Бисквитки и съгласие: какво изисква законът от банера на сайта

Почти всеки сайт в ЕС показва банер за бисквитки, но много от тях не отговарят на правилата. Някои нямат бутон за отказ, други приемат превъртането за съгласие, трети слагат „статистически“ бисквитки сред „необходимите“. Тук обясняваме правилото, изключенията от него и позициите на европейските органи по защита на данните, за да настроите банера така, че съгласието да е валидно.

Какво е бисквитка

Бисквитката е малко парче данни, което сървърът изпраща на браузъра. Браузърът го пази и го връща на същия сървър при следващите заявки. MDN изброява три основни употреби: управление на сесията (вход, количка за пазаруване), лични настройки (език, тема) и проследяване на поведението на посетителя. Бисквитките могат да са сесийни, които изчезват при затваряне на браузъра, или постоянни, със срок, зададен от сайта. Бисквитки от трети страни се поставят от вградено чуждо съдържание, например рекламни мрежи или бутони на социални мрежи.

Правилото по-долу не споменава бисквитките по име. То говори за всяко съхраняване на информация в устройството на посетителя и за всеки достъп до вече съхранена там информация.

Правилото

Член 5, параграф 3 от Директивата за неприкосновеността на личния живот в електронните комуникации (2002/58/ЕО, в редакцията от 2009 г.) позволява съхраняването на информация или достъпа до информация в крайното устройство на потребителя само ако той е дал съгласие, след като е получил ясна и изчерпателна информация, включително за целите. В България това правило е въведено със Закона за електронните съобщения.

Изключенията са две:

• техническо съхранение или достъп с единствената цел да се предаде съобщение по електронна съобщителна мрежа;
• когато съхранението е строго необходимо, за да се предостави услуга, изрично поискана от потребителя.

На практика без съгласие могат да работят бисквитките за вход, за количката и за запомняне на избора на посетителя за самите бисквитки. Работната група на EDPB за банерите припомня и становището, според което бисквитките, които пазят предпочитанията на потребителя за дадена услуга, се смятат за необходими. Статистика, реклама и вградени видеа с проследяване изискват съгласие.

Какво е валидно съгласие

Директивата препраща към определението за съгласие в Общия регламент относно защитата на данните (GDPR): свободно изразено, конкретно, информирано и недвусмислено, дадено с ясно потвърждаващо действие. Насоките на Европейския комитет по защита на данните (EDPB) 05/2020 уточняват няколко неща, които засягат пряко банерите:

• Превъртането не е съгласие. Превъртане или плъзгане по страницата при никакви обстоятелства не е ясно потвърждаващо действие (пример 16 от насоките).
• Без предварително отметнати полета. Мълчание, предварително отметнати полета или бездействие не са съгласие (съображение 32 от GDPR).
• Без „стена от бисквитки“. Ако съдържанието е недостъпно, докато посетителят не приеме бисквитките, съгласието не е свободно (точка 39 от насоките).
• Оттеглянето трябва да е толкова лесно, колкото даването. Ако съгласието е дадено с едно щракване, и оттеглянето трябва да е с толкова усилие (член 7, параграф 3 от GDPR и точки 113–114 от насоките).

Какво казва работната група за банерите

През януари 2023 г. EDPB прие доклада на работна група, която обобщава общата позиция на надзорните органи по жалби за банери. Основните изводи:

• Бутон за отказ. По подразбиране не се поставят бисквитки, които изискват съгласие. Огромното мнозинство органи смятат, че банер с бутон „Приемам“, но без възможност за отказ на нито едно ниво, не отговаря на изискванията за валидно съгласие.
• Отказ, скрит във връзка. Ако приемането е бутон, а отказът е малка връзка в текста, банерът подвежда.
• Подвеждащи цветове и контраст. Няма задължителен стандарт за цветовете, но бутон за отказ с почти нечетим текст е явно подвеждащ.
• „Законен интерес“. Поставянето или четенето на бисквитки по член 5, параграф 3 не може да се основава на законен интерес.
• Невярно обявени „необходими“ бисквитки. Собственикът на сайта трябва да може да докаже защо всяка бисквитка в списъка е наистина необходима.
• Оттегляне. Посетителят трябва да може да оттегли съгласието си по всяко време по лесно достъпен начин, например с малка постоянно видима икона или с връзка на видимо и обичайно място.

Как да подредите банера

1. Не зареждайте статистика, реклами или проследяващи скриптове преди съгласието.
2. Сложете „Приемам“ и „Отказвам“ на първия екран на банера, с еднаква видимост.
3. Обяснете с кратки думи кои бисквитки са за какво и кой ги поставя.
4. Пазете избора на посетителя и не питайте отново при всяко посещение.
5. Дайте постоянна връзка, например в долната част на страницата, за промяна на избора.
6. Опишете бисквитките в политиката за поверителност.

На нашия сайт банерът е подреден по този начин, а описанието на бисквитките е в политиката за поверителност. Бисквитките са само част от задълженията към личните данни на посетителите; останалите са в статията за GDPR за собственици на сайтове.