A hazai honlapüzmeltetőknek és a mostanság induló webshopoknak érdemes tanulnia abból az esetből, ahogyan a sütik nem megfelelő kezelésére Franciaországban ráfizetett a Google és az Amazon. A jogalap ugyanaz, de a hazai gyakorlat néhány részete még nem kiforrott. Így lehet elkerülni a büntetést.
A Francia Adatvédelmi Hatóság (CNIL) tavaly decemberben rekordösszegű, összesen 135 millió eurós (48 milliárd forint) bírsággal sújtotta a Google-t és az Amazont, mert ezek a cégek megfelelő tájékoztatás és a felhasználók hozzájárulása nélkül helyeztek el olyan sütiket az érintett személyek eszközén, amely
lehetővé tette a felhasználók online tevékenységének széleskörű megfigyelését.
„A bírság kiszabásának alapjául egy olyan uniós irányelv alapján született jogszabályi rendelkezés szolgált, amely megtiltja a sütik elhelyezését azt megelőzően, hogy az érintett előzetes és világos tájékoztatást követően a sütikezeléshez hozzájárult volna – mutat rá dr. Simon Emese Júlia, a BDO Legal partnere. – A francia hatóság elé kerülő esetekben a honlap megnyitásakor a Google azonnal 7, az Amazon nem kevesebb, mint 40 sütit helyezett el az érintettek előzetes engedélye nélkül.”
Süti: a trójai faló, ami alapból nem akar rosszat, de…
A sütik (ismert angol nevükön: cookie-k) olyan apró file-ok, amelyek – technikailag – akkor jelennek meg a számítógépeken (illetve mobileszközökön), amikor a felhasználó megnyit egy weboldalt, pontosabban letölti annak tartalmát, a sütikkel együtt.
A sütik számos célból kezelhetők: bizonyos fajtáik az adott weboldal informatikai biztonságát szolgálják, a legtöbb azonban a felhasználok webes tevékenységének megfigyelésére szolgál. Ezekre az adatokra a digitális adatkezelőknek egyrészt a szolgáltatásaik fejlesztése érdekében van szükségük, másrészt azonban a sütik általi megfigyelés révén lehetőség nyílik egy felhasználói profil létrehozatalára, amely profilt később a felhasználó preferenciához igazított marketingcélokra használják fel.
A CNIL a Google és az Amazon esetében azt is kifogásolta, hogy a vállalkozások honlapján a sütik kezelésével kapcsolatos felugró ablak nem tájékoztatja az érintetteket a sütik kezelésével kapcsolatos lényeges körülményekről, például
a sütik által gyűjtött adatok kezelésének céljáról, valamint arról, hogy az érintettek milyen módon tudják megtiltani a sütik kezelését.
Adatokat azonban más is kezel, a Covid-19 miatt pedig sorra nyílnak a webshopok. A kérdés adott: beleeshet-e egy kisebb honlap üzemeltetője a fenti hiába? Természetesen igen: nemcsak a nagyok kaphatnak bírságot a rossz gyakorlatra.
Hogyan kerülhetők el a bírságok hasonló ügyekben?
„Mivel a hazai jog a francia joghoz hasonlóan vette át a bírság alapjául szolgáló uniós irányelvet, Magyarországon sincsen jogszabályi akadálya annak, hogy a hasonló eseteket a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) más adatvédelmi hatóságtól függetlenül vizsgálhassa és szankcionálhassa akár hazai, akár Magyarország területére irányuló elektronikus szolgáltatást végző külföldi vállalatok kapcsán” – hangsúlyozza Teleki Lóránt, a BDO Legal adatvédelmi tanácsadója.
Az elmarasztaló határozat elkerülésének leghatékonyabb módja az alábbi alapelvek betartása lehet:
- A sütik kezeléséhez való hozzájárulás lehetősége mellett az elutasítás opciót is könnyen hozzáférhetővé kell tenni a felhasználó számára – (Ezek konkrét vizuális kialakítására nézve a magyar hatóságnak még nincs átfogó ajánlása, noha az eltérő technikai megoldások komolyan befolyásolják a felhasználó döntését a hozzájárulás megadásának tekintetében.)
- A sütik kezelésének céljáról és egyéb körülményekről előzetesen tájékoztatni kell a felhasználót – Erre vonatkozóan létezik az Európai Adatvédelmi Testületnek egy 2013-as iránymutatása, amely tartalmazza az érintett információk körét: az adott süti kezelésének célját (pl. marketing, statisztika), a tárolás idejét, továbbá a sütik által kezelt adatkört. Ezen túl szükséges kitérni arra is, hogy az adott süti harmadik féltől származik-e, vagy harmadik fél hozzáférhet-e a sütikhez.
- A sütik elhelyezése kizárólag azt követően jogszerű, hogy az érintett hozzájárult az adatkezeléshez – a NAIH ezzel összefüggésben egy tavalyi állásfoglalásában megerősítette, hogy a honlap üzemeltetőjének biztosítania kell, hogy az érintettek egyesével eldönthessék, hogy az adott típusú süti működéséhez hozzájárulnak-e vagy sem. Emellett hangsúlyozta, hogy a honlapoknak akkor is korlátozás nélkül elérhetőnek kell lennie a felhasználók számára, ha a felhasználó semmilyen süti telepítéséhez nem járul hozzá. Egy korábbi NAIH ajánlás pedig azt rögzíti, hogy egy honlapon nem szerepelhet olyan süti, amelyek harmadik személyek gyűjthetnek adatot a felhasználó hozzájárulása nélkül.
Nem mindig szükséges az érintettek hozzájárulása
Fontos azonban felhívni a figyelmet arra, hogy bizonyos (ún. „nélkülözhetetlen”) sütik esetében nincs szükség az érintett hozzájárulására. Például ilyen sütinek tekinthető az a süti, amely az érintett sütikezeléssel kapcsolatos elutasító nyilatkozatát tárolja. Ide tartoznak továbbá azok a sütik is, amelyek kezelése információbiztonsági szempontokból kifolyólag szükséges (pl. túlterheléses támadásokkal szemben).