Postupak kojim više od 80% web stranica traži da prihvatimo “kolačiće” – krši GDPR!

Uobičajeni skočni prozori kojim valjda svaka web stranica posjetitelje odmah zaskoči i pita prihvaćaju li “kolačiće” uglavnom krše GDPR! Šokantna je to vijest koja proizlazi iz odluke belgijskog nadzornog tijela za zaštitu osobnih podataka.

Na pritužbu koju je podnio Irish Council for Civil Liberties odlučili su da tehnološki okvir prihvaćanja kolačića Transparency and Consent Framework (TCF) koji je razvio europski IAB (krovno europsko udruženje za pitanja digitalnog oglašavanja) krši GDPR i IAB-u odrezali kaznu od 250.000 eura te dali rok od dva mjeseca da predstave plan aktivnosti kojim će riješiti nepravilnosti.

GDPR krši i lAB-ov OpenRTB, protokol za provođenje nadmetanja kojim oglašivači posjetiteljima web stranica ciljano plasiraju oglase prema podacima koji su o njima prikupljeni. Odnosno, podaci skupljeni putem raznih obavijesti o korištenju kolačića na koje na web stranicama klikamo, često i bez razmišljanja, dijele se s oglašivačima.

GDPR krši 80% web stranica?!

Upravo taj Transparency and Consent Framework koriste Google, Amazon, Microsoft kao posrednici u serviranju oglasa, a kao način dobivanja privole za prikupljanje informacija otprilike 80% svih web stranica. Ova odluka znači da bi sve tako prikupljene podatke trebali obrisati ili riskiraju visoke novčane kazne!

Stručnjak za privatnost podataka u IAPP KnowledgeNet chapter Hrvatska William Bello pomogao nam je raspetljati ovu, još jednu, zavrzlamu oko zaštite osobnih podataka i (ne)kršenja GDPR-a.

Podsjeća da dubioze oko IAB-ovog tehnološkog okvira postoje još od 2019. kad je lansiran “kako bi lancu vrijednosti u kompleksnoj industriji digitalnog oglašavanja ponudio rješenje koje će biti usklađeno s GDPR-om”. Iste godine, dodaje, nadzorna tijela u Belgiji, ali i u još nekoliko članica EU, dobili su prigovore na način primjene TCF na koje je sad stiglo ovo, nepravomoćno rješenje.

Što je točno krivo?

Prema tom rješenju TFC nije dovoljno precizan i transparentan prema posjetiteljima web stranica o tome koje sve njihove podatke prikuplja i što s njima radi:

• privola nije dovoljno specifična, informativna i granularna;
• interes digitalnih oglašivača stavlja ispred prava posjetitelja na privatnost;
• TCF nije uključivao obavezne organizacijske (putem procedura, uputa i sl.) i tehničke (enkripcija, sigurnosni protokoli kod slanja i primanja podataka i sl.) mjere kako bi se zaštitili osobne podatke od mogućih zloupotreba;
• smatra se da je IAB provodio stalnu i opsežnu obradu osobnih podataka, zbog čega je bio obavezan o tome voditi evidenciju i nadzornim tijelima dokazati poštovanje principa zaštite podataka, što nije učinjeno;
• nije provedena procjena učinka obrade podataka na prava posjetitelja i utjecaj na zaštitu njihovih podataka, na što su bili obavezni također zbog velike količine podataka koje obrađuju; i zadnje
• IAB Europe je bio uključen kao voditelj obrade u stalne i opsežne obrade osobnih podatak velikog broja građana (i to ne samo) EU te je morao imenovati službenika za zaštitu podataka koji će mu obavljati zadaće i poslove DPO, a to nisu učinili.

“Ljudi često klikaju na Prihvaćam nesvjesni što su zapravo prihvatili”

Bello dodaje i kako je adtech industrija, odnosno svi digitalni proizvodi i tehnologije koje u pozadini skupljaju podatke i oglašivačima olakšavaju da nas naciljaju, sad već prekomplicirana za prosječnog čovjeka. Zbog toga ljudi često klikaju na Prihvaćam nesvjesni što su zapravo dopustili, a TFC se nije baš potrudio to im objasniti.

Nije nužno svaki skočni prozor u kojem web stranica od posjetitelja traži da prihvati kolačiće kršenje GDPR-a i postoje dobri primjeri koji poštuju sve propise zaštite podataka. A postoje i web stranice na kojima obavijesti o kolačićima doista služe samo za ukras!

Iz IAB Europe su samo objavili da će se na odluku žaliti:

Smatramo da ova odluka nije u skladu sa zakonom i da će izuzetno negativno utjecati na industriju digitalnog oglašavanja, ali i puno šire

Ne smijemo zaboraviti da ova odluka dolazi nedugo nakon odluke austrijskog regulatora koji je, na sličnu pritužbu, zaključio da se GDPR može kršiti i korištenjem Google Analyticsa ako se tako prikupljeni podaci državljana EU prenose Googleovoj središnjici u SAD. Njemački je regulator prije koji dan kaznio web stranicu koja je “ugradila” Googleove fontove jer su ustanovili da se tako također Googleu mogu slati IP adrese posjetitelja.

“Priča s cookiejima je samo uvertira”

Od vlasnika ili voditelja web stranica sve se češće čuje da im je teško raditi u atmosferi pravne nesigurnosti gdje je teško procijeniti što krši, a što ne krši GDPR te ne znaju što im je činiti da ne riskiraju visoke novčane kazne.

Kako je rekla pravnica Ana Bačić sve ove odluke pokazuju da nadzorna tijela neće imati milosti ni prema kome, a na panelu na temu zaštite osobnih podataka i domaći AZOP je najavio kako će u samo jednom tjednu izreći kazne ukupne vrijednosti 1,5 milijuna kuna.  Čak i Google u svojoj službenoj reakciji zaziva što skorije službene dogovore između EU i SAD-a jer ovaj limb u kojem su postojeći propisi nevažeći, a novih nema ne koristi nikomu.

Bello predviđa da većina oglašivača, kao i većina web stranica u slučaju Google Analyticsa,  sad neće učiniti ništa već će čekati da IAB Europe otkloni utvrđene nesukladnosti. Međutim, kao konzultant za zaštitu osobnih podataka Bello im savjetuje:

Poruka oglašivačima, ali još više vlasnicima web stranica, jer su i oni dio igre, vrlo često i nesvjesno, je – počnite primjenjivati sedam principa Privacy by Design.

Počnite raditi na rješenjima koja poštuju privatnost jer će regulatori posezati za još jačim mjerama. „Dark patterns“ postaju sve češće dio regulative i zabrana, a priča s cookiejima je samo uvertira u ono što dolazi.