Slapukai ir sutikimo juosta: ko reikalauja ERĮ ir BDAR

Saugoti informaciją lankytojo įrenginyje arba ją iš ten skaityti galima tik gavus jo sutikimą, prieš tai aiškiai ir išsamiai jį informavus, taip pat apie tikslus (ERĮ 73 str. 4 d.). Įstatymas numato tik dvi išimtis: kai tai daroma vien tam, kad informacija būtų perduota tinklu, ir kai to būtinai reikia paties žmogaus užsakytai paslaugai suteikti. Analitikos, reklamos ir socialinių tinklų žymos į šias išimtis paprastai nepatenka. Sutikimas turi atitikti BDAR reikalavimus: būti laisvas, konkretus, informuotas ir nedviprasmiškas (BDAR 4 str. 11 p.), o atšaukti jį turi būti taip pat lengva, kaip duoti (BDAR 7 str. 3 d.).

Privatumo politikoje apie slapukus galima informuoti, bet sutikimo ji nesukuria – tai paaiškinome straipsnyje Privatumo politika: ar ji privaloma ir kada ją reikia atnaujinti. Čia – kuo skiriasi būtini ir nebūtini slapukai, kokia sutikimo juosta atitinka įstatymą, kas ją prižiūri ir kokios pasekmės gresia.

Ką saugo ERĮ 73 straipsnis

ERĮ įgyvendina Direktyvą 2002/58/EB dėl privatumo ir elektroninių ryšių (ERĮ 2 priedas). Europos institucijų gairės dėl slapukų rašomos pagal šią direktyvą, todėl jos padeda aiškinti ir ERĮ 73 str. 4 d. Taisyklė saugo patį įrenginį – kompiuterį, telefoną, planšetę. Todėl svarbu ne tai, ar slapukas yra asmens duomenys. Teisingumo Teismas byloje C‑673/17 (Planet49) nusprendė, kad reikalavimas nesikeičia nuo to, ar įrenginyje saugoma ar naudojama informacija yra asmens duomenys, ar ne (sprendimo rezoliucinės dalies 2 punktas).

Taisyklė apima ne tik slapukus. Europos duomenų apsaugos valdyba (EDPB) gairėse 2/2023 nurodo, kad sekimo pikselis ar sekimo nuoroda, įterpti į svetainę ar el. laišką, taip pat reiškia informacijos saugojimą įrenginyje ir prieigą prie jos (50 ir 51 punktai). Tai aktualu ir naujienlaiškiams, kurie skaičiuoja atidarymus. Kada pati reklama el. paštu reikalauja sutikimo, rašėme straipsnyje apie tiesioginę rinkodarą el. paštu ir SMS.

Kurie slapukai yra būtini

Išimtis siaura. Slapukas be sutikimo galimas, jei jo vienintelis tikslas yra perduoti informaciją tinklu arba jis būtinas paslaugai, kurią žmogus pats užsakė (ERĮ 73 str. 4 d.). 29 straipsnio darbo grupė nuomonėje 04/2012 (WP194) antrąją išimtį aiškina dviem testais. Žmogus pats paprašė konkrečios funkcijos, o išjungus slapuką ta funkcija neveiktų.

Pagal šį testą be sutikimo paprastai veikia pirkinių krepšelio, prisijungimo seanso ir saugumo slapukai (WP194, 5 skyrius). Taip pat slapukai, kurie įsimena paties žmogaus pasirinktus paslaugos nustatymus (EDPB slapukų juostų darbo grupės ataskaita, 30 punktas).

Būtini nėra:

• analitikos slapukai – svetaine galima naudotis ir juos išjungus (WP194, 4.3 skyrius);
• trečiųjų šalių reklamos ir reklamos matavimo slapukai (WP194, 4.2 skyrius);
• socialinių tinklų įskiepių sekimo slapukai (WP194, 4.1 skyrius).

Lietuvos įstatyme atskiros išimties analitikai nėra. ERĮ 73 str. 4 d. numato tik dvi aukščiau minėtas išimtis.

Kai slapukas pažymimas kaip „būtinas“, nors jo paskirtis kita, tai klaida, kurią EDPB slapukų juostų darbo grupė aptarė atskirai. EDPB darbo grupė aptarė svetainės valdytojo atsakomybę palaikyti slapukų sąrašą, kompetentingoms institucijoms paprašius jį pateikti ir įrodyti, kad jame nurodyti slapukai būtini (26 ir 28 punktai). Todėl rengdami slapukų politiką klientų visada prašome dviejų dalykų: visų svetainėje naudojamų slapukų sąrašo su aprašymu ir informacijos, kaip veikia pasirinkta slapukų juosta.

Kokia sutikimo juosta atitinka įstatymą

Sąvokas, kurių neapibrėžia pats ERĮ, jis, be kita ko, perima iš BDAR (ERĮ 3 str. 102 d.). Todėl slapukų sutikimas vertinamas pagal tuos pačius kriterijus kaip ir bet kuris kitas sutikimas pagal BDAR. Kada toks sutikimas galioja, plačiau rašėme straipsnyje Sutikimas pagal BDAR: kada jo reikia ir kada jis negalioja. Slapukams iš to kyla šešios taisyklės.

Sutikimas gaunamas prieš įjungiant slapukus. EDPB nurodo, kad sutikimas duodamas prieš pradedant tvarkymą (gairių 05/2020 90 punktas). Žyma, kuri įsijungia atsidarius puslapiui, kol žmogus dar nieko nepaspaudė, sutikimo neturi.

Jokių iš anksto pažymėtų langelių. Tyla, iš anksto pažymėti langeliai ar neveikimas nėra sutikimas (BDAR 32 konstatuojamoji dalis). Teisingumo Teismas slapukams tai patvirtino dėl iš anksto pažymėto langelio (Planet49, rezoliucinės dalies 1 punktas).

Naršymas nėra sutikimas. Puslapio slinkimas ar panaši veikla jokiomis aplinkybėmis nėra aiškus patvirtinimo veiksmas (EDPB gairių 05/2020 86 punktas). Sakinys „toliau naršydami sutinkate su slapukais“ sutikimo nesukuria.

Atsisakyti turi būti realiai įmanoma. Sutikimas nėra laisvas, jei žmogus negali atsisakyti sutikti (BDAR 42 konstatuojamoji dalis), o atšaukti jį turi būti taip pat lengva kaip duoti (BDAR 7 str. 3 d.). EDPB darbo grupėje didžioji dauguma priežiūros institucijų laikė pažeidimu juostą, kurioje yra mygtukas „Sutinku“, bet jokiame lygmenyje nėra atsisakymo galimybės (8 punktas). Darbo grupės nariai taip pat sutarė, kad sutikimas negalioja, kai vienintelė alternatyva yra juostos tekste įterpta nuoroda „atmesti“ be pakankamo vizualaus išskyrimo (14 punktas). Pakeisti pasirinkimą vėliau turi būti lengva; EDPB darbo grupė rekomenduoja nuolat matomą piktogramą ar nuorodą (32 punktas).

Jokių slapukų sienų. Jei turinį galima matyti tik paspaudus „Priimti slapukus“, žmogus neturi realaus pasirinkimo, todėl sutikimas nėra laisvas (EDPB gairių 05/2020 39–41 punktai).

Informacija turi būti išsami. Reikia nurodyti tikslus (ERĮ 73 str. 4 d.), taip pat kiek laiko slapukas veikia ir ar prie jo gali prieiti trečiosios šalys (Planet49, rezoliucinės dalies 3 punktas). Nurodykite ir kas yra duomenų valdytojas (BDAR 13 str. 1 d. a p.).

Teisėtas interesas čia netinka. EDPB darbo grupė nurodo, kad slapukų įrašymas ir nuskaitymas negali būti grindžiamas teisėtu valdytojo interesu (24 punktas). Gairėse 1/2024 (viešai konsultacijai skirta versija) EDPB priduria, kad kai šios technologijos naudojamos tiesioginei rinkodarai, sutikimas tikriausiai bus tinkamas pagrindas ir tolesniam taip gautų duomenų tvarkymui (115 punktas).

Kas dažniausiai nutinka ne taip

• Analitikos ir reklamos žymos įsijungia vos atsidarius puslapiui, o juosta tik informuoja.
• Juostoje yra tik mygtukas „Sutinku“ ir sakinys apie tai, kad naršymas reiškia sutikimą.
• „Atmesti“ paslėptas antrame lygmenyje arba parašytas vos įskaitomu šriftu.
• Analitika pažymėta kaip „būtini slapukai“.
• Slapukų sąrašas politikoje neatitinka to, ką svetainė iš tikrųjų įrašo.
• Juostą įdiegė svetainės kūrėjas, bet niekas nepatikrino, kaip ji iš tikrųjų veikia.

Kas prižiūri ir kas gresia

ERĮ nuostatų dėl duomenų tvarkymo ir privatumo apsaugos laikymąsi, įskaitant 73 straipsnį, prižiūri Valstybinė duomenų apsaugos inspekcija (VDAI) (ERĮ 5 str. 2 d. 1 p.). Pasekmės gali būti dviejų rūšių.

Pirma – administracinė atsakomybė pagal ANK. Už ERĮ nustatytų asmens duomenų tvarkymo ir privatumo apsaugos reikalavimų pažeidimą asmenims gresia bauda nuo vieno šimto penkiasdešimt iki penkių šimtų aštuoniasdešimt eurų, o juridinių asmenų vadovams ar kitiems atsakingiems asmenims – nuo trijų šimtų iki vieno tūkstančio vieno šimto penkiasdešimt eurų (ANK 83 str. 1 d.). Už pakartotinį pažeidimą baudos didesnės (ANK 83 str. 2 d.). Šiuos nusižengimus tiria VDAI pareigūnai (ANK 589 str. 29 p.). Pagal ANK atsako tik fiziniai asmenys (ANK 2 str. 1 d.): pats svetainę valdantis žmogus arba juridinio asmens vadovas ar kitas atsakingas asmuo, ne pati įmonė.

Antra – atsakomybė pagