Ce se evaluează
Un banner de cookie-uri intră sub mai multe reguli. Plasarea sau citirea cookie-urilor este reglementată de legea națională care transpune Directiva 2002/58/CE (ePrivacy); în România, Legea nr. 506/2004. Prelucrarea datelor care urmează, de exemplu pentru statistici sau publicitate, intră sub GDPR. Condițiile consimțământului valid din GDPR sunt folosite pentru a stabili dacă legea ePrivacy a fost respectată.
Două documente ale Comitetului European pentru Protecția Datelor (EDPB) explică cum se aplică aceste reguli unui banner. Ghidul 05/2020 privind consimțământul (versiunea 1.1, adoptat la 4 mai 2020) este documentul general. Raportul Cookie Banner Taskforce, adoptat la 17 ianuarie 2023, reunește pozițiile comune ale autorităților naționale față de reclamațiile primite de la organizația NOYB privind bannerele de cookie-uri.
Raportul precizează că pozițiile sale reprezintă un prag minim, că nu sunt recomandări de sine stătătoare și nu constituie constatări prin care o autoritate ar aproba un banner anume. Cerințele și îndrumările naționale rămân aplicabile, iar fiecare banner se evaluează de la caz la caz.
Refuzul trebuie să existe și să fie vizibil
Raportul descrie bannerele al căror prim nivel conține un buton de acceptare și un buton către alte opțiuni, dar niciun buton de refuz. O mare majoritate a autorităților a considerat că lipsa unei opțiuni de refuz pe orice nivel care conține un buton de consimțământ nu corespunde cerințelor unui consimțământ valid și constituie o încălcare. Câteva autorități au apreciat că nu pot reține o încălcare, deoarece articolul 5(3) din Directiva ePrivacy nu menționează explicit o opțiune de refuz.
Forma opțiunii contează și ea. Potrivit raportului, nu conduc la un consimțământ valid situațiile în care singura alternativă la acceptare este o legătură de tipul „refuz” sau „continuați fără a accepta”, inclusă într-un paragraf de text sau plasată în afara bannerului, fără suport vizual suficient pentru a atrage atenția unui utilizator obișnuit.
Mai mult, bannerul trebuie să indice clar despre ce este vorba, scopul consimțământului cerut și modul în care acesta se acordă. Magazinul nu trebuie să lase impresia că accesul la conținut depinde de acceptare și nici să împingă în mod evident vizitatorul spre acceptare. Raportul menționează, ca posibilitate, continuarea navigării fără cookie-uri încă de pe primul nivel.
Casetele prebifate, tăcerea și derularea paginii
Casetele prebifate din nivelul de preferințe nu conduc la un consimțământ valid, nici potrivit GDPR, nici potrivit articolului 5(3) din Directiva ePrivacy. Raportul trimite la considerentul 32 din GDPR, potrivit căruia tăcerea, casetele prebifate sau inactivitatea nu constituie consimțământ. Consimțământul trebuie exprimat printr-o acțiune pozitivă a vizitatorului, iar fără el nu se plasează implicit cookie-urile care îl necesită.
Ghidul 05/2020 adaugă două precizări. Simpla continuare a utilizării site-ului nu este un comportament din care se poate deduce acordul vizitatorului. Iar acțiuni precum derularea sau glisarea paginii nu satisfac, în nicio situație, cerința unei acțiuni afirmative clare, deoarece pot fi greu deosebite de alte interacțiuni.
Culorile și contrastul butoanelor
Raportul a analizat și bannerele în care butonul de acceptare este evidențiat prin culoare sau contrast față de celelalte opțiuni. Concluzia este nuanțată: autoritățile au convenit că nu se poate impune un standard general de culoare sau contrast, ci că verificarea se face de la caz la caz, pentru a stabili dacă alegerile grafice nu induc vizitatorul în eroare și nu duc la un consimțământ nedorit.
Raportul dă totuși un exemplu considerat înșelător în mod vădit: butonul care oferă alternativa la acceptare are un contrast atât de redus între text și fundal, încât textul nu poate fi citit practic de niciun utilizator.
Un consimțământ separat pentru fiecare scop
Potrivit Ghidului 05/2020, când o prelucrare urmărește mai multe scopuri, persoanele trebuie să poată alege scopurile pe care le acceptă, în loc să consimtă la un pachet. Soluția indicată este separarea scopurilor și obținerea consimțământului pentru fiecare. Pentru un banner, aceasta se traduce prin categorii separate, de exemplu statistici și publicitate, care pot fi acceptate sau refuzate independent.
