Generalni pravobranilec EU je izdal mnenje o soglasju za piškotke in stičišču Direktive o zasebnosti in elektronskih komunikacijah in GDPR

Generalni pravobranilec EU Maciej Szpunar je v nezavezujočem mnenju zapisal, da upravitelj spletne strani ne pridobi veljavnega soglasja, če od uporabnika zahteva, da  "le" prekliče izbiro predhodno označenega polja.

Mnenje vsebuje več ključnih točk o tem, kdaj je soglasje podano prostovoljno skladno z Direktivo o zasebnosti in elektronskih komunikacijah in GDPR ter daje tudi vpogled v to kaj pomeni informirano soglasje.

Gre za primer v zadevi, ki jo Sodišču Evropske Unije predložilo nemško zvezno sodišče (Bundesgerichtshof) z naslednjim dejanskim stanjem:

Nemška zvezna organizacija za potrošnike (Bundesverband der Verbraucherzentralen) v zvezi s postopkom elektronske registracije na loterijo, ki jo organizira Planet49 GmbH toži Planet49. Planet49 ponuja spletno storitev loterije, ki od uporabnikov zahteva registracijo pred sodelovanjem. Obrazec za registracijo zahteva, da uporabniki označijo polje, ki omogoča podjetju Planet49 GmbH, da tako pridobljene podatke posreduje komercialnim partnerjem in sicer opredeli to polje kot pogoj za sodelovanje v loteriji ( ni se bilo mogoče registrirati brez označevanja polja). Drugo vnaprej označeno polje na isti strani je uporabnikom omogočilo, da se izločijo iz uporabe piškotkov (tako, da odkljukajo v naprej označena polje). Odjava od piškotkov je še vedno omogočala uporabnikom, da sodelujejo v loteriji.

Nemško zvezno sodišče je v zvezi s tem postopkom registracije Sodišču EU predložilo naslednja vprašanja:

(1) Ali je vnaprej označeno polje, ki ga mora uporabnik preklicati, da zavrne njegovo soglasje, veljavno soglasje za uporabo piškotkov?

(2) Kaj pomeni „jasne in izčrpne“ informacije o uporabljenih piškotkih in ali to vključuje trajanje delovanja piškotkov in ali imajo tretje osebe neposreden dostop do piškotkov?

Ta vprašanja so bila obravnavana tako v okviru Direktive o zasebnosti in elektronskih komunikacijah kot tudi v zvezi z GDPR.

Mnenje generalnega pravobranilca Szpunarja:

Vprašanje 1

V zvezi s prvim vprašanjem generalni pravobranilec meni, da je pri vprašanjih, ki jih je predložilo nemško zvezno sodišče, bistveno ugotoviti, ali je privolitev dana prostovoljno in informirano. Generalni pravobranilec trdi, da „zahteva, da uporabnik pozitivno razveljavi polje… ne izpolnjuje merila aktivnega soglasja“, ker bi bilo nemogoče objektivno določiti, ali je uporabnik nedvoumno dal soglasje na podlagi prostovoljnega in informiranega in nedvoumnega soglasja. To pa zato, ker je bilo vnaprej oblikovano besedilo poleg polja lahko ali pa tudi ni bilo prebrano in / ali je uporabnik morda izpustil izbrisati polje iz čisto malomarnosti. To nedvoumnost, zatrjuje generalni pravobranilec, pa je mogoče odstraniti le z aktivnim, v nasprotju s pasivnim vedenjem, kot je, na primer, odkljukati nevidno polje.

Poleg tega in po mnenju generalnega pravobranilca še pomembnejša ugotovitev pa je, da soglasje za udeležbo v storitvi loterije in ​​dajanje soglasja za namestitev piškotkov ne moreta biti del istega dejanja. V postopku registracije na loterijo Planet49 mora uporabnik le enkrat klikniti na gumb »sodelovanje«, da sodeluje v loteriji in soglaša z namestitvijo piškotkov. Generalni pravobranilec meni, da to ni v skladu s pojmom prostovoljno in ločeno soglasje. Po njegovem mnenju je treba soglasje za ti dve dejanji predstaviti ločeno (čeprav enakopravno). Poleg tega generalni pravobranilec trdi, da čeprav udeležba v loteriji ni bila pogojena z dajanjem soglasja za namestitev piškotkov in dostopom do njih, uporabnik o tem ni bil nikoli obveščen in zato zbrano soglasje ni bilo v celoti informirano.

Vprašanje 2.

V zvezi z drugim vprašanjem generalni pravobranilec trdi, da zaradi tehnične zapletenosti piškotkov, asimetrične ravni informacij in znanja med ponudnikom in uporabnikom ter relativno pomanjkanja znanja o piškotkih s strani i povprečnega uporabnika interneta, od uporabnikov interneta ni mogoče pričakovati visoke stopnje poznavanje delovanja piškotkov.

Zato je treba uporabniku zagotoviti informacije, ki so jasno razumljive in ne dvoumne. Prav tako pa morajo biti dovolj podrobne, da uporabniku omogočajo, da razume delovanje dejansko uporabljenih piškotkov. To uporabniku omogoča, da določi posledice svojega soglasja. Generalni pravobranilec trdi, da to vključuje informacije o trajanju delovanja piškotkov in o tem, ali imajo tretje osebe dostop do piškotkov (v tem primeru je treba razkriti identiteto tretjih oseb).

Zaključek

Ob predpostavki, da bo Sodišče EU sledilo mnenju generalnega pravobranilca Szpunarja, daje to mnenje (I) smernice o zahtevah za soglasje in zlasti o tem, kaj pomeni prostovoljno in informirano soglasje ter (ii) potrdi, da je privolitev v zbiranje in uporabo podatkov lahko pogoj za uporabo (brezplačne) storitve ne glede na splošne omejitve pogojnega soglasja v GDPR (člen 7. GDPR).

Iz mnenja tudi jasno izhaja, da morajo podjetja zagotoviti, da so informacije, ki jih zagotavljajo o uporabi piškotkov, dovolj podrobne, da uporabniku omogočajo razumevanje delovanja piškotkov, vključno s trajanjem delovanja piškotkov in vprašanjem ali imajo tretje osebe dostop do piškotkov oziroma tako pridobljenih podatkov. Nasprotno pa mnenje ne pojasni, kako je treba pravilno zapisati deljenje piškotkov s tretjimi strankami in kako pravilno zbirati GDPR skladna soglasja za račun takšnih tretjih strank.

 

Vesna Stanković Juričić