Kas küpsiste puhul saab tugineda õigustatud huvile?

Üldjuhul mitte. EL-is nõuab e-privaatsuse direktiiv nõusolekut enne mittehädavajalike küpsiste salvestamist või lugemist ega paku õigustatud huvi alternatiivi. Õigustatud huvi on isikuandmete kaitse üldmääruse (IKÜM, GDPR) kohane õiguslik alus isikuandmete töötlemiseks, seega võib see olla oluline rangelt vajaliku küpsise kaudu töödeldavate andmete puhul, kuid üksi ei saa see õigustada analüütika- ega reklaamiküpsiseid.

Miks ei saa õigustatud huvi küpsiste nõusolekut asendada?

Sest küpsiseid reguleeriv reegel ei ole IKÜM-is. See on e-privaatsuse direktiivi artikli 5 lõige 3, mis lubab teavet seadmesse salvestada või sealt lugeda ainult nõusolekul või kahe kitsa erandi alusel, ja õigustatud huvi nende hulka ei kuulu.

Segadus on mõistetav. IKÜM-i artikkel 6 loetleb kuus isikuandmete töötlemise õiguslikku alust: nõusolek, leping, juriidiline kohustus, eluliste huvide kaitse, avalik ülesanne ja õigustatud huvid. Kuna küpsistega on sageli seotud isikuandmed, on ahvatlev arutleda, et sobib ükskõik milline neist kuuest.

Viga peitub selles, et seadmele juurdepääsu puhul on e-privaatsuse reegel eriseadus ja see kehtib ka siis, kui isikuandmeid üldse ei töödelda. Seega vastab küsimusele „kas ma tohin selle küpsise seada?“ üksnes e-privaatsuse õigus. IKÜM-i õiguslikud alused tulevad mängu alles selle puhul, mida sa isikuandmetega hiljem teed. Meie selgitus teemal e-privaatsuse direktiiv vs. IKÜM käib selle kaheastmelise loogika läbi.

Mis on õigustatud huvi IKÜM-i järgi?

Artikli 6 lõike 1 punktis f sätestatud õigustatud huvi lubab töötlemist, mis on vajalik sinu või kolmanda isiku õigustatud huvide huvides, välja arvatud juhul, kui need huvid kaaluvad üles inimese huvid või põhiõigused. See on paindlik alus, kuid sellega kaasnevad tõsised kohustused.

Sellele tuginemiseks pead läbima kolmeosalise testi, mis vormistatakse tavaliselt õigustatud huvi hindamisena:

• Eesmärk. Kas huvi on õiguspärane, selgelt määratletud ja seaduslik?
• Vajalikkus. Kas töötlemine on selle eesmärgi jaoks tõesti vajalik või on selle saavutamiseks vähem sekkuv viis?
• Kaalumine. Kas inimese õigused ja mõistlikud ootused kaaluvad sinu huvi üles?

Inimestel on üldjuhul õigus esitada õigustatud huvil põhineva töötlemise suhtes vastuväide ja sa pead neid sellest teavitama. Reklaami eesmärgil varjatud saitideülest jälgimist on kaalumise tulemusel raske õigustada, sest enamik inimesi seda ei oota.

Kus saab õigustatud huvi küpsiste puhul siiski kohaldada?

Seda saab kohaldada isikuandmetele, mida töödeldakse nõusolekunõudest vabastatud küpsiste kaudu, ning töötlemisele, mis ei hõlma seadmele juurdepääsu üldse. Mittehädavajalikel eesmärkidel seadmele juurdepääsu ennast see katta ei saa.

Olukord	Salvestamine seadmesse või sealt lugemine (e-privaatsus)	Andmete hilisem töötlemine (IKÜM)
Sisselogimisseansi küpsis	Vabastatud kui rangelt vajalik	Tavaliselt leping; võimalik ka õigustatud huvi
Koormuse jaotamise küpsis	Vabastatud kui rangelt vajalik	Levinud on õigustatud huvi
Soovitud teenuse turvalisus- ja pettusekontrollid	Sageli vabastatud, kui rangelt vajalik; kontrolli kohalikke juhiseid	Levinud on õigustatud huvi
Analüütikaküpsised	Nõusolek, kui ei kehti kitsas siseriiklik erand	Nõusolek on kindel vaikevalik
Reklaam ja uuesti sihtimine	Nõusolek	Praktikas nõusolek
Serveripoolne analüüs ilma seadmele juurdepääsuta	Üldjuhul ei rakendu; kontrolli, kuidas andmeid kogutakse	Õigustatud huvi võib olla võimalik

Ülemised read eeldavad, et küpsis on tõepoolest rangelt vajalik, ja meie rangelt vajalike küpsiste juhend selgitab, kus see piir jookseb. Viimane rida on paljude küpsisevaba analüütika lahenduste aluseks, kuigi „küpsisevaba“ ei tähenda automaatselt „nõusolekuvaba“.

