Sütisávra vonatkozó elvárások országonként

A GDPR hatálybalépése óta kevés téma vitatott annyira, mint a sütik és hasonló technológiák használatának feltételei. Több uniós adatvédelmi hatóság adott ki véleményt vagy iránymutatást, az Európai Unió Bírósága is foglalkozott a kérdéssel, de egységes álláspont még nincs. A legtöbb hatóság szerint a sütik használatához (néhány kivétellel) tájékoztatás és hozzájárulás kell, ezért sütisávot javasolnak, de a sávra vonatkozó követelmények eltérnek. Ez különösen fontos, ha a webhelyed több tagállamból elérhető: a bírságok és hatósági felszólítások elkerüléséhez fel kell mérned az eltérő elvárásokat.

Háttér

A sütikre és hasonló technológiákra nem csak a GDPR és a nemzeti adatvédelmi törvények vonatkoznak, hanem az uniós ePrivacy-szabályok is. Az a kérdés, hogy szükséges-e előzetes hozzájárulás, kiegészül azzal, hogy mi a hozzájárulás feltétele. A Bíróság a 2019 októberi Planet49-döntésében általános útmutatást adott, a hatóságok értelmezése mégis eltér. Az elmúlt időszakban a bírságok és hatósági végzések száma nőtt: például a spanyol hatóság 2019 októberében 30 000 euró bírságot szabott ki egy spanyol fapados légitársaságra a spanyol sütiszabályok megsértése miatt.

A GDPR követelményei

A GDPR 6. cikk (1) bekezdés a) pontja nem részletezi a hozzájárulás módját. A 4. cikk 11. pontja szerint a hozzájárulás az érintett akaratának önkéntes, konkrét, megfelelően tájékozott és egyértelmű kinyilvánítása, nyilatkozattal vagy a hozzájárulást félreérthetetlenül kifejező cselekedettel. A rendelet nem írja elő, milyen legyen a sütisáv; az adatkezelő szabadon választhatja meg a hozzájárulás formáját.

A 29. cikk szerinti munkacsoport

A hozzájárulásról szóló 259. sz. iránymutatásában (WP 259) a munkacsoport kimondja, hogy a jogszerű hozzájárulás sokféle cselekedettel megadható, például a képernyőn egy sáv elhúzásával, a kamera előtti integetéssel vagy az okostelefon elforgatásával. Lényegében bármilyen forma lehetséges, ha a felhasználó számára kellően egyértelmű, hogy a cselekedettel nyilatkozik, és az jól megkülönböztethető a többi műveletétől.

Az uniós hatóságok iránymutatásai

Több hatóság adott ki iránymutatást, különböző részletességgel. Abban széles az egyetértés, hogy a sávnak tájékoztatást kell adnia a használt sütikről, közvetlenül vagy hivatkozással. Abban viszont eltérnek, hogyan adhat hozzájárulást a látogató. A vélemények a gyakorlatilag bármilyen cselekedetet elfogadóktól addig terjednek, amelyek az első szinten minden sütikategóriához külön gombot kívánnak. Eltérő az is, hogy szükséges-e kifejezett „elutasítás” lehetőség.

Ország	Álláspont röviden
Spanyolország	A legkevésbé szigorú. A kifejezett „elutasítás” és „elfogadás” gombon kívül jogszerűnek ismeri el azt is, ha a hozzájárulás az oldalra kattintással történik, feltéve, hogy a sáv kellően tájékoztat arról, mit jelent ez.
Olaszország	Nem szükséges elutasító gomb az első szinten. A látogatónak lehetővé kell tenni a nyomon követés nélküli továbblépést, például a sáv jobb felső sarkában lévő X-szel való bezárással.
Liechtenstein	Csak a GDPR 6. és 7. cikkére hivatkozik. A hozzájárulás többféle formában, akár ráutaló magatartással is megadható; kifejezett elutasító gombot nem ír elő.
Hollandia	A „cookie wall” (sütifal) nem megengedett, az előre bejelölt négyzet nem érvényes hozzájárulás. A sáv kialakításáról nem szól, ezért valószínűleg nem követel elutasító gombot az első szinten.
Ausztria	Nincs külön iránymutatás. Egy 2018 novemberi ügyben olyan sávot fogadtak el, ahol az „OK” gombra vagy a sávon kívüli területre kattintva lehetett hozzájárulni, mert a látogató tudatos döntést hozhatott.
Írország	Szigorúbb. A sávon kívüli kattintás vagy a görgetés nem elég, a látogatónak valódi választási lehetőséget kell kapnia. Elegendő lehet az első szinten egy „Elfogadás” gomb és egy gomb a további információkhoz; az elutasító gomb ajánlott, de valószínűleg nem kötelező.
Németország, Egyesült Királyság, Franciaország, Görögország	Sokkal szigorúbb. Az első szinten nem elég csak az elfogadás: a hozzájárulás önkéntessége megkívánja, hogy a sáv kifejezetten az elutasítást is felkínálja. A görög hatóság szerint az elfogadás és az elutasítás ugyanannyi kattintással, ugyanazon a szinten legyen elérhető.
Belgium, Dánia	A legszigorúbb. A dán iránymutatás szerint nincs önkéntes hozzájárulás, ha az első szinten csak egyetlen elfogadási lehetőség van a célok megkülönböztetése nélkül, még akkor sem, ha a második szinten ki lehet választani a célokat. A belga hatóság szerint, ha több sütitípus van, az első szinten kell külön hozzájárulást kérni mindegyikre, a második szint pedig sütinkénti, részletes választást adjon.

Mivel az elvárások országonként eltérnek, a Complianz sávjait a Földrajzi célzás segítségével régiónként más-más beállításra állíthatod, a sáv megjelenéséről pedig a Hozzájárulási sáv fejezetben olvashatsz.