Consimtamantul - formalitate obligatorie sau nu pentru folosirea de cookies?
Nu putem sa analizam obligativitatea obtinerii consimtamantului utilizatorului unui website, fara a aduce in discutie in primul rand, recenta decizie a Curtii de Justitie a Uniunii Europene, pronuntata la 1.10.2019 in cauza Federatiei Germane a Asociatiilor de Consumatori Bundesgerichtshof vs Planet49 GmbH (C-673/17).
Astfel, printre altele aspecte ce necesitau clarificare, in aceasta speta s-a pus problema valabilitatii consimtamantului persoanelor care utilizeaza un site atunci cand stocarea de informatii sau dobandirea accesului la informatii deja stocate in echipamentul terminal al utilizatorului se realizeaza pe baza unei casete de selectare predefinite, pe care utilizatorul trebuie sa o debifeze in cazul in care refuza sa isi exprime acordul. De asemenea, s-au solicitat clarificari asupra tipului datelor ce trebuie comunicate de furnizorul de servicii utilizatorului, astfel incat acesta sa primeasca informatii complete si clare, precum si asupra obligativitatii ca aceste date sa se refere si la durata de functionare a cookie-urilor.
In considerarea acestor intrebari, CJUE a statuat ca:
Astfel, printre altele aspecte ce necesitau clarificare, in aceasta speta s-a pus problema valabilitatii consimtamantului persoanelor care utilizeaza un site atunci cand stocarea de informatii sau dobandirea accesului la informatii deja stocate in echipamentul terminal al utilizatorului se realizeaza pe baza unei casete de selectare predefinite, pe care utilizatorul trebuie sa o debifeze in cazul in care refuza sa isi exprime acordul. De asemenea, s-au solicitat clarificari asupra tipului datelor ce trebuie comunicate de furnizorul de servicii utilizatorului, astfel incat acesta sa primeasca informatii complete si clare, precum si asupra obligativitatii ca aceste date sa se refere si la durata de functionare a cookie-urilor.
In considerarea acestor intrebari, CJUE a statuat ca:
- consimtamantul privind stocarea informatiilor sau dobandirea accesului la informatii prin intermediul cookie urilor, nu este exprimat in mod valabil atunci cand autorizarea rezulta dintr o casuta bifata in prealabil. Confirmand dispozitiile art. 5 alin. 3 din Directiva asupra confidentialitatii si comunicatiilor electronice, instanta a aratat in motivarea sa ca, cerinta unei manifestari de vointa a persoanei vizate reglementate de normele GDPR presupune in mod clar un comportament activ.
- tipul si durata de functionare a cookie urilor, precum si posibilitatea sau imposibilitatea ca tertii sa aiba acces la acele cookie uri, fac parte din informarea ce trebuie oferita utilizatorului unui site, intrucat se va considera ca un utilizatorul si-a exprimat acordul in mod valabil doar dupa ce a primit informatii clare si complete.
Pozitia CJUE nu ar trebui sa vina ca o surpiza din moment ce se raliaza directiilor trasate prin Documentul de lucru nr. 02/2013 privitor la obtinerea consimtamantului pentru cookies emis de Grupul de Lucru Articol 29 (organism inlocuit de European Data Protection Board EDPB odata cu intrarea in vigoare a Regulamentului European nr. 679/2016 privind protectia persoanelor fizice in ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date) si prin Opinia 04/2012 privitoare la exceptiile de la obtinerea consimtamantului pentru cookies, emisa de aceeasi autoritate. Astfel, in considerarea documentelor antementionate, indeosebi a exemplelor furnizate in cuprinsul acestora, sunt cu precadere importante urmatoarele aspecte:
1. ca regula, pentru folosirea cookie-urilor, este obligatorie obtinerea in prealabil a consimtamantului liber si informat al utilizatorului website-ului
Consimtamantul poate fi obtinut in modul dorit de furnizorul serviciilor informatice, cu conditia ca solicitarea sa sa fie usor vizibila pe prima pagina, consimtamantul sa poata fi usor de retras ulterior, consimtamantul sa fie usor de acordat pentru doar anumite categorii de cookie-uri in functie de scopul lor, utilizatorul sa isi poata modifica in mod facil preferintele la un moment ulterior celui primei alegeri, utilizatorul sa fie pe deplin informat.
2. consimtamantul trebuie acordat in mod activ, iar utilizatorilor sa le fie clar modul in care isi exprima consimtamantul
3. prin exceptie de la obligatia prevazuta la pct. 1 de mai sus, fara insa a afecta dreptul utitlizatorilor la informare si la opozitie prevazut de legislatia aplicabila domeniului protectiei datelor, consimtamantul acestora nu e necesar in doua situatii:
1. ca regula, pentru folosirea cookie-urilor, este obligatorie obtinerea in prealabil a consimtamantului liber si informat al utilizatorului website-ului
Consimtamantul poate fi obtinut in modul dorit de furnizorul serviciilor informatice, cu conditia ca solicitarea sa sa fie usor vizibila pe prima pagina, consimtamantul sa poata fi usor de retras ulterior, consimtamantul sa fie usor de acordat pentru doar anumite categorii de cookie-uri in functie de scopul lor, utilizatorul sa isi poata modifica in mod facil preferintele la un moment ulterior celui primei alegeri, utilizatorul sa fie pe deplin informat.
2. consimtamantul trebuie acordat in mod activ, iar utilizatorilor sa le fie clar modul in care isi exprima consimtamantul
3. prin exceptie de la obligatia prevazuta la pct. 1 de mai sus, fara insa a afecta dreptul utitlizatorilor la informare si la opozitie prevazut de legislatia aplicabila domeniului protectiei datelor, consimtamantul acestora nu e necesar in doua situatii:
- cookie-urile sunt folosite strict pentru asigurarea functionarii comunicatiilor electronice
- cookie-urile sunt absolut necesare pentru a putea oferi un serviciu al societatii informatice la cererea expresa a utilizatorului
4. autentificarea unui utilizator nu trebuie sa fie folosita ca o oportunitate de a utiliza cookie-uri pentru scopuri secundare, cum sunt acelea de monitorizare a comportamentului online sau de publicitate, fara a obtine comsimtamantul (n.n. expres, informat si prealabil) in acest sens
In final, precizam faptul ca desi cele doua documente emise de Grupul de lucru Articol 29 nu au caracter de obligativitate din perspectiva legala, atat decizia CJUE emisa in luna octombrie a acestui an cat si Directiva Europeana nr. 58/2002 privind prelucrarea datelor personale si protejarea confidentialitatii in sectorul comunicatiilor publice transpusa in legislatia romaneasca prin Legea nr. 506/2004, confirma cele de mai sus si obliga deci la respectarea regulilor mai sus amintite.
Newsletter PortalProtectiaDatelor.ro
Ramai la curent cu toate solutiile propuse de specialisti.
Aboneaza-te ACUM la Newsletterul PortalProtectiaDatelor.ro si primesti cadou Raportul special "Munca la domiciliu - Aspecte practice privind GDPR"!
Un produs marca