Üks kindel reegel tuleb EL-i järelevalveasutuste tööd koordineerivalt Euroopa Andmekaitsenõukogult (EDPB): õiguslikku alust ei saa tagantjärele vahetada. Kui küsisid nõusolekut ja külastaja keeldus või võttis selle hiljem tagasi, ei saa sa sama töötlemist õigustatud huvi alusel jätkata.

Kuidas muutis IAB TCF 2.2 õigustatud huvi kasutamist?

IAB Europe’i läbipaistvuse ja nõusoleku raamistiku (Transparency & Consent Framework, TCF) 2023. aastal avaldatud versioon 2.2 kaotas õigustatud huvi lubatud alusena reklaami ja sisu isikupärastamise eesmärkide jaoks. Sellega suleti kõige levinum viis, kuidas õigustatud huvi küpsisebänneritesse jõudis.

TCF on valdkonna standard, mida paljud väljaandjad ja reklaamitehnoloogia pakkujad kasutavad nõusolekuvalikute kogumiseks ja nende edastamiseks mööda reklaami tarneahelat. Enne versiooni 2.2 oli paljudel bänneritel eraldi vahekaart „Õigustatud huvi“, kus olid loetletud vaikimisi sisse lülitatud teenusepakkujad ja eesmärgid koos vastuväite esitamise võimalusega, mille leidsid üles vähesed külastajad.

TCF v2.2 järgi vajavad eesmärgid 3–6 (profiilide loomine isikupärastatud reklaami jaoks, profiilide kasutamine isikupärastatud reklaamide valimiseks, profiilide loomine sisu isikupärastamiseks ja profiilide kasutamine isikupärastatud sisu valimiseks) nõusolekut. Eesmärk 1, teabe salvestamine seadmesse või sellele juurdepääs, nõudis nõusolekut juba varem. Mõne mõõtmise ja tootearenduse eesmärgi puhul saab raamistiku sees endiselt õigustatud huvile tugineda, kuid see ei muuda seda, mida e-privaatsuse direktiiv küpsiste endi kohta nõuab.

Versioon 2.2 nõuab ka, et teenusepakkujate arv oleks näidatud bänneri esimesel kihil. Meie juhend IAB TCF 2.2 kohta käsitleb ülejäänud muudatusi.

Kuidas käsitleda õigustatud huvi oma nõusolekulahenduses?

Hoia nõusolekupõhised küpsised ja õigustatud huvil põhinev töötlemine selgelt lahus ning ära kunagi kasuta õigustatud huvi varuvariandina, kui nõusolek puudub. Aitab lihtne protsess:

1. Seo iga küpsis ja jälgija eesmärgiga. Arvesta ka märgendihaldurite ja pistikprogrammide kaudu laaditavaid märgendeid.
2. Vasta kõigepealt e-privaatsuse küsimusele. Otsusta iga elemendi puhul, kas see on rangelt vajalik või vajab nõusolekut. Kolmandat võimalust ei ole.
3. Vali järgnevale töötlemisele IKÜM-i kohane alus. Dokumenteeri see ja koosta õigustatud huvi hindamine kõikjal, kus sellele alusele tugined.
4. Selgita õigustatud huvil põhinevat töötlemist lihtsalt. Kirjelda seda oma privaatsusteates ja paku lihtsat viisi vastuväite esitamiseks, mitte teisele kihile peidetud eelnevalt sisse lülitatud lüliteid.
5. Austa keeldumist kõigi aluste puhul. Kui külastaja keeldub analüütikast, lõpeta analüütikaandmete töötlemine, mitte ainult küpsise kasutamine.
6. Vaata üle, kui teenusepakkujad muutuvad. Uutel tööriistadel on sageli omad eeldused õiguslike aluste kohta, mis ei pruugi sinu omadega kattuda.

Kokkuvõte

Õigustatud huvi on päris IKÜM-i kohane õiguslik alus, kuid küpsiste puhul toimib see ainult pärast e-privaatsuse küsimuse lahendamist, mitte kunagi selle asemel. Kui küpsis ei ole rangelt vajalik, küsi nõusolekut. Kui on, võid järgneva töötlemise puhul kaaluda õigustatud huvi, mida toetab dokumenteeritud hindamine. Sellised tööriistad nagu Cookiesh suudavad hoida analüütika- ja turundusskripte kinni kuni nõusolekuni ning lasta samal ajal vajalikel skriptidel töötada, mis hoiab selle piiri ka praktikas selge.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.