Smernice Informacijskega pooblaščenca o uporabi piškotkov in podobnih sledilnih tehnologij
Ob čakanju na novo Uredbo (EU) o e-Zasebnosti je Informacijski pooblaščenec (IP) pripravil smernice uporabe piškotkov na območju Slovenije, ki ga kot nadzorni organ pokriva IP. Namen prenove smernic je poenotenje prakse, ki izhaja tako iz nacionalnih postopkov nadzora in izdanih mnenj, kot tudi iz smernic in priporočil Evropskega odbora za varstvo podatkov (EDPB). Smernice – kot ugotavljamo ob pregledu smernic v Info hiši – povzemajo tudi prakso drugih evropskih nadzornih organov.
Na kratko o smernicah
S smernicami IP upravljavcem spletnih strani na preprost, jasen in pregleden način predstavlja, kako v praksi uporabljati piškotke v skladu z veljavno zakonodajo. V novih smernicah Informacijski pooblaščenec:
- pojasni, da morate upravljavci spletnih strani kot piškotke upoštevati vse tehnologije, ki shranjujejo ali pridobivajo podatke na terminalski opremi naročnika ali uporabnika (četudi ne sodijo med strogo http piškotke), kot npr. sledilni piksli, browser fingerprinting, druge lokalne shrambe, kakor tudi mobilne aplikacije na telefonih ali drugih pametnih napravah;
- pojasni, da obveznost obveščanja in pridobivanja privolitve velja ne glede na to, ali piškotki vsebujejo osebne podatke ali ne (pod pogoji, ki jih postavlja 225. člen ZEKom-2);
- pojasni, da morate kot upravljavec spletne strani posameznika (obiskovalca) v vsakem primeru jasno in izčrpno obvestiti o okoliščinah obdelave podatkov in po potrebi (225. člen ZEKom-2) pridobiti privolitev, ki ustreza pogojem 7. člena Splošne uredbe (GDPR);
- pojasni kateri piškotki sodijo med izjeme, za katere velja, da jih kot upravljavec spletne strani smete namestiti brez privolitve in zakaj po mnenju IP analitični piškotki ne sodijo med take izjeme (ne glede na to, ali so first party ali third party);
- pojasni, na kaj morate biti upravljavci spletnih strani posebej pozorni, če uporabljate oglaševalske piškotke tretjih oseb;
- tudi s primeri pojasni, kako v praksi zagotavljati skladnost z veljavnimi pravili; ter nenazadnje
- opozori, da za zagotavljanje skladnosti ne bo dovolj zgolj enkratna izdelava privolitvenih obrazcev in spremljajočih dokumentov, ampak bo potrebno neprestano spremljanje in prilagajanje morebitnim pravnim in dejanskim spremembam.
Kot že rečeno, pa smernice – pričakovano – ne odstopajo od dolgoletnih zahtev zakonodaje (ZEKom-1 je npr. praktično enake zahteve glede piškotkov predstavil že leta 2012; ZEKom-2 jih je deset let pozneje samo še potrdil). Prav tako ne odstopajo dosedanje prakse na področju varstva osebnih podatkov (ki se je na področju osebnih podatkov še dodatno izpilila po letu 2018).
Pričakovanja
Prejšnji odstavek seveda pomeni, da ustrezna rešitev piškotkov ni nekaj, kar se bo pričakovalo šele v prihodnje in za nove spletne strani, pač pa ste to morali zagotoviti že na obstoječih spletnih straneh. Kot upravljavci spletne strani morate dodatno računati, da smernice tudi nakazujejo, katerim področjem bo Informacijski pooblaščenec – ob pregledu piškotkov na spletnih straneh – posvetil največ pozornosti.
Pričakujemo lahko tudi, da bo Informacijski pooblaščenec v doglednem času po objavi smernic začel s strožjim preverjanjem dejanske izvedbe piškotkov. Ker iz statistike, ki jo v okviru svoje dejavnosti gradimo v Info hiši, izhaja, da niti 10% spletnih strani trenutno ne ustreza pogojem novih smernic, je pričakovati, da pri izbiri strani (in morebitnem kaznovanju) pravzaprav ne bo imel težkega dela.
Preverite skladnost in ukrepajte
To pa pomeni, da je sedaj čas za preverjanje, če in v kolikšni meri vaše spletišče ustreza novim smernicam Informacijskega pooblaščenca, ter seveda odpravo zaznanih napak.
Za hitro indikacijo obstoječih spletnih strani predlagamo, da preverite vsaj naslednje osnovne kriterije skladnosti:
- da so ob prihodu obiskovalca na stran postreženi zgolj piškotki, ki so tehnično nujni za delovanje storitve;
- ustreznost obrazca privolitve v piškotke;
- upoštevanje uporabnikove odločitve, če/ko zavrne nenujne piškotke;
- možnost spremembe privolitve; ter nenazadnje
- ustreznost informacij o piškotkih, ki jih dajete obiskovalcu (politika piškotkov).
Pravilna izvedba vseh gornjih točk je nujni pogoj za skladnost s Smernicami. Če pri kateri koli od gornjih točk preverjanja ugotovite neustreznost, predlagamo posvet z izdelovalcem spletne strani in poznavalci področja o tem, kako zagotoviti primerno ureditev.
Ne samo piškotki
Piškotki so samo eden od elementov spletne strani, pri katerih morate kot upravljavec poskrbeti za skladnost. Za kar najbolj skladno spletno stran bo potrebno preveriti tudi primernost izvedbe obrazcev in osebnih podatkov, ki jih morda z njimi zbirate, lokacijo in primerno urejenost odnosov s ponudnikom gostovanja, elemente tretjih ponudnikov, ki lahko obdelujejo osebne podatke in še bi lahko naštevali.
Vendar pa je to že zgodba, ki presega okvire te novičke.
Pojasnilo: Zaradi razlike med definicijo izraza piškotek v tehničnem smislu in izraza piškotek v smislu pričakovanj zakonodaje o e-zasebnosti, v tem članku na mestu, kjer so mišljeni piškotki v tehničnem smislu striktno uporabljamo izraz »http piškotek«. Vsaka druga navedba izraza »piškotek« v tem članku pomeni piškotek v širšem smislu (torej tudi vse ostale tehnologije, ki omogočajo sledenje in spremljanje obiskovalcev), kot ga uporablja tudi Informacijski pooblaščenec v svojih smernicah.
Povezave: