Cookie-uri – deserturi sau tehnologii de urmărire? Să lăsăm deserturile pentru mai târziu.
Care sunt regulile ce trebuie luate în considerare atunci când analizăm un „
cookie banner”? Răspunsul la această întrebare a fost căutat de-a lungul timpului și încercat să fie găsit în cuprinsul diferitelor orientări Europene, însă se pare că un răspuns unitar nu a fost găsit încă. Când vorbim despre cookie-uri, apar multe întrebări, cum ar fi:
▸ Pot fi cookie-urile plasate pe un website fără consimțământul utilizatorului?;
▸ Sunt regulile privind cookie-urile respectate în practică?;
▸ Există excepții când consimțământul nu trebuie cerut?;
▸ Poate fi obținut consimțământul fără ca utilizatorul să bifeze un buton de “accept” (e., derularea pe o pagină web este echivalentă cu consimțământul)?
▸ „Cookie walls” pot fi folosiți fără restricții?
▸ Există autorități de reglementare locale care aplică în prezent, sau iau decizii cu privire la practicile prin care sunt încălcate regulile privind cookie-urile? Și așa mai departe.
Întrebările de mai sus, și lipsa unor răspunsuri unitare la acestea, subliniază faptul că la nivel European este necesară o armonizare legislativă privind practicile conexe Cookie-urilor.
Cookie-urile, astfel cum sunt definite parțial de Directiva nr. 2002/58/EC („
ePrivacy Directive”)
[1] sunt „
un instrument legitim și util, spre exemplu pentru analizarea eficienței designului și publicității efectuate pe un site și pentru verificarea identității utilizatorilor angajați în tranzacții online”. Cu alte cuvinte, așa cum și Biroul Comisarului pentru Informații din UK (
Information Commissioner's Office/ ICO) le-a definit, cookie-urile „
sunt informații de dimensiuni mici, în mod normal, constând doar din litere și cifre, pe care serviciile online le furnizează atunci când utilizatorii le vizitează paginile web” și pe care ulterior, site-urile web le folosesc pentru a urmări comportamentul online al utilizatorilor și pentru a-și aminti anumite informații despre aceștia (
i.e., datele utilizatorilor, activitatea de navigare pe browser, adresa IP a utilizatorilor, locația geografică a utilizatorilor). De obicei, atunci când se accesează un website, cookie-urile apar sub forma unor notificări (sub forma unui “
banner”) care îi informează pe utilizatori ca site-ul respectiv utilizează cookie-uri pentru a urmări activitatea online a acestora, solicitându-le în același timp acordul pentru aceasta, și vin de regulă însoțite de „
invitația” de a citi „
Politica privind Cookie-urile” (care, să fim sinceri, mulți dintre noi n-o facem).
Problemele apar, totuși, atunci când bannerele cookie apar ca „
desene înșelătoare” și „
modele întunecate”, așa cum le-a descris organizația non-profit None of Your Business („
NOYB”). Pe scurt, aceasta înseamnă că majoritatea bannerelor cookie care apare pe diferite pagini web nu conțin „
opțiunea de retragere” și multe dintre ele conțin „
căsuțe pre-bifate”, încălcând în acest fel prevederile Regulamentului 2016/679 („
RGPD”) în ceea ce privește consimțământul și condițiile sale de validitate. Având în vedere acestea, în data de 10 August 2021, NOYB a anunțat într-un comunicat de presă că a formulat 422 de plângeri în temeiul RGPD la zece autorități naționale de protecție a datelor cu caracter personal, în legătură cu practicile conexe cookie-urilor
[2]. Acesta a fost doar începutul.
Grupul de Lucru privind Bannerele Cookie – ochiul vigilent al Europei
În data de 27 Septembrie 2021, Comitetul European pentru Protecția Datelor (“
EDPB”) a anunțat că a înființat un grup de lucru pentru a coordona răspunsurile la plângerile depuse la mai multe autorități de protecție a datelor din UE („
autorități de supraveghere”) de către NOYB cu privire la bannerele cookie („
Grupul de Lucru”). Grupul de Lucru este constituit conform
art. 70 (1) lit. u) din GDPR[3] și
are ca scop promovarea cooperării, schimbului de informații și a bunelor practici între autoritățile de supraveghere pentru a aborda în mod unitar problemele legate de bannerele cookie. În special, Grupul de Lucru va
(i) face schimb de opinii cu privire la analiza juridică și la posibilele încălcări privind practicile cookie;
(ii) oferi sprijin activităților la nivel național; și
(iii) va eficientiza comunicarea între autoritățile de supraveghere. Până acum, nu există informații publice despre modul în care Grupul de Lucru va fi reglementat, care îi vor fi atribuțiile și ce sancțiuni ar putea aplica, dar un lucru este clar: crearea Grupului de Lucru este un pas important în modificarea practicilor privind bannerele cookie la nivelul UE.
Să vedem așadar, cum este situația în practică prin trecerea rapidă în revistă a unor practici privind bannerele cookie la nivel European.
► A consimți sau a nu consimți?
