Hozzájárulás visszavonása és granularitás

Visszavonás, letiltás és törlés: három különböző dolog

A Complianzzel az EU-s látogatóktól engedélyt kérhetsz sütik és helyi tárhely elhelyezésére és olvasására (ePrivacy irányelv), valamint a sütikből gyűjthető személyes adatok feldolgozásához (GDPR). A GDPR szerint a hozzájárulást ugyanolyan könnyű visszavonni, mint megadni. A sütikezelő rendszernek ezért egy gombot vagy jelölőnégyzetet kell kínálnia a visszavonáshoz.

Ebből nem következik, hogy a látogató gépén a sütiket is törölni vagy módosítani kell. A három fogalom különbözik:

• Visszavonás: a látogató nem akarja, hogy az adatkezelő és adatfeldolgozói a sütikből és a helyi tárhelyből kapott személyes adatait tovább kezeljék. Bizonyos esetekben ez azt is jelenti, hogy a nem funkcionális sütiket le kell tiltani, hogy harmadik felek ne kaphassanak több információt a korábban elfogadott sütikből.
• Letiltás: a szkriptek blokkolása, hogy ne tudjanak sütit beállítani vagy olvasni.
• Törlés: a már beállított sütik eltávolítása a látogató böngészőjéből.

A letiltáshoz a sütikezelő rendszernek blokkoló funkciót kell kínálnia. A WordPress-rendszerben sütit beállító és olvasó harmadik fél szolgáltatásoknak a WP Consent API-t kell használniuk, vagy integrálódniuk kell egy sütikezelő rendszerrel. A Complianz a legtöbb olyan szkriptet blokkolni tudja, amely sütiből vagy helyi tárhelyből gyűjt információt.

Sütik törlése harmadik fél domainjén

Ha egy sütikezelő rendszer a már elfogadott harmadik féltől származó sütiket nem tudja letiltani, az adatvédelmi hatóságok szerint tájékoztatni kell a látogatót: ha elfogadja őket, és később el akarja távolítani, azt a saját böngészőjéből vagy a harmadik fél erre szolgáló rendszerén keresztül teheti meg.

A Complianz a sütit beállító harmadik fél szkripteket a hozzájárulás előtt és a visszavonás után is letiltja. Ha a látogató visszavonja a hozzájárulását, a már beállított sütik használhatatlanná válnak, de harmadik fél domainjén nem törölhetők. Más domainek, például a facebook.com vagy a google.com sütijeit vagy adatait módosítani nem lehet, mert komoly biztonsági problémát okozna, ha bárki más tárolt adatokat manipulálhatna. Az ePrivacy irányelv szerint az oldal nem köteles eltávolítani a beállított sütiket.

Sütik törlése a saját domainről

Az ePrivacy irányelv nem kötelezi erre az oldalt, harmadik fél domainjén pedig lehetetlen, de a nem használt és letiltott sütiket el lehet távolítani a látogató böngészőjéből a saját domainedről. Ez nem változtat a hozzájárulási viselkedésen és a megfelelőségen, csak személyes preferencia lehet. Vedd figyelembe, hogy mások böngészőjéből sütit törölni tolakodó lehet.

Egy MU-pluginnal törölhetsz minden sütit a saját domainedről, kivéve az ismert adminisztrátori sütiket, amelyek a bejelentkezésedet tartják fenn. A MU-plugin a /wp-content/mu-plugins/ mappába kerül.

A Complianz 6.1-től alapból tartalmaz ilyen sütitörlő funkciót, a CookieShredder néven.

Hozzájárulás kategóriánként, szolgáltatásonként és sütinként

A legkisebb követelmény a jogszabályok szerint a hozzájárulás cél vagy kategória szerint. Az ePrivacy irányelv nem írja elő, hogyan kell kérni a hozzájárulást a nem funkcionális sütikhez, ezért a GDPR-t, a joggyakorlatot és a nemzeti adatvédelmi hatóságok iránymutatásait kell nézni.

GDPR

A GDPR 6. cikk (1) bekezdés a) pontja szerint a hozzájárulást „egy vagy több meghatározott” célra kell adni, és az érintettnek minden egyikről külön választási lehetősége van. A 43. preambulumbekezdés szerint különböző adatkezelési műveletekhez ahol helyénvaló, külön hozzájárulás kell, ezért részletes lehetőségeket kell adni, hacsak ez nem volna indokolatlanul zavaró vagy összetett. A hozzájárulási kérésnek minden olyan célt le kell fednie, amelyre hozzájárulást kérsz.

Adatvédelmi hatóságok

Az Európai Adatvédelmi Testület (EDPB) az uniós tagállami adatvédelmi hatóságok képviselőiből áll. A hozzájárulásról szóló 05/2020 iránymutatásában kimondja: ha az adatkezelő több célt összevon, és nem próbál külön hozzájárulást kérni mindegyikhez, nincs szabadság. A cél az, hogy a célokat szétválasztják, és mindegyikhez külön hozzájárulást kérnek. Ugyanakkor egy hozzájárulás több műveletre is vonatkozhat, ha ezek ugyanazt a célt szolgálják. Például kérhető hozzájárulás statisztikai célra, és ez lefedi az e célt szolgáló szolgáltatásokat és sütiket.

Az iránymutatás szerint a hozzájárulási mechanizmusnak nemcsak a „szabad” követelmény miatt kell részletesnek lennie, hanem azért is, hogy „konkrét” legyen: ha az adatkezelő különböző célokra kér hozzájárulást, minden célhoz külön opt-int kell kínálnia.

• Egyesült Királyság: az ICO szerint külön célokhoz külön hozzájárulás kell.
• Franciaország: a CNIL 2020 szeptemberében kimondta, hogy minden önálló célkategóriához külön hozzájárulást kell kérni.
• Spanyolország: azt, hogy a sütihozzájárulási lehetőségek mennyire legyenek részletesek, az oldal üzemeltetője dönti el. Az AEPD szerint legalább annyit kell biztosítani, hogy a látogató a sütiket cél szerinti csoportok szerint engedélyezhesse vagy tilthassa.

Hozzájárulás szolgáltatásonként

Bár a minimális követelmény a cél vagy kategória szerinti hozzájárulás, a Complianz a 6.1 verziótól a szolgáltatásonkénti hozzájárulást is kínálja. Ez részletesebb a kategóriánál.

Az irányelvek szerint a hozzájárulás megadásának és visszavonásának a lehető legegyszerűbbnek és legérthetőbbnek kell lennie, késedelem és zavaró kialakítás nélkül. A sáv és a sütiszabályzat túlzott bonyolítása olyan helyzeteket teremtene, amikor az A lista (Functional, Statistics, Marketing) vagy a B lista (PayPal, Matomo, HubSpot) közti választás összezavarná a szolgáltatásokat nem ismerő látogatókat.

A szolgáltatásonkénti hozzájárulást két okból vezették be: a felhasználók kérték, és ezzel együtt jön a CookieShredder. A kettő kombinációja további adatvédelmi előnyt ad: a CookieShredder valós időben, a látogató hozzájárulási szintje alapján töröl minden sütit. Például a látogató egy űrlap kitöltésekor hozzájárulhat a reCAPTCHA-hoz, utána visszavonhatja, és a használt sütik azonnal törlődnek, ő pedig késedelem nélkül folytathatja az oldal használatát.

Hozzájárulás sütinként

Időnként érkezik kérés a sütinkénti hozzájárulásra. A CookieShredder és a szolgáltatásonkénti hozzájárulás technikailag a legközelebb áll ehhez, de a sütinkénti hozzájárulás technikailag nem megoldható.

Felhasználói szempontból: a látogatók számára nincs egyértelmű előnye. A szakkifejezések és a kimerítő sütilista mellett nem világos, miért választana valaki egyik sütit a másik helyett egy adott szolgáltatáson belül.

Technikai példa: ha egy YouTube-videót ágyazol be, a videó a youtube.com-ról töltődik be iframe-mel (vagy más módon). A betöltött külső forrás három sütit állít be a youtube.com domainen az interakció alapján (például a betöltés idejét, a kezdési időt, a felhasználói azonosítót). Biztonsági okokból harmadik fél domainjén sütit nem lehet módosítani, és azt sem tudni minden interakciónál, mikor és miért állít be a szolgáltatás sütit, illetve vannak-e függőségek. Ezért a Complianz magát a szolgáltatást blokkolja, amivel a sütik is blokkolva lesznek. Sütiket egyenként szabályozni technikailag lehetetlen.

Visszavonás sütinként: amit a Complianz meg tud tenni, az a sütik valós idejű eltávolítása. Ha a látogató engedélyezett egy szolgáltatást, amely a te domainedre sütit állít be, az interakció után ezeket el is távolíthatja. Ez a CookieShredderrel és a szolgáltatásonkénti hozzájárulással lehetséges. Harmadik fél domainjén lévő sütiket sem szabályozni, sem törölni nem lehet.