Küpsiste bänner väikesele veebilehele: mida ELi õigus nõuab ja mida mitte

Küpsiste bänner on veebi kõige tüütum osa. See on ka üks segasemaid teemasid neile, kes veebilehti teevad. Kas bännerit on üldse vaja? Kui on, siis millist? Kas võib lihtsalt kirjutada „Saiti kasutades nõustute küpsistega“ ja asjaga lõpetada?

Pidime neile küsimustele vastama, kui tegime väikestele saitidele oma küpsiste bänneri Consent. Selle tööd näete saidil fewbase.com, sest kasutame seda oma saidil. Allpool on kirjas, mida ELi õigus ja Euroopa andmekaitseasutused tegelikult ütlevad. Kasutame ainult esmaseid allikaid: direktiivi, isikuandmete kaitse üldmäärust (IKÜM), Euroopa Liidu Kohut ja Euroopa Andmekaitsenõukogu (EDPB).

See ei ole õigusnõu. Kui teie olukord on keeruline, pidage nõu juristiga.

Peamine reegel mahub ühte lausesse

See tuleneb e-privaatsuse direktiivi artikli 5 lõikest 3. Külastaja seadmesse tohib teavet salvestada või sealt teavet lugeda ainult külastaja nõusolekul. Enne tuleb selgelt selgitada, milleks seda tehakse (direktiiv 2002/58/EÜ).

Sellest tuleneb kaks asja:

• Jutt ei ole ainult küpsistest. EDPB ütleb, et reegel hõlmab ka „sarnaseid tehnoloogiaid“: jälgimispiksleid, jälgimisandmeid linkides, seadme identifikaatorite lugemist ja seadme sõrmejälje tuvastamist (fingerprinting) (EDPB suunised 2/2023).
• Pole tähtis, kas andmed on isikuandmed või mitte. Euroopa Liidu Kohus ütles seda kohtuasjas Planet49 (C-673/17).

Millal nõusolekut vaja ei ole

Reeglil on kaks erandit. Nõusolekut ei ole vaja, kui salvestamine või lugemine on vajalik ainult andmete edastamiseks võrgu kaudu. Samuti ei ole seda vaja, kui see on rangelt vajalik, et osutada külastajale teenust, mida ta ise soovis (artikli 5 lõige 3).

2012. aasta arvamuses loetlesid ELi andmekaitseasutused, mis siia tavaliselt kuulub (WP29 arvamus 04/2012):

• seanss pärast seda, kui külastaja on sisse loginud;
• ostukorv või mitmel lehel olev vorm;
• turvaküpsised, näiteks paroolide äraarvamise vastu;
• koormuse jaotamine serverite vahel;
• lühiajalised küpsised külastaja valitud seadete jaoks, näiteks keele jaoks.

EDPB lisab siia küpsised, mis jätavad meelde külastaja enda valikud. Nende hulka kuulub ka vastus küpsiste bännerile endale (EDPB küpsisebännerite töörühma aruanne, punkt 30).

Siia ei kuulu: püsiv sisselogimine „jäta mind meelde“, mis kehtib ka järgmistel külastustel, samuti reklaam, uuesti turundamine (remarketing) ja analüütika.

Seega kui teie sait kasutab ainult neid tehnilisi küpsiseid, ei ole nõusolekubännerit vaja. Siiski peaksite neid oma privaatsuspoliitikas kirjeldama.

Analüütika on kõige levinum lõks

Paljud peavad analüütikat „vajalikuks“. ELi järelevalveasutused ei ole sellega nõus. Saidi omanik vajab külastuste statistikat, kuid külastaja ei palunud seda. Seetõttu ei kuulu analüütikaküpsised erandi alla ja nende jaoks on vaja nõusolekut (WP29, punkt 4.3). Ka Andmekaitse Inspektsioon (AKI) loeb analüütikaküpsised lisaküpsiste hulka, mille jaoks on vaja eelnevat nõusolekut (aki.ee).

Mõnes riigis on omad erandid. Näiteks lubab Prantsuse järelevalveasutus CNIL külastatavust mõõta ilma nõusolekuta, kui täidetud on ranged tingimused: kogutakse ainult teie enda statistikat, andmeid ei seota muude andmetega, IP-aadress on lühendatud ja eluiga on kuni 13 kuud (CNIL). Kuid see on Prantsusmaa reegel, mitte ELi oma.

Milline on nõuetekohane bänner

Kui vajate nõusolekut, kehtivad bännerile selged nõuded.

Enne valikut ei käivitu midagi

Küpsiseid, mis vajavad nõusolekut, ei tohi seada enne, kui külastaja on nupule klõpsanud. Nõusolek peab olema aktiivne tegevus (töörühma aruanne, punkt 7).

Kerimine ei ole nõusolek

Kerimine, pühkimine või „saidi kasutamise jätkamine“ ei ole kunagi nõusolek (EDPB suunised 05/2020, punkt 86). Lause „Jätkates nõustute“ ei toimi.

Linnukesi ei panda ette

Euroopa Liidu Kohus välistas selle kohtuasjas Planet49.

Keelduda on sama lihtne kui nõustuda

Enamik Euroopa andmekaitseasutusi peab rikkumiseks, kui bänneril on nupp „Nõustu“, kuid samal ekraanil ei ole nuppu „Keeldu“ (töörühma aruanne, punkt 8). Keeldumise võimalus ei tohi olla peidetud kahvatu lingina ja kujundus ei tohi inimesi „Nõustu“ poole suunata.