Nici în Franța și nici în Italia, cookie-urile nu pot fi plasate pe un site web fără consimțământul utilizatorului. De exemplu, Legea franceză privind protecția datelor
[4], stabilește
principiul consimțământului prealabil al utilizatorului înainte de a stoca informații pe terminalul său sau de a accesa informațiile deja stocate pe acesta (cu excepția cazului în care aceste acțiuni sunt strict necesare pentru furnizarea unui serviciu de comunicare online solicitat expres de utilizator – așa-numitele „
cookie-uri strict necesare”). Astfel, Autoritatea Franceză pentru Protecția Datelor („
CNIL”) consideră că, consimțământul trebuie dat în mod
liber, specific, informat și lipsit de ambiguitate, iar utilizatorul trebuie să îl poată retrage în orice moment. Între timp, autoritatea de supraveghere italiană distinge trei grupuri majore de cookie-uri:
(i) cookie-uri tehnice (
i.e., utilizate exclusiv pentru efectuarea transmisiei pe o rețea de comunicații electronice);
(ii) cookie-uri de profilare (
i.e., utilizate pentru a trimite mesaje publicitare în conformitate cu preferințele afișate de utilizator în timpul navigării pe web);
(iii) cookie-uri terțe (
i.e., cookie-uri instalate de rețelele sociale), și consideră că consimțământul este necesar doar pentru două categorii de cookie-uri, respectiv pentru cookie-urile de profil și pentru cookie-urile de analiză plasate de terțe părți.
► Regulile privind cookie-urile în practică
În ceea ce privește regulile privind cookie-urile în practică, în Franța, de la sfârșitul anului 2020, CNIL a efectuat investigații online și a aplicat mai multe amenzi pentru încălcarea regulilor referitoare la cookie-uri. Potrivit celui mai recent comunicat de presă din 14 decembrie 2021, CNIL și-a continuat investigațiile online pentru a identifica posibile încălcări privind cookie-urile. Investigațiile au evidențiat faptul că mai multe organizații încă nu permit utilizatorilor să refuze cookie-urile la fel de ușor cum le pot accepta. CNIL consideră că, chiar dacă bannerele cookie oferă utilizatorului opțiunea de a refuza cookie-urile la fel de ușor ca și acceptarea acestora, autoritatea din Franța concluzionează însă că mecanismul propus nu este eficient deoarece cookie-urile supuse aprobării utilizatorilor sunt încă stocate pe terminale după ce utilizatorii debifează căsuța de accept a lor. În timp ce CNIL a aplicat amenzi pentru nerespectarea regulilor privind cookie-urile, autoritatea din Italia, de exemplu, urmărește în mod proactiv aplicarea regulilor în practică, dar până acum nu a adoptat măsuri de sancționare efective privind cookie-urile.
► Când consimțământul nu este necesar?
Atât în Franța, cât și în Italia există situații excepționale când nu este necesar consimțământul pentru cookie-uri. Ambele autorități consideră că, consimțământul nu este necesar pentru
cookie-urile tehnice (cum sunt numite în Italia) și pentru
cookie-urile care sunt strict necesare pentru furnizarea unui serviciu de comunicare online solicitat în mod expres de către utilizator (
i.e., cookie-uri care urmăresc traficul online pe un site, cele care salvează preferințele utilizatorilor din coșul de cumpărături online sau cookie-uri care permit utilizatorilor să acceseze zonele securizate ale unui site web prin autentificare), așa cum sunt numite de către autoritatea din Franța.
► Derularea pe o pagină web nu este consimțământ
Nu! A derula (în sus și în jos) pe o pagină web nu este echivalent cu consimțământul. Nici CNIL, nici autoritatea italiană nu sunt de acord cu această abordare. Autoritatea din Italia consideră că derularea în jos nu poate fi considerată „
consimțământ obținut în mod liber” și că, consimțământul poate fi colectat în mod legitim doar prin implementarea unui concept prin care să se acorde utilizatorului posibilitatea de a alege în mod neechivoc și informat dacă acceptă un banner cookie sau nu, și care este în același timp înregistrată și, prin urmare, documentabilă. Potrivit CNIL
[5],
continuarea navigării pe un site web nu mai poate fi considerată o expresie valabilă a consimțământului utilizatorului pentru stocarea datelor colectate prin intermediul cookie-urilor. În absența consimțământului exprimat printr-o acțiune clară, trebuie considerat că utilizatorul a refuzat o astfel de prelucrare.
► Cookie walls – legali sau nu?
Mai întâi de toate, să vedem ce este un cookie wall. Un cookie wall este un fel de scenariu de tipul „
acceptă sau nu” pe care un site web îl configurează pentru utilizatori pentru a se asigura că toate cookie-urile și dispozitivele de monitorizare a comportamentului online sunt activate și că obțin cât mai multe date posibile, chiar dacă acest lucru se realizează fără exprimarea dorinței exprese a utilizatorului. În ceea ce privește designul, un cookie wall apare în general ca o variantă particulară a bannerului cookie, dar care nu lasă utilizatorului nicio opțiune reală de a selecta sau deselecta anumite categorii de cookie-uri (cum ar fi cookie-urile de marketing). Cu toate acestea, conform Orientărilor privind consimțământul în temeiul GDPR emise de EDPB
[6], consimțământul poate fi considerat a fi dat în mod liber atunci când „
accesul la servicii sau funcționalități nu trebuie să fie condiționat de acordarea consimțământului utilizatorului pentru a stoca informație sau a obține accesul la informație deja stocată pe echipamentul terminal al utilizatorului (așa-numitele cookie walls)”. Astfel, EDPB consideră că „
granularitatea consimțământului” este și rămâne cea mai bună opțiune.
