Újabb fejlemények az internetes sütik használatával kapcsolatban
A GDPR alkalmazása óta több adatvédelmi hatóság is kiadott különböző részletességű állásfoglalást, iránymutatást a cookiek alkalmazásával kapcsolatban. Június 19-én a Francia Államtanács (Conseil d’Etat) nyilvánosságra hozta döntését, melyben részlegesen érvényteleníti a Francia Adatvédelmi Hatóság (CNIL) korábbi iránymutatását az internetes sütik használatával kapcsolatban.
Az iránymutatás többek között meghatározta a hozzájárulás megszerzésének szabályait, harmadik fél (third party) adatkezelőkről szükséges tájékoztatást, a böngészőbeállítások használatát, illetve az érintettek tájékoztatásával kapcsolatos elvárásokat és ennek kivételeit.
Az Államtanács konkrétan a második irányelvet kifogásolta, ami az úgynevezett ’sütifalakról’ (cookie wall) szólt. Az ilyen jellegű falak számos weboldalon jelenleg is megtalálhatók, lényegük, hogy nem engedik a felhasználóknak a hozzáférést egy-egy oldalhoz, amíg az adatvédelmi tájékoztatót és a sütikkel kapcsolatos tájékoztatót el nem fogadják.
Az eddigi irányelv szerint ezen ’falak’ használata nem felel meg a GDPR rendelkezéseinek, ezért nem használhatók. Az irányelv kialakításakor a CNIL az Európai Adatvédelmi testület (EDPB) korábbi iránymutatását vette alapul. Az CNIL iránymutatás publikálását követően számos cég és szervezet fordult az Államtanácshoz, kifogásolva a döntést.
Kifogásaikat arra alapozták, hogy a CNIL túllépte hatáskörét. Véleményük szerint a Hatóságnak nincs meg a megfelelő hatásköre ilyen jellegű irányelvek kiadására, mivel az csak a személyes adatok kezelésében illetékes, a sütik esetében pedig nem minden esetben valósul meg személyes adatok kezelése. Másrészt, a CNIL nem adhat ki olyan utasítást, amely teljes egészében megtiltja ennek a módszernek a használatát.
A CNIL nem az első európai hatóság, mely állást foglalt az internetes sütikkel kapcsolatban. Korábban már a német, spanyol, és angol hatóság is adott ki ilyen jellegű közleményeket. A különböző hatóságok közötti eltérés főként abban volt, hogy mit tekintenek elengedhetetlen vagy szükséges sütinek, illetve, hogy egyes hatóságok engedélyezték a ’sütifalak’ használatát, például olyan esetekben, ha a felhasználónak van lehetősége egy fizetős szolgáltatás keretében a sütiket elutasítani (Ausztria), vagy ha az érintettek megfelelően tájékoztatva vannak (Spanyolország).
Az Államtanács állásfoglalása szerint a CNIL-nek megvan a megfelelő hatásköre a sütikkel kapcsolatos iránymutatás elkészítéséhez – az a tény, hogy az internetes sütik nem csak személyes adatok kezelése esetén használhatók azt jelenti, hogy ebből a szempontból a CNIL hatásköre is tovább terjed a személyes adatok kezelésén.
Az Államtanács egyedül a ’sütifalak’ esetében jegyezte meg, hogy a Hatóság nem tilthatja meg ezek használatát általánosan, mivel sem a GDPR, sem a hatályos francia törvények nem tartalmaznak ilyen rendelkezést. Kiemelte továbbá, hogy az EDPB közleményeinek nincs jogi ereje, és a különböző országok adatvédelmi hatóságai nem kötelesek követni a bennük foglalt javaslatokat. Egyedül oly módon lehetne egy általános tiltást bevezetni a ’sütifallal’ kapcsolatosan, ha az valamilyen francia vagy európai kötelező erejű jogszabályban meg lenne határozva. Az Államtanács a Francia Közigazgatási Kódex alapján felszólította a CNIL-t egyenként 3.000 EUR megfizetésére azon szervezetek számára, melyek a kérdéses iránymutatást kifogásolták.
A CNIL kijelentette, hogy eleget tesz az Államtanács döntésének és az iránymutatást ennek megfelelően átalakítja, amikor legközelebb 2020 szeptemberében összeül. Ez nem jelenti, hogy széles körben engedélyezni fogják a ’sütifalak’ használatát, ellenben a teljes tiltást nem tarthatják fent.
