A görög adatvédelmi hatóság cookie iránymutatása

2020 februárjában a görög adatvédelmi hatóság (HDPA) iránymutatást adott ki az internetes sütik és nyomkövetők használatáról. A HDPA átfogó ellenőrzést folytatott a sütik használatával kapcsolatban a népszerű görög webhelyeken, és a GDPR széleskörű megsértését észlelték. Az átfogó és átlátható iránymutatás tartalmaz jó és rossz gyakorlatra is példákat, és két hónapos türelmi időt biztosítanak az adatkezelők számára.

Hozzájárulás

Az iránymutatás szerint bármely olyan nyomkövető használatához, amelyet nem tekintenek technikailag szükségesnek egy weboldallal való kapcsolat megteremtéséhez vagy a felhasználó által igényelt szolgáltatás nyújtásához, előzetes hozzájárulásra van szükség. Ez magában foglalja a harmadik fél webes elemző nyomkövetőinek, például a Google és a Facebook használatát. Az érintettet minden esetben jogszerűen kell értesíteni a nyomkövető alkalmazásáról, függetlenül attól, hogy szükséges-e vagy sem.

Az iránymutatás szerint a hozzájárulás érvényességéhez a sütik használatára vonatkozóan egyértelmű pozitív cselekedet szükséges. A böngészés folyamatossága érdekében sokan előre beállítják a sütik elfogadását, ennek elfogadása viszont a Hatóság szerint jogellenes gyakorlatnak minősül, ami a vonatkozó hozzájárulás érvénytelenségéhez vezet. Erre tekintettel a hozzájárulást nem tekintik érvényesnek csupán azért, mert az érintett böngészője úgy van beállítva, hogy a sütiket elfogadja.

A hozzájárulás megszerzésének módját illetően az iránymutatás az alábbi alapelveket határozza meg az érintettek alapvető jogainak védelme érdekében:

– A felhasználónak képesnek kell lennie arra, hogy elfogadja vagy megtagadja a nyomkövetők használatát (azokat, amelyekhez hozzájárulás szükséges) azonos számú művelettel („kattintások”).
– A felhasználónak képesnek kell lennie arra, hogy visszavonja hozzájárulását ugyanolyan módon, ahogyan azt megadta.
– A nyomkövetők használata jóváhagyásának elmulasztása nem korlátozhatja a weboldal tartalmához való hozzáférést („süti fal” tilalma).
– A hozzájárulás megadása és elutasítása esetén az érintett választását a weboldalnak ugyanannyi ideig kell megjegyeznie.

Tájékoztatás

Az iránymutatásban azt javasolják, hogy a releváns információk rendelkezésre bocsátását és a hozzájárulás iránti kérelmet megfelelő mechanizmusok (pl. felugró ablakok vagy szalaghirdetések) felhasználásával biztosítsák. A tájékoztatásnak konkrét információkat kell tartalmaznia az egyes nyomkövető használatának céljáról. Az Európai Unió Bíróságának legutóbbi ítélkezési gyakorlatával összhangban az iránymutatás kimondja, hogy a nyomkövető alkalmazására vonatkozó általános információ nem elegendő. Minden nyomkövető vagy nyomkövető kategória esetében tájékoztatni kell az érintettet az adatkezelés időtartamáról, az adatkezelő személyéről, valamint a címzettekről vagy azok kategóriáiról.

Az iránymutatás a következő jogellenes gyakorlatokat emeli ki:

– A felhasználó nem folytathatja a böngészést anélkül, hogy elfogadná vagy elutasítaná a süti felugró ablakát („cookie wall”).
– A nyomkövetők használatának elutasítására csak a második szinten van lehetőség, azt követően, hogy kiválasztották a cookie kezelő “több információ” vagy “beállítások” menüjéből.
– Az „elfogadás” vagy az „egyetértés” gomb mérete és színe erősen sürgeti a felhasználót, hogy fogadja el, pl. nagyon feltűnő, vagy előre bejelölt.
– Az elfogadást vagy elutasítást követően nincs lehetőség a beállítások megváltoztatására.
– Ha a nyomkövetőket elutasították, akkor a felbukkanó ablakokon keresztül a felhasználó számos további kérést kap egészen addig, amíg a nyomkövetők használatát el nem fogadja.

Az elmúlt évben a francia (CNIL) és az angol (ICO) hatóság is adott ki hivatalos iránymutatást a cookiek alkalmazásával kapcsolatban, melyek számos hasonló elemet tartalmaznak, ahhoz azonban, hogy végre egységes legyen a szabályozás az EU-ban, szükség lenne arra, hogy az E-privacy rendelet elfogadásra és utána alkalmazásra kerüljön. A rendelet elfogadásáig az egyes tagállamok cookie szabályozása döntően azon múlik, hogy az E-privacy irányelvet pontosan milyen formában implementálták a hazai jogrendszerükbe.

A cookiekra vonatkozó szabályozást Magyarországon az elektronikus hírközlésről szóló 2003. évi C. törvény tartalmazza, annak is 155. § (4) bekezdése, az alábbiak szerint:

„Egy előfizetőnek vagy felhasználónak elektronikus hírközlő végberendezésén csak az érintett felhasználó vagy előfizető világos és teljes körű – az adatkezelés céljára is kiterjedő – tájékoztatását követő hozzájárulása alapján lehet adatot tárolni, vagy az ott tárolt adathoz hozzáférni.”

A fentiekre tekintettel fő szabályként bármilyen cookie elhelyezéséhez hozzájárulást kell(ene) beszereznie a weblap üzemeltetőjének.