Ako vodite malo poduzeće, banner za kolačiće često je prvo što posjetitelj vidi. Ujedno je i jedna od prvih stvari koje provjeravamo kad radimo audit web-stranice. Svatko ga može provjeriti u nekoliko sekundi, a europska tijela za zaštitu podataka pregledavala su bannere u koordiniranim akcijama.
Većina problema s bannerima su odluke o dizajnu, a ne pravne zagonetke. Ovdje je pet pogrešaka koje provjeravamo prve, što kaže zakon i kako ih ispraviti.
Prvo, pravila u jednoj minuti
Ovdje zajedno djeluju dva propisa:
- Direktiva o e-privatnosti, članak 5. stavak 3. zahtijeva privolu prije pohranjivanja ili čitanja informacija na korisnikovu uređaju, kao što su kolačići, pikseli ili lokalna pohrana. Iznimka je sve što je strogo nužno za pružanje usluge koju je korisnik izričito zatražio ili što je potrebno isključivo za prijenos komunikacije.
- GDPR određuje što je valjana privola. Članak 4. stavak 11. kaže da mora biti „dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja” osobe, dano „izjavom ili jasnom potvrdnom radnjom”. Članak 7. dodaje uvjete, među ostalim da morate moći dokazati privolu i da je povlačenje privole mora biti jednako jednostavno kao i njezino davanje.
Pogreška 1: Unaprijed označena polja ili „podrazumijevana” privola
Kako izgleda: prekidači za analitiku i marketing već su uključeni, ili banner kaže „Nastavkom pregledavanja prihvaćate kolačiće.”
Što zahtijeva zakon: Uvodna izjava 32. GDPR-a jasno navodi da „šutnja, unaprijed označeni okviri ili manjak aktivnosti stoga ne bi trebali predstavljati privolu.” Sud Europske unije potvrdio je to za kolačiće u predmetu Planet49 (C-673/17, presuda od 1. listopada 2019.): unaprijed označen okvir koji korisnik mora odznačiti da bi odbio ne daje valjanu privolu. Sud je također presudio da se to primjenjuje bez obzira jesu li podaci pohranjeni na uređaju osobni podaci te da korisnicima treba reći koliko kolačići traju i imaju li treće strane pristup njima.
Smjernice 05/2020 Europskog odbora za zaštitu podataka (EDPB) o privoli idu dalje: puko nastavljanje korištenja web-stranice nije izražavanje privole, a listanje ili prelazak prstom „ni u kojem slučaju” ne zadovoljava zahtjev jasne potvrdne radnje.
Kako to ispraviti:
- Postavite svaku nebitnu kategoriju na isključeno prema zadanim postavkama.
- Uklonite svaku formulaciju tipa „nastavkom korištenja ove stranice”.
- Pokrećite nebitne oznake tek nakon jasnog klika na „Prihvati” ili na određenu kategoriju.
- U svom banneru ili politici kolačića navedite svrhu, trajanje i sve treće strane za svaku kategoriju.
Pogreška 2: Nema ravnopravnog gumba „Odbij sve” na prvoj razini
Kako izgleda: velik gumb „Prihvati sve” pokraj „Postavke” ili „Upravljanje postavkama”. Da bi odbio, posjetitelj mora otvoriti drugi zaslon i isključivati stavke jednu po jednu.
Što zahtijeva zakon: privola mora biti dobrovoljna, a odbijanje ne smije zahtijevati više truda od prihvaćanja. U izvješću Radne skupine EDPB-a za bannere kolačića (usvojeno 17. siječnja 2023.) golema većina tijela smatrala je da izostanak opcije odbijanja na istoj razini kao opcija prihvaćanja krši članak 5. stavak 3. Direktive o e-privatnosti. Neki nacionalni regulatori, poput francuskog CNIL-a, već su zauzeli taj stav u vlastitim smjernicama i sankcijama.
Kako to ispraviti:
- Stavite „Odbij sve” (ili „Odbij nebitno”) na prvu razinu, pokraj „Prihvati sve”.
- Zadržite „Prilagodi” kao treću opciju ako želite, ali nikad kao jedini put do odbijanja.
- Provjerite na mobitelu, gdje se gumbi često slažu jedan na drugi ili skrivaju.
Pogreška 3: Kolačići postavljeni prije privole
Kako izgleda: banner izgleda savršeno, ali kad pri prvom učitavanju stranice otvorite alate za razvojne programere preglednika, kolačići za analitiku, oglašavanje ili društvene mreže već su tamo prije nego što je itko kliknuo.
Što zahtijeva zakon: članak 5. stavak 3. zahtijeva privolu prije pohranjivanja informacija na uređaju ili pristupa njima, osim ako se primjenjuje iznimka za strogo nužne kolačiće. Banner koji traži privolu nakon što su se alati za praćenje već učitali samo je ukras. Prema članku 7. stavku 1. GDPR-a morate moći i dokazati da je privola dobivena.
Kako to ispraviti:
- Prvo učitajte alat za privolu i blokirajte sve nebitne skripte dok se privola ne da. Većina platformi za upravljanje privolom to podržava, ali treba ga podesiti.
- Provjerite i ugrađeni sadržaj: YouTube videozapisi, karte, chat widgeti i gumbi društvenih mreža često sami postavljaju kolačiće.
- Testirajte sami. Otvorite privatni prozor, učitajte stranicu i pogledajte kolačiće i mrežne zahtjeve prije nego što išta kliknete. Zatim kliknite „Odbij sve” i provjerite ponovno.
- Vodite evidenciju izbora privole (vremenska oznaka, verzija bannera, odabrane opcije) kako biste mogli dokazati privolu ako se to traži.
Pogreška 4: Mračni obrasci u bojama i rasporedu
Kako izgleda: svijetao gumb „Prihvati” visokog kontrasta i blijedosiva poveznica „Odbij”. Ili opcija odbijanja napisana sitnim slovima unutar odlomka. Ili banner koji se zatvori klikom na X i to tiho broji kao privolu.
Što zahtijeva zakon: izvješće Radne skupine obrađuje nekoliko ovih praksi. Tijela su se složila da ne mogu nametnuti jednu standardnu boju ili kontrast svim web-stranicama. Umjesto toga, svaki se banner procjenjuje od slučaja do slučaja kako bi se utvrdilo je li njegov dizajn očito obmanjujući. Izvješće navodi i prakse zbog kojih privola može biti nevaljana, uključujući opciju odbijanja prikazanu samo kao poveznica unutar teksta i obmanjujući dizajn gumba. Smjernice EDPB-a 03/2022 o obmanjujućim obrascima dizajna (pisane za platforme društvenih mreža, ali korisne za razumijevanje načina razmišljanja regulatora) opisuju taktike poput „preskakanja”, „ometanja” i „usmjeravanja” korisnika prema određenom izboru.
Kako to ispraviti:
- Dajte „Prihvati sve” i „Odbij sve” istu veličinu, oblik i vizualnu težinu.
- Koristite jednostavne oznake gumba. Izbjegavajte trikove poput „Ne, hvala, ne volim bolji sadržaj”.
- Ne tretirajte zatvaranje bannera kao privolu.
Pogreška 5: Povlačenje privole teže je od davanja
Kako izgleda: prihvaćanje traži jedan klik na početnoj stranici, a promjena odluke znači tražiti poveznicu skrivenu na dnu politike privatnosti ili pisati tvrtki e-poštom.
Što zahtijeva zakon: članak 7. stavak 3. GDPR-a vrlo je jasan: „Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.” Osobu o tom pravu treba obavijestiti prije davanja privole. Smjernice EDPB-a o privoli dodaju da, kad se privola daje jednim klikom miša, prelaskom prstom ili pritiskom tipke, osobe je u praksi moraju moći povući jednako lako, putem istog sučelja.
Kako to ispraviti:
- Dodajte trajan i lako pronalazan način za ponovno otvaranje postavki kolačića, poput male plutajuće ikone ili jasne poveznice „Postavke kolačića” u podnožju svake stranice.
