UK GDPR ja PECR: küpsiste reeglid Ühendkuningriigis

Ühendkuningriigis reguleerivad küpsiseid kaks koos toimivat õigusakti. Privaatsuse ja elektroonilise side määrus (Privacy and Electronic Communications Regulations, PECR) nõuab enne seadmesse teabe salvestamist või sellele juurdepääsu nõusolekut, välja arvatud juhul, kui kehtib erand, ning Ühendkuningriigi isikuandmete kaitse üldmäärus (UK GDPR) määratleb, milline on kehtiv nõusolek. Mõlema täitmist jälgib Ühendkuningriigi andmekaitseasutus Information Commissioner’s Office (ICO) ning hiljutised reformid lisavad uusi erandeid, mida tasub tähelepanelikult jälgida.

Kuidas UK GDPR ja PECR omavahel seostuvad?

PECR kehtestab küpsiste reegli ja UK GDPR nõusoleku standardi. Kui küpsis või sarnane tehnoloogia hõlmab ka isikuandmeid, kohalduvad lisaks UK GDPR-i laiemad põhimõtted, näiteks läbipaistvus ja võimalikult väheste andmete kogumine.

PECR on ELi e-privaatsuse direktiivi Ühendkuningriigi ülevõtmise akt. Selle küpsiste reegel (regulation 6) ütleb, et enne kasutaja seadmesse teabe salvestamist või sellele juurdepääsu pead andma selget ja põhjalikku teavet ning saama nõusoleku, välja arvatud juhul, kui kehtib erand. Nagu ELi direktiivi artikli 5 lõige 3, hõlmab see nii küpsiseid kui ka sarnaseid tehnoloogiaid, näiteks kohalikku salvestusruumi (local storage), jälgimispiksleid ja seadme sõrmejälje tuvastamist (device fingerprinting).

UK GDPR on ELi isikuandmete kaitse üldmääruse (IKÜM, GDPR) versioon, mis jäeti pärast Brexitit Ühendkuningriigi õigusesse, ja see kehtib koos andmekaitseseadusega Data Protection Act 2018. See määratleb nõusoleku kui vabatahtliku, konkreetse, teadliku ja ühemõttelise tahteavalduse, mida väljendatakse selge kinnitava toiminguga. Sama seose kohta ELis loe artiklit e-privaatsuse direktiiv vs. IKÜM.

Millised küpsised vajavad Ühendkuningriigis nõusolekut?

Pikalt kehtinud reeglite kohaselt vajab kõik, mis ei ole rangelt vajalik, eelnevat aktiivset nõusolekut (opt-in). See hõlmab analüütika-, reklaami- ja sotsiaalmeediaküpsiseid ning enamikku personaliseerimisküpsistest.

Traditsioonilised erandid on kitsad:

• Side edastamise erand: salvestamine või juurdepääs, mida kasutatakse üksnes side edastamiseks võrgu kaudu.
• Range vajalikkuse erand: salvestamine või juurdepääs, mis on rangelt vajalik kasutaja selgesõnaliselt soovitud teenuse osutamiseks, näiteks ostukorvi-, sisselogimisseansi- või turvaküpsis.

ICO on analüütikat pikalt käsitlenud mitte rangelt vajalikuna, ükskõik kui väärtuslikuks ettevõte seda peab. Piirjuhtumite kohta loe artiklit mida loetakse rangelt vajalikuks küpsiseks.

Mis muutus seadusega Data (Use and Access) Act 2025?

Seadus Data (Use and Access) Act 2025 muudab nii PECR-i kui ka UK GDPR-i ning selle küpsistega seotud muudatused on aastate olulisimad. Selle sätteid jõustatakse siiski etapiviisiliselt, seega kontrolli enne bänneri muutmist ICO kehtivaid juhiseid.

Vastuvõetud kujul loob seadus nõusolekunõudest uued erandid teatud madalama riskiga eesmärkidele, näiteks osale analüütikast, mida kasutatakse veebisaidi või teenuse parandamiseks, ning funktsioonidele, mis jätavad meelde, kuidas kasutaja soovib saidi välimust või toimimist. Kui need erandid kohalduvad, pead üldjuhul siiski inimestele selgelt ütlema, mida teed, ning andma neile lihtsa ja tasuta võimaluse esitada vastuväide. Seaduse eesmärk on ka viia PECR-i karistused UK GDPR-i tasemele.

Kuni üksikasjad selginevad, tasub silmas pidada kolme praktilist ettevaatusabinõu:

1. Reklaam vajab endiselt nõusolekut. Uued erandid on suunatud madalama riskiga eesmärkidele, mitte sihitud reklaamile ega saitideülesele jälgimisele.
2. Kolmandate osapoolte tööriistu tuleb hoolikalt kontrollida. Sinu enda teenuse parandamisega seotud erand ei pruugi hõlmata teenusepakkujat, kes kasutab andmeid ka oma eesmärkidel.
3. ELi külastajaid see ei mõjuta. Kui teenindad ka ELis olevaid inimesi, nõuavad ELi reeglid analüütika jaoks endiselt üldjuhul nõusolekut, seega võib vaja minna piirkonnapõhist käitumist.

Enne uuele erandile tuginemist vii läbi küpsiste audit, et teaksid täpselt, millised küpsised selle alla kuuluksid.

Mida ootab ICO küpsisebänneritelt?

ICO ootab tegelikku valikut: keeldumine peab olema sama lihtne kui nõustumine, mittevajalikud küpsised ei tohi laadida enne nõusolekut ja teave peab olema selge. ICO on avalikult survestanud suuri veebisaite parandama bännereid, mis sellele standardile ei vastanud.

Ühendkuningriigi nõuetele vastav bänner peaks:

1. Pakkuma valikut „Keeldu kõigist“ sama silmapaistvalt ja sama arvu klõpsudega kui valikut „Nõustu kõigiga“.
2. Vältima eelnevalt märgitud kaste, vaikimisi sisse lülitatud lüliteid ja kasutustingimustesse põimitud nõusolekut.
3. Mitte kunagi käsitlema kerimist ega sirvimise jätkamist nõusolekuna.
4. Blokeerima mittevajalikud küpsised, kuni kasutaja on nõusoleku andnud.
5. Võimaldama nõusolekut hiljem lihtsalt muuta või tagasi võtta.
6. Selgitama eesmärke ja kolmandaid osapooli lihtsas keeles ning andma üksikasjad küpsiste poliitikas.

Disainivõtted, mis suunavad inimesi nõustuma, on järelevalveasutuste korduv fookus. Meie juhend küpsisebännerite manipuleerivate disainimustrite kohta loetleb mustrid, mida vältida.

Kuidas erinevad Ühendkuningriigi reeglid ELi omadest?

Ühendkuningriigi ja ELi küpsiste reeglid on endiselt tihedalt kooskõlas, kuid hakkavad lahknema. Kasuta seda tabelit kiireks orienteerumiseks, mitte õigusliku kaardina.

	EL	Ühendkuningriik
Küpsiste reegel	E-privaatsuse direktiivi art 5 lg 3 riiklike seaduste kaudu	PECR, regulation 6
Nõusoleku standard	IKÜM	UK GDPR
Järelevalveasutus	Riiklikud andmekaitseasutused	ICO
Analüütikaküpsised	Nõusolek on üldjuhul nõutav, kitsaste riiklike eranditega	Uued erandid osale analüütikast, sõltuvalt jõustumisest ja ICO juhistest
Reklaamiküpsised	Nõusolek on nõutav	Nõusolek on nõutav
IKÜM-i maksimaalne trahv	20 mln eurot või 4% ülemaailmsest aastakäibest	17,5 mln naela või 4% ülemaailmsest aastakäibest

Kokkuvõte

Ühendkuningriigi külastajate jaoks ehita lahendus, mis nõuab kõige mittevajaliku puhul aktiivset nõusolekut, muuda keeldumine sama lihtsaks kui nõustumine ja jälgi, kuidas seaduse Data (Use and Access) Act 2025 küpsistega seotud muudatused jõustuvad. Kontrolli enne mis tahes nõusolekunõude leevendamist ICO uusimaid juhiseid ja pea meeles, et ELi külastajad vajavad endiselt ELi tasemele vastavat nõusolekut. Sellised tööriistad nagu Cookiesh saavad automatiseerida küpsiste skannimise ja pidada võltsimiskindlaid nõusolekulogisid, et saaksid ICO-le näidata, mida sinu sait teeb ja mida külastajad valisid.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.