Valik iga eesmärgi kohta

Külastaja peab saama lubada analüütika ja keelduda reklaamist, selle asemel et kõigega ühe paketina nõustuda (suunised 05/2020, punkt 42).

Selge selgitus

Öelge külastajatele, milleks küpsised on, kui kaua need kehtivad ja kas kolmandatel isikutel on neile juurdepääs. Ka see tuleneb Planet49 kohtuotsusest.

Küpsisemüüri ei tohi olla

Saiti ei tohi blokeerida, kuni inimene on nõustunud (suunised 05/2020, punkt 39).

„Õigustatud huvi“ ei sobi

Artikli 5 lõike 3 alla kuuluvate küpsiste puhul ei ole saidi omaniku õigustatud huvi kehtiv õiguslik alus (töörühma aruanne, punkt 24).

Meelt saab muuta igal ajal

Nõusoleku tagasivõtmine peab olema sama lihtne kui selle andmine (IKÜM, artikli 7 lõige 3). EDPB soovitab selleks näiteks väikest ikooni, mis jääb lehel kogu aeg nähtavaks (töörühma aruanne, punkt 32).

Nõusolekut peab saama tõendada

Õigusaktis ei ole otsesõnu kirjas „pidage nõusolekute logi“. Kuid saidi omanik peab suutma tõendada, et nõusolek anti (IKÜM, artikli 7 lõige 1). EDPB selgitab, et viitest „õigesti seadistatud veebilehele“ ei piisa. Vaja on kirjet selle kohta, millal ja kuidas nõusolek anti. Samal ajal ei tohiks selleks koguda rohkem andmeid, kui vaja (suunised 05/2020, punktid 106–108).

Kui kasutate Google’i reklaame, palub ka Google’i enda poliitika nõusolekute kohta arvestust pidada (EU User Consent Policy).

Google Consent Mode v2, kui kasutate Google Analyticsit või Google Adsi

Consent Mode annab Google’i märgenditele teada, millega külastaja nõustus. 2023. aasta novembris lisas Google varasematele parameetritele ad_storage ja analytics_storage kaks uut: ad_user_data ja ad_personalization. Seda versiooni nimetatakse v2-ks (Google). Euroopa Majanduspiirkonna külastajate puhul palub Google koguda nõusolekut ja saata need signaalid. Ilma nendeta lakkavad töötamast mõõtmine, reklaamide isikupärastamine ja uuesti turundamine (Google Ads Help).

Mis siis, kui teie sait ei ole ELis?

IKÜM kehtib ka väljaspool ELi asuvate ettevõtete suhtes, kui nad pakuvad kaupu või teenuseid inimestele ELis või jälgivad nende käitumist seal (IKÜM, artikli 3 lõige 2). Ainuüksi sellest, et inimesed ELis saavad teie saiti avada, ei piisa. Oluline on, kellele sait on mõeldud: keel, valuuta, viited klientidele ELis (EDPB suunised 3/2018).

Kontrollnimekiri

• Pange kirja kõik oma saidi küpsised ja skriptid: analüütika, reklaamid, vestlusvidinad, manustatud videod, pikslid.
• Ainult tehnilised küpsised? Nõusolekubännerit pole vaja. Piisab privaatsuspoliitikast.
• Analüütika või reklaamid? Vajate bännerit.
• Enne külastaja valikut ei käivitu midagi.
• „Nõustu“ ja „Keeldu“ on esimesel ekraanil ja võrdselt nähtavad.
• Valik iga kategooria kohta, ilma ette pandud linnukesteta.
• Selgitus: milleks, kui kauaks ja kas kolmandad isikud saavad juurdepääsu.
• Külastaja saab oma valikut igal ajal muuta.
• Valikud salvestatakse ilma liigsete isikuandmeteta.
• Google Analytics või Google Ads? Consent Mode v2 on ühendatud.

Kuidas me seda ise tegime

Tegime väikestele saitidele bänneri Consent, mis järgib seda nimekirja vaikimisi.

Üks koodirida

Lisate oma saidile ühe rea. Kõik muu seadistate juhtpaneelil saidil fewbase.com.

Nõustumine ja keeldumine näevad välja ühtemoodi

„Nõustu kõigiga“ ja „Keeldu kõigist“ on sama värvi ja sama suurusega ning nende kõrval on „Seaded“. Midagi ei ole ette valitud.

Neli kategooriat

Vajalikud, eelistused, statistika ja turundus. Iga kategooria all näeb külastaja teenuseid, mille te sellega sidusite.

Tööriistad on välja lülitatud, kuni külastaja valib

Google Tag Manageri, GA4, Google Adsi, Meta Pixeli ja Microsoft Clarity ühendate nende ID abil ning saate lisada ka oma skripte. Consent Mode v2 on sisse ehitatud.

Tee tagasi

Pärast valikut jääb lehe nurka väike nupp. See avab seaded uuesti, nii et külastaja saab meelt muuta.

Nõusolekute logi

Igas kirjes on kuupäev, valik, kategooriad, keel, leht ja riik. IP-aadresse, nimesid ega e-posti aadresse seal ei ole. Logi saab eksportida CSV-failina.

Teie keel ja teie välimus

Bänner räägib 26 keelt, sellel on hele ja tume teema ning saate kirjutada oma tekstid.

Ausalt öeldes ei tee Consent üht asja: see ei skanni teie saiti. Skript, mida te ei ühendanud ega märgistanud, töötab edasi nagu varem. Seega kontrollige pärast bänneri lisamist oma lehti.

Saate alustada tasuta.