SÜTI, NEM SÜTI? –GDPR DÖNTÉS AZ EU BÍRÓSÁGTÓL COOKIE ÜGYBEN

30 October 2019

Bizonyára senki előtt sem ismeretlen az a jelenség, amikor egy honlap betöltésekor felugrik az ablak és arról tájékoztatnak bennünket, hogy a honlapon sütiket használnak. A GDPR hatályba lépése óta pedig még inkább kiemelt téma lett a „sütizés”. Nemrég az Európai Unió Bírósága (EUB) is a sütiknek szentelte figyelmét. Olvasd el rövid cikkünket, ha a honlapodon te is használsz sütiket és tudni szeretnéd, hogy mire érdemes figyelni az EUB új döntésének fényében.

1. Hogyan sütizett a Planet49?

A Planet49 nevű német cég nyereményjátékot szervezett a www.dein-macbook.de nevű honlapon. Ahhoz, hogy a látogató részt vegyen a nyereményjátékon meg kell adnia bizonyos személyes adatait, így nevét és címét.

A személyes adatok megadására szolgáló felület alatt két rövid tájékoztató szerepelt, mellettük pedig ún. jelölőnégyzetek voltak elhelyezve. Az első szöveg arról szólt, hogy a látogató hozzájárul, hogy a Planet49 szponzoraitól, illetve együttműködő partnereitől üzleti ajánlatokat kapjon. A szöveg melletti jelölőnégyzet nem volt előre bejelölve.

A második szöveg pedig arról szólt, hogy a felhasználó hozzájárul ahhoz, hogy a Planet49 olyan cookie-kat, azaz sütiket helyezzen el a felhasználó eszközén, amelyek alapján a felhasználó internethasználati szokásait értékeljék. A szöveg melletti jelölőnégyzet előre be volt pipálva.

2. Hogyan lett egy kis sütizésből EU bírósági ügy?

A Német Fogyasztóvédelmi Szövetség („Szövetség”) beperelte a Planet49-et, mert szerinte a Planet49 által alkalmazott gyakorlat, pontosabban az általa igényelt hozzájáruló nyilatkozatok nem felelnek meg a vonatkozó német jogszabályoknak.

A Szövetség és Planet49 közötti per egészen a német legfelsőbb bíróságig eljutott, amely úgy gondolta, hogy kezdeményeznie kell az EUB előzetes döntéshozatali eljárását.

A német legfelsőbb bíróság szerint ugyanis az ügy eldöntéséhez szükség van az Elektronikus hírközlési adatvédelmi irányelv és a GDPR (illetve „elődje”, az Adatvédelmi irányelv) értelmezésére.

3. Az EUB által vizsgált kérdések

Az EUB-nak az alábbi kérdéseket kellett megválaszolnia:

1. Érvényes hozzájárulásnak minősül-e az, ha a felhasználó az eszközében mentett információk cookie-k segítségével történő tárolását vagy azokhoz cookie-k segítségével való hozzáférést előre bejelölt négyzettel engedélyezi?
2. A hozzájárulás érvényességének megítélésénél van-e jelentősége annak, hogy a tárolt vagy lehívott információk (cookie-k) személyes adatok-e vagy sem?
3. Milyen információkat kell közölni a felhasználóval ahhoz, hogy a tájékoztatás megfeleljen az egyértelműség és teljeskörűség követelményének?

4. Az EUB válaszai

Az EUB a fenti kérdések megválaszolásához az Elektronikus hírközlési adatvédelmi irányelvet értelmezte együttesen a GDPR-el (illetve az Adatvédelmi Irányelvvel) és az alábbi megállapításokat tette.

1. Figyelemmel arra, hogy a fenti jogszabályokból egyértelműen az következik, hogy a felhasználó hozzájárulásához aktív magatartásra van szükség, a felhasználó előre bejelölt négyzet útján megadott hozzájárulása nem tekinthető érvényesnek.
2. Mivel az Elektronikus hírközlési adatvédelmi irányelv nemcsak a GDPR szerinti személyes adatok esetén kívánja meg a hozzájárulást, a cookie-k elhelyezéséhez akkor is szükség van érvényes hozzájárulásra, ha a felhasználó eszközén tárolt információk nem minősülnek személyes adatnak.
3. A cookie-k elhelyezéséhez szükséges a felhasználó teljes körű tájékoztatása, mely kiterjed a cookie-k tárolásának időtartamára, valamint arra, hogy harmadik személyek hozzáférhetnek-e a cookie-khoz.

 

5. Tanulság

Az ügy legfontosabb tanulsága, hogy az EUB a cookie-k kontextusában is megerősítette, hogy az „előre bepipált négyzet” útján adott „hozzájárulás” nem érvényes.

Emellett lényeges, hogy a cookie-k elhelyezéséhez nemcsak abban az esetben szükséges a felhasználó hozzájárulása, ha a cookie személyes adatnak minősül, hanem akkor, ha a cookie nem a felhasználó személyes adata.

Végül az EUB a cookie-k esetében az előzetes tájékoztatásra vonatkozó minimum követelményeket kiterjesztette a cookie-k tárolásának időtartamára, illetve a harmadik személyek általi hozzáférhetőségre.