Cookie walls nu sunt acceptați în Italia, în timp ce în Franța această opțiune este posibilă după ce inițial, CNIL a declarat ilegală practica cookie walls în Orientările sale din 2019. În urma Deciziei emise de Înalta Curte Administrativă din Franța
[7], CNIL și-a revizuit Orientările emise în 2020 și a declarat că va stabili de la caz la caz dacă consimțământul persoanelor este dat în mod liber și dacă un cookie wall este legal sau nu.
► Autoritățile locale de reglementare – proactive sau nu?
Așa și așa. O noutate este reprezentată de decizia publicată de autoritatea de supraveghere din Belgia din data de 2 Februarie 2022, privind încălcarea dispozițiilor RGPD de către asociația europeană în materie de publicitate – IAB Europe, în legătură cu așa-numitul Tranparency and Consent Framework (TCF) un instrument folosit pentru a înregistra preferințele online ale utilizatorilor (așa-numitul „
instrument pentru cookie-uri”). Decizia stabilește clar că utilizarea cookie-urilor nu poate fi bazată pe interesul legitim al utilizatorului. Ca urmare a acestei decizii, multe site-uri web care au folosit instrumentul TCF trebuie să își regândească modul de utilizare a bannerelor cookie, pentru a fi conforme cu prevederile GDPR.
Chiar și așa, deși există noi tendințe în ceea ce privește interpretările date de autoritățile de supraveghere Europene în acest domeniu, CNIL rămâne totuși una dintre cele mai active autorități de reglementare în acest domeniu, care nu scapă din vedere problemele din practică legate de cookie-uri. În Italia însă, o astfel de activitate constantă a autorității de supraveghere nu este întâlnită.
Cele menționate mai sus sunt doar câteva exemple de „
reguli Europene privind cookie-urile” reglementate în mod expres. Deocamdată, autoritatea de supraveghere din România nu a emis nicio decizie cu privire la interpretarea sa privind aplicabilitatea în practică a regulilor conexe cookie-urilor și nu a aplicat sancțiuni
per se pentru utilizarea incorectă a bannerelor cookie. Cu toate acestea, după cum se poate observa, este clar că este nevoie de o armonizare Europeană în această direcție.
► Impactul (și utilitatea) Grupului de Lucru privind Bannerele Cookie – încă mai avem de așteptat
Multe autorități de supraveghere au emis deja linii directoare privind utilizarea „
modelelor întunecate” în bannerele cookie, dar adesea acestea discută doar anumite tipuri de modele întunecate și rămân tăcute în privința altor probleme. Înființarea Grupului de Lucru privind Bannerele Cookie pare a fi soluția salvatoare în ceea ce privește problemele legate de bannerele cookie la nivel European. Chiar dacă Grupul de Lucru nu este reglementat în prezent, modul în care va acționa și își va exercita atribuțiile este un subiect de interes care merită urmărit în viitor (dar pe care trebuie totuși să îl mai așteptăm).
[1] https://eur-lex.europa.eu/legal-content/RO/TXT/PDF/?uri=CELEX:32002L0058&from=RO
[2] https://noyb.eu/en/noyb-files-422-formal-gdpr-complaints-nerve-wrecking-cookie-banners
[3] Art. 70 din RGPD (Sarcinile comitetului): „
(1) Comitetul asigură aplicarea coerentă a prezentului regulament. În acest scop, din proprie inițiativă sau, după caz, la solicitarea Comisiei, comitetul are, în special, următoarele sarcini: u) să promoveze cooperarea și schimbul eficient bilateral și multilateral de informații și bune practici între autoritățile de supraveghere”.
[4] În special Art. 82 care transpune Art. 5 alin. (3) din Directiva 2002/58/EC (Directiva asupra confidențialității și comunicațiilor electronice). Legea franceză privind protecția datelor poate fi consultată la adresa:
https://www.legifrance.gouv.fr/loda/id/JORFTEXT000000886460/2021-09-10/
[5] Astfel cum este prevăzut în Orientările emise de CNIL în 2020 ce pot fi consultate aici:
https://www.cnil.fr/fr/cookies-et-autres-traceurs-la-cnil-publie-des-lignes-directrices-modificatives-et-sa-recommandation; și potrivit Orientărilor privind consimțământul din 10 Aprilie 2018 emise de Grupul de Lucru 29.
[6] https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_202005_consent_en.pdf
[7] https://www.cnil.fr/sites/default/files/atoms/files/council-of-state-decision-google-2020-06-19_en_0.pdf