- Neka povlačenje djeluje odmah: zaustavite oznake i obrišite ili istekite nebitne kolačiće gdje možete.
- Na prvoj razini bannera navedite da ljudi mogu promijeniti odluku u bilo kojem trenutku i gdje.
Brza samoprovjera prije nego što završite
Kad radimo audit stranice, provjeravamo ovim redom: zadano stanje, prva razina, aktivnost prije klika, dizajn gumba, pa povlačenje privole. Isto možete napraviti u privatnom prozoru preglednika.
Ako želite brz prvi pogled, isprobajte besplatni GDPRGard AI audit od 30 sekundi. Bez registracije. A ako želite znati što je u igri, naš besplatni kalkulator rizika kazne daje vam okvirnu sliku vaše izloženosti.
Česta pitanja
Trebam li banner za kolačiće ako koristim samo „nužne” kolačiće?
Kolačići koji su strogo nužni za uslugu koju je korisnik zatražio (na primjer košarica ili sesija prijave) izuzeti su od privole prema članku 5. stavku 3. Direktive o e-privatnosti. Kolačići za analitiku i oglašavanje općenito se ne smatraju strogo nužnima.
Je li „Prihvati” plus „Postavke” dovoljno?
Općenito ne. Prema izvješću Radne skupine EDPB-a za bannere kolačića, većina europskih tijela smatra da prva razina mora nuditi način odbijanja koji je jednako dostupan kao način prihvaćanja.
Smijem li koristiti „zid kolačića” koji blokira stranicu dok ljudi ne prihvate?
Smjernice EDPB-a 05/2020 navode da uvjetovanje pristupa sadržaju prihvaćanjem kolačića ne dovodi do dobrovoljne privole. Nacionalna pravila i smjernice mogu se razlikovati u pojedinostima, stoga provjerite regulatora u svojoj zemlji.
Primjenjuje li se pravilo o privoli za kolačiće i kad kolačići ne sadrže osobne podatke?
Da. U predmetu Planet49 Sud je presudio da se zahtjev za privolom iz članka 5. stavka 3. primjenjuje na informacije pohranjene na korisnikovu uređaju bez obzira jesu li osobni podaci.
Koliko često trebam ponovno provjeravati svoj banner?
Provjerite ga kad god dodate novi alat, dodatak ili oznaku za praćenje te nakon ažuriranja platforme za privolu. Pomažu i povremene provjere.
Izvori
- GDPR, Regulation (EU) 2016/679, Articles 4(11), 7 and Recital 32, EUR-Lex
- ePrivacy Directive 2002/58/EC, Article 5(3), as amended by Directive 2009/136/EC, EUR-Lex
- CJEU, Case C-673/17, Planet49, Grand Chamber judgment of 1 October 2019, CURIA
- CJEU, Case C-673/17, Planet49, EUR-Lex
- EDPB, Guidelines 05/2020 on consent under Regulation 2016/679 (adopted 4 May 2020)
- EDPB, Report of the work undertaken by the Cookie Banner Taskforce (adopted 17 January 2023)
- EDPB, Guidelines 03/2022 on deceptive design patterns in social media platform interfaces (v2.0, 14 February 2023)
- CNIL: EDPB adopts final report of outcome of the cookie banner task force (18 January 2023)
Ovaj je članak samo opće informativne naravi i nije pravni savjet. Nacionalna pravila kojima se prenosi Direktiva o e-privatnosti razlikuju se među državama članicama EU-a, stoga provjerite smjernice svog lokalnog regulatora ili se obratite kvalificiranom stručnjaku za svoju konkretnu situaciju.
Pročitajte i:
- Mora li moja mala tvrtka biti usklađena s GDPR-om?
- Googleova kazna od 403 M€: podaci o lokaciji u vašoj aplikaciji su sljedeći
- EDPB je upravo standardizirao kako svako nadzorno tijelo izračunava vašu kaznu