Kehtiva küpsiste nõusoleku tingimused IKÜM-i järgi

Küpsiste nõusolek kehtib isikuandmete kaitse üldmääruse (IKÜM, GDPR) järgi ainult siis, kui see on vabatahtlik, konkreetne, teadlik ja ühemõtteline ning väljendatud selge kinnitava tegevusega, näiteks klõpsuga nupul „Nõustu“. Samuti pead nõusoleku küsima enne, kui ükski mittehädavajalik küpsis käivitub, tegema keeldumise sama lihtsaks kui nõustumise, laskma inimestel nõusoleku igal ajal tagasi võtta ja suutma tõendada, mida iga inimene valis. Eelnevalt märgitud märkeruudud ja „sirvimist jätkates nõustud“ tüüpi lahendused nõuetele ei vasta.

Kust tulevad kehtiva nõusoleku tingimused?

Need tulenevad IKÜM-i kahest artiklist, mida kohaldatakse küpsistele e-privaatsuse direktiivi kaudu. Artikli 4 punkt 11 määratleb nõusoleku ja artikkel 7 sätestab tingimused, mida pead täitma.

E-privaatsuse direktiiv nõuab mittehädavajalike küpsiste jaoks nõusolekut, kuid laenab nõusoleku määratluse EL-i andmekaitseõigusest, mis tähendab tänapäeval IKÜM-i. Meie selgitus teemal e-privaatsuse direktiiv vs. IKÜM näitab, kuidas see üleandmine toimib.

Kaks muud allikat kujundavad seda, kuidas tingimusi praktikas tõlgendatakse. Euroopa Andmekaitsenõukogu (EDPB), mis koondab EL-i andmekaitse järelevalveasutusi, on avaldanud nõusolekut käsitlevad suunised 05/2020. Euroopa Liidu Kohus aga kohaldas seda standardit otse küpsistele Planet49 kohtuasjas (C-673/17, 2019).

Milline on kehtiva küpsiste nõusoleku kontrollnimekiri?

Kontrolli oma töötavat bännerit ja seadete paneeli nende kümne punkti alusel. Ükskõik millise punkti mittetäitmine võib kogutud nõusoleku kehtivuse kahtluse alla seada.

1. Eelnev. Ükski mittehädavajalik küpsis, piksel ega skript ei käivitu enne, kui külastaja on valiku teinud.
2. Aktiivne. Nõusolek tuleneb teadlikust tegevusest. Eelnevalt märgitud märkeruudud, lehe kerimine, sirvimise jätkamine ja bänneri sulgemine ei loe.
3. Võrdne keeldumine. „Keeldu“ asub samal kihil kui „Nõustu“ ning on võrreldavalt silmapaistev ja nõuab sama vähe vaeva.
4. Granulaarne. Iga eesmärgiga, näiteks eelistuste, analüütika või turundusega, saab eraldi nõustuda või sellest keelduda.
5. Sidumata. Küpsiste nõusolek ei ole peidetud kasutustingimustesse ega uudiskirjaga liitumisse.
6. Teadlik. Külastaja näeb, kes küsib, milliste eesmärkide jaoks, millised kolmandad osapooled on kaasatud ja kui kaua küpsised kehtivad.
7. Selge. Päring on sõnastatud selges ja lihtsas keeles ning teistest küsimustest selgelt eristatav, nagu nõuab artikli 7 lõige 2.
8. Tingimusteta. Juurdepääs sinu sisule ei sõltu mittehädavajalike küpsistega nõustumisest.
9. Tagasivõetav. Artikli 7 lõike 3 järgi saab külastaja oma otsust igal ajal muuta sama lihtsalt, kui ta nõusoleku andis.
10. Tõendatav. Suudad näidata, kes millega, millal ja millise bänneri versiooni kaudu nõustus, nagu nõuab artikli 7 lõige 1.

Järgmised jaotised avavad artikli 4 punkti 11 neli tingimust, mis tekitavad kõige rohkem vaidlusi, ning seejärel tõendite säilitamise poole.

Mida välistab nõue, et nõusolek peab olema vabatahtlik?

Nõusolek ei ole vabatahtlik, kui külastajal pole tegelikku valikut või kui teda keeldumise eest survestataks või karistataks. Küpsisebännerite puhul välistab see kolm levinud mustrit.

Esimene on küpsisesein. EDPB nõusolekusuunistes on võetud seisukoht, et kui veebisaidile juurdepääs tehakse sõltuvaks mittehädavajalike küpsistega nõustumisest, ei ole nõusolek vabatahtlik.

Teine on kokkupakkimine: üks lüliti, mis hõlmab korraga analüütikat, reklaami ja isikupärastamist, või küpsiste nõusolek, mis on seotud sinu tingimustega nõustumisega.

