Uniós bíróság: a felhasználók kifejezett hozzájárulása kell a cookie-k telepítéséhez

Az Európai Unió Bírósága (EUB) kedden hozott ítéletében kimondta, hogy a felhasználók aktív hozzájárulására van szükség ahhoz, hogy a weboldalak sütiken (cookie) keresztül hozzáférjenek a személyes adataikhoz. Ez azt jelenti, hogy a jól ismert és weboldalak által gyakran alkalmazott, előre kipipált négyzet elfogadása helyett a felhasználóknak maguknak kell kipipálni a hozzájárulás megadását jelentő négyzetet. 

A proaktív magatartás elvárássá tétele elősegítheti azt, hogy a felhasználók megtagadják a hozzájárulást, átgondoltabb döntést hozzanak arról, hogy valóban szeretnék-e az internetes oldalak rendelkezésére bocsátani a személyes adataikat, amelyeket később vélhetően reklám célokra fognak használni. 

A döntés az egész Európai Unió területén kötelező érővel rendelkezik, így fontos mérföldkő az online világgal kapcsolatos hatékonyabb és magasabb védelmet jelentő szabályok kialakításában és érvényesítésében.

Németországból indult az ügy

Az eredetileg Németországból induló ügyben fogyasztóvédelmi szervezetek fordultak a bírósághoz a Planet 49 weboldal ellen. Az oldal online lottózási lehetőségeket nyújtott, miközben tömegével gyűjtötte be a felhasználók adatait az előre kipiált négyzeteken keresztül begyűjtött hozzájárulással.

A játékban való részvételhez a felhasználóknak két négyzetet kellett kipipálniuk, amelyből a sütik (cookie) használatára vonatkozó négyzet valójában már előre ki volt pipálva. Ahhoz, hogy a hozzájárulást visszavonják, a felhasználóknak aktívan vissza kellett vonniuk a pipát. A német fogyasztóvédelmi szervezetek szakértői szerint ez a gyakorlat szembe megy az európai adatvédelmi standardokkal.

Nincsenek rendben az előre kipipált négyzetek

Az EUB arra jutott, hogy „a hozzájárulás, amelyet a felhasználó ad a sütik eszközén való tárolásához és hozzáféréséhez, nem tekinthető érvényesen megadottnak, ha az egy előre kipipált négyzeten keresztül történik, amelyet a felhasználónak kell visszavonnia, ha a hozzájárulást meg kívánja tagadni.”

A döntés szerint a hozzájárulásnak kifejezettnek kell lennie, tehát az abba való beleegyezés, hogy valaki részt kíván venni a lottójátékban, nem tekinthető automatikusan érvényes hozzájárulásnak a sütik telepítéséhez is. Továbbá, a szolgáltatás nyújtójának (a weboldalnak) kötelessége informálni a felhasználót arról, hogy a sütik meddig fognak működni, illetve azokhoz lesz-e hozzáférése harmadik személyeknek. 

Szorul a hurok?

A döntés az adatvédelem területén mérföldkőnek számít, egyúttal a nagy tech cégek adatgyűjtési gyakorlatával szembeni fellépésnek is tekinthető. Fontos iránymutatás lehet a jelenlegi adatvédelmi szabályok értelmezésében, továbbá a szabályozás jövőbeli alakulására vonatkozóan, amely vélhetően szigorúbb keretek közé fogja szorítani az adatok ilyen típusú gyűjtését. 

A mostani ítélet tanulsága, hogy a jelenleg hatályos szabályok „kreatív” és kiskapukat kereső értelmezésére nem nyitott az EUB. Számos perben uralkodó érvelés az is, hogy az online oldalak megkerülik az adatvédelmi szabályokat azzal, hogy például a Google-hez vagy a Facebook-hoz való hozzáférés feltételévé teszik az adatgyűjtéshez való hozzájárulást. Jelenleg bevett gyakorlat, hogy az egyes oldalak látogatásakor felugró ablakon lehet hozzájárulni a sütik telepítéséhez, azonban ez az egyetlen módja annak, hogy valaki hozzájusson az oldalon szereplő tartalomhoz. A felhasználók ennek megfelelőn szinte mindig hozzájárulásukat adják. 

A felhasználók adatai hatékonyabb védelmének kérdése az új Európai Bizottság felállásával minden bizonnyal ismét asztalra kerülhet. Az ún. ePrivacy Regulation, amely az online kommunikáció területét érintő adatvédelmi szabályok bevezetését célozza már korábban is napirenden volt, azonban egyelőre nem sikerült átvinni a szabályozást a Tanácson. Az ítélet vélhetően hatással lesz a tárgyalási folyamatokra. 

Csütörtökre az EUB újabb nagy jelentőségű döntése várható, ezúttal a Facebook-ot érintő ügyben. Abban a kérdésben fog dönteni, hogy a Facebook felelős-e a gyalázkodó tartalmak eltávolításáért a teljes globális platformjáról, vagy erre csupán azon ország irányába van kötelezettsége, ahonnan az adott panasz érkezett.