kohus leidis, et nõusolek eeldab aktiivset käitumist, mistõttu vaikeseade muutmata jätmisest ei piisa. Samuti kinnitas kohus, et nõusolekunõue kehtib seadmesse salvestatud teabe kohta sõltumata sellest, kas see on isikuandmed, ning et kasutajatele tuleb öelda, kui kaua küpsised toimivad ja kas kolmandad osapooled pääsevad neile ligi.

Õppetund: hoia iga mittehädavajalik kategooria algselt välja lülitatuna ja veendu, et sinu bänner või seadete paneel selgitab küpsiste eluiga ja kolmandate osapoolte juurdepääsu.

Milliseid vigu järelevalveasutused ikka ja jälle leiavad?

Samad paar probleemi korduvad pidevalt. Enamikku neist näeb igaüks, kes avab brauseri arendajatööriistad.

Levinud viga	Miks see nõuetele ei vasta	Mida teha selle asemel
Esimesel kihil puudub keeldumisnupp	Keeldumine on raskem kui nõustumine, seega ei ole nõusolek vabatahtlik	Näita nõustumise ja keeldumise nuppu kõrvuti ja võrdselt silmapaistvalt
Eelnevalt märgitud märkeruudud või sisse lülitatud lülitid	Ei ole aktiivne ja ühemõtteline valik	Hoia iga mittehädavajalik kategooria algselt välja lülitatuna
Jälgijad käivituvad lehe laadimisel	Nõusolekut ei küsita enne juurdepääsu	Blokeeri skriptid, kuni vastav kategooria on lubatud
Teated stiilis „Saiti kasutades nõustud“	Sirvimise jätkamine ei ole kinnitav tegevus	Nõua nõustumiseks selgesõnalist klõpsu
Küpsiseid seatakse ka pärast keeldumist	Valik salvestatakse, kuid seda ei jõustata	Testi keeldumise teed iga lehemalli puhul
Aegunud küpsiste nimekirjad	Nõusolek ei ole piisavalt teadlik	Skanni uuesti ja uuenda poliitikat, kui märgendid muutuvad
Puudub lihtne viis nõusolek tagasi võtta	Tagasivõtmine peab olema sama lihtne kui nõustumine	Hoia alati kättesaadaval linki, mis seaded uuesti avab

Kolmas ja viies rida väärivad erilist tähelepanu. Hästi kujundatud bänner ei kaitse sind, kui selle taga olevad skriptid vastust eiravad. Meie juhend kolmandate osapoolte skriptide blokeerimisest kuni nõusolekuni käsitleb tehnilist poolt.

Miks võtavad riiklikud järelevalveasutused küpsiste suhtes nii sageli meetmeid?

Küpsiserikkumisi on lihtne kontrollida, nende kohta on lihtne kaevata ja neid saab jõustada kohapeal. See kombinatsioon teeb neist sagedase sihtmärgi.

Kuna e-privaatsuse reeglid on üle võetud siseriiklikku õigusesse, saab järelevalveasutus tavaliselt võtta meetmeid iga saidi suhtes, mis teenindab tema riigi inimesi, ilma IKÜM-i piiriülese koordineerimiseta. Meie selgitus teemal e-privaatsuse direktiiv vs. IKÜM kirjeldab, miks neid kaht korda jõustatakse erinevalt.

Paljud menetlused algavad kasutajate või privaatsuse huvikaitseorganisatsioonide kaebustest ja mõni neist organisatsioonidest on esitanud nõuetele mittevastavate bänneritega saitide vastu kaebusi suurte kogumitena. Järelevalveasutused korraldavad ka oma kontrollkampaaniaid ja vastavusalgatusi. Tõendeid on lihtne koguda: piisab bänneri ekraanipildist ja nimekirjast päringutest, mis saadeti enne valiku tegemist.

Karistused sõltuvad menetlusteest. IKÜM-i artikli 83 lõike 5 järgi võib kõige raskemate rikkumiste eest määrata trahvi kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem. Siseriiklike e-privaatsuse seaduste alusel määratavad karistused järgivad iga riigi enda reegleid. Mõlemal juhul võivad järelevalveasutused nõuda ka muudatusi, mõnikord kindla tähtajaga.

Kuidas kontrollida oma saiti nii, nagu teeks seda järelevalveasutus?

Ava oma sait esmakülastajana, pane kirja, mis juhtub enne ühtegi klõpsu, ja testi seejärel iga valikut, mida bänner pakub. Põhikontroll mahub ühe tööpäeva sisse.

1. Alusta puhtalt lehelt. Ava privaatne brauseriaken ja arendajatööriistades vahekaardid Network ja Application (või Storage).
2. Laadi olulised lehed ilma midagi tegemata. Kontrolli avalehte, sisulehte ning ostu vormistamise või registreerumise lehte ja pane kirja iga küpsis, kohaliku salvestusruumi kirje ja kolmanda osapoole päring.
3. Märgi ära kõik mittehädavajalik. Analüütika-, reklaami- või sotsiaalmeediapäringud selles etapis on probleem.
4. Loe klõpsud kokku. Võrdle, kui palju vaeva nõuab kõigega nõustumine ja kui palju kõigest keeldumine.
5. Keeldu ja sirvi. Keeldu kõigest, seejärel liigu lehtede vahel ja laadi neid uuesti. Uusi mittehädavajalikke küpsiseid ega päringuid ei tohiks tekkida.
6. Nõustu ühe kategooriaga. Luba näiteks ainult analüütika ja veendu, et laaditakse ainult analüütikamärgendid.
7. Võta nõusolek tagasi. Ava seaded uuesti, tühista nõusolek ja veendu, et asjaomased märgendid peatuvad.
8. Võrdle ja leia üles. Kontrolli, kas sinu küpsisepoliitika vastab sellele, mida täheldasid, ja kas leiad üles oma testkülastuse nõusolekukirje.

Kõigest, mida sinu sait seab, täieliku ülevaate saamiseks järgi meie juhendit küpsiste auditi läbiviimise kohta.

Kokkuvõte

Jõustamispraktika on erakordselt järjekindel: järelevalveasutused karistavad asümmeetriliste valikute, vaikimisi sisse lülitatud nõusoleku ja külastaja vastust eiravate jälgijate eest. Ühtki neist pole raske avastada, mistõttu need otsustes ikka ja jälle esile kerkivad. Sellised tööriistad nagu Cookiesh suudavad küpsiseid automaatselt skannida ja pidada räsiahelaga kaitstud nõusolekulogisid, kuid kõige kasulikum esimene samm on oma bänneri käsitsi testimine ülaltoodud kontrollnimekirja abil.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.