Kolmas on disainisurve. Erkvärviline nupp „Nõustu kõigiga“ kahvatu lingi „Halda seadeid“ kõrval või keeldumistee, mis nõuab mitu lisaklõpsu, tõukavad inimesi jah-vastuse poole. Selliseid lahendusi nimetatakse pimedateks mustriteks (dark patterns) ja meie juhend küpsisebännerite pimedatest mustritest loetleb need, mida järelevalveasutused kõige sagedamini sihikule võtavad.

Kui konkreetne ja teadlik peab nõusolek olema?

Piisavalt konkreetne, et külastaja teaks täpselt, milliste eesmärkidega ta nõustub, ja piisavalt teadlik, et ta mõistaks, kes on kaasatud ja kui kauaks. Ähmased väljendid nagu „sinu kasutuskogemuse parandamiseks“ nõuetele ei vasta.

Anna inimestele vähemalt teada, kes sa oled, iga eesmärk, mille kohta küsid, kaasatud küpsiste kategooriad, millised kolmandad osapooled andmeid saavad ja et nõusoleku saab tagasi võtta. Planet49 otsuses lisas Euroopa Liidu Kohus, et kasutajatele tuleb öelda, kui kaua küpsised aktiivsed on ja kas kolmandad osapooled pääsevad neile ligi.

Hästi toimib kihiline lähenemine. Esimene kiht võtab eesmärgid lihtsas keeles kokku nõustumise ja keeldumise nuppude kõrval, teine kiht aga loetleb iga küpsise, selle pakkuja ja eluea. Hoia see teine kiht täpsena, sest aegunud teenusepakkujate nimekiri jätab külastajad vähem informeerituks, kui nad arvavad.

Mis loetakse ühemõtteliseks kinnitavaks tegevuseks?

Teadlik tegevus, mis saab tähendada ainult jah-vastust, näiteks nõustumisnupul klõpsamine või eesmärgi sisselülitamine ja salvestamine. Kõik, mis tugineb vaikimisele, tegevusetusele või vaikeseadele, nõuetele ei vasta.

Külastaja tegevus	Kas nõusolek kehtib?	Miks
Klõpsab selgel bänneril „Nõustu kõigiga“	Jah	Teadlik ja informeeritud tegevus
Lülitab sisse „Analüütika“ ja salvestab	Jah, ainult analüütika jaoks	Konkreetne valitud eesmärgi suhtes
Jätab eelnevalt märgitud märkeruudu märgituks	Ei	Planet49: eelnevalt märgitud ruudud ei ole nõusolek
Kerib lehte või jätkab sirvimist	Ei	EDPB suuniste järgi ei ole see kinnitav tegevus
Sulgeb bänneri „X“-ikooniga	Ei	Teate sulgemine ei ole nõustumine
Nõustub kasutustingimustega, mis mainivad küpsiseid	Ei	Ei ole konkreetne ega selgelt eristatav

Käsitle kõike peale selgesõnalise jah-vastuse kui olukorda „valikut pole veel tehtud“ ja hoia mittehädavajalikud kategooriad välja lülitatuna, kuni valik on tehtud.

Kuidas nõusolekut tõendada ja tagasivõtmist käsitleda?

Artikli 7 lõige 1 paneb tõendamiskohustuse sulle ja artikli 7 lõige 3 nõuab, et tagasivõtmine oleks sama lihtne kui nõusoleku andmine. Mõlemad tuleb lahendusse algusest peale sisse disainida, mitte lisada alles pärast kaebust.

Kasulik nõusolekukirje sisaldab pseudonüümset nõusoleku ID-d, ajatemplit, valikut iga eesmärgi kohta, kuvatud bänneri ja poliitika versiooni ning rakendatud piirkondlikku reeglistikku. Väldi rohkemate isikuandmete säilitamist, kui tõendamiseks vaja on. Meie juhend nõusoleku tõendamise kirjete kohta näitab, milline näeb välja auditiks valmis logi.

Tagasivõtmiseks hoia alati kättesaadaval jaluse linki või hõljuvat nuppu, mis avab seaded uuesti. Kui keegi nõusoleku tagasi võtab, peata asjaomased skriptid kohe, kustuta sinu seatud mittehädavajalikud küpsised, kui see on tehniliselt võimalik, ja edasta uuendatud valik kõigile teenusepakkujatele, kes nõusolekusignaale saavad.

Kokkuvõte

Kehtiv nõusolek on tingimuste kogum, mis peavad kõik korraga täidetud olema: eelnev, vabatahtlik, konkreetne, teadlik, ühemõtteline, tõendatav ja tagasivõetav. Kontrolli nimekirja oma töötava saidi, mitte disainimaketi põhjal, sest lüngad ilmnevad tavaliselt selles, kuidas märgendid tegelikult käituvad. Sellised tööriistad nagu Cookiesh suudavad märgistatud skripte kuni nõusolekuni blokeerida ja pidada muutmatuid, räsiahelaga kaitstud nõusolekulogisid, mis katab selle kontrollnimekirja mehaanilise osa.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.