Raportul adaugă că interesul legitim al operatorului nu poate fi temeiul pentru plasarea sau citirea cookie-urilor în sensul articolului 5(3). El observă și că invocarea interesului legitim în straturile mai adânci ale bannerului poate crea confuzie: vizitatorul ar putea crede că trebuie să refuze de două ori pentru a nu i se prelucra datele.
Accesul la conținut nu poate depinde de acceptare
Ghidul 05/2020 precizează că accesul la servicii și funcționalități nu poate fi condiționat de consimțământul vizitatorului pentru stocarea de informații sau accesul la informații deja stocate pe dispozitivul său, practică numită „cookie wall”. Exemplul din ghid este un script care blochează conținutul paginii până când vizitatorul apasă „Acceptă cookie-urile”: nu există o alegere reală, deci consimțământul nu este dat în mod liber.
Ce înseamnă „strict necesare”
Cookie-urile strict necesare pot fi plasate fără consimțământ, dar raportul observă că unii operatori încadrează aici cookie-uri și prelucrări care nu sunt strict necesare în sensul articolului 5(3) sau în sensul obișnuit al termenului. Autoritățile au discutat responsabilitatea proprietarilor de site-uri de a întocmi și de a actualiza lista cookie-urilor folosite, de a o furniza la cerere și de a demonstra caracterul esențial al cookie-urilor din listă.
Instrumentele existente pot lista cookie-urile plasate, dar nu pot stabili natura lor; ele servesc la solicitarea de documentație despre scopuri. Raportul reamintește și Opinia 04/2012 a Grupului de lucru Articolul 29, potrivit căreia cookie-urile care rețin preferințele exprimate de utilizator în legătură cu un serviciu sunt considerate esențiale.
Retragerea consimțământului
Articolul 7(3) din GDPR cere ca retragerea consimțământului să fie la fel de simplă ca acordarea lui și posibilă în orice moment. Ghidul 05/2020 precizează că regula nu impune aceeași acțiune pentru ambele, dar că, atunci când consimțământul se dă printr-un singur clic, retragerea trebuie să fie la fel de ușoară în practică. Când consimțământul a fost obținut printr-o interfață a serviciului, de exemplu un site, retragerea trebuie să fie posibilă din aceeași interfață. Vizitatorul trebuie informat despre dreptul de retragere înainte de a consimți.
Raportul arată că proprietarii de site-uri ar trebui să ofere soluții ușor accesibile, precum o pictogramă mică, permanent vizibilă pe toate paginile, sau o legătură plasată într-un loc vizibil și standardizat. Totodată, el notează că nu se poate impune o soluție anume, iar în fiecare caz se verifică dacă retragerea este la fel de ușoară ca acordarea.
Întrebări de control pentru bannerul magazinului
Pe baza documentelor de mai sus, un banner poate fi verificat cu următoarele întrebări. Lista este un instrument de lucru, nu o garanție de conformitate.
- Refuzul: primul nivel oferă un mod clar de refuz, nu doar o legătură discretă?
- Casetele: categoriile din nivelul de preferințe pornesc nebifate?
- Acțiunea: consimțământul se exprimă printr-o acțiune clară, nu prin derularea paginii sau prin simpla navigare?
- Aspectul: culorile și contrastul permit citirea și înțelegerea tuturor opțiunilor?
- Scopurile: statisticile și publicitatea pot fi acceptate separat?
- Accesul: conținutul magazinului rămâne accesibil fără acceptare?
- Cookie-urile esențiale: fiecare cookie marcat „strict necesar” poate fi justificat?
- Retragerea: vizitatorul poate reveni oricând asupra alegerii, la fel de simplu cum a făcut-o?
Pe Shopify
Consentia este o aplicație de consimțământ pentru cookie-uri destinată magazinelor Shopify. Informații suplimentare găsiți pe pagina Funcții.
Surse: EDPB, Ghidul 05/2020 privind consimțământul, versiunea 1.1 · EDPB, Raportul Cookie Banner Taskforce, 17 ianuarie 2023 · ANSPDCP, Legea nr. 506/2004. Fotografii: Unsplash (Brooke Cagle; Vitaly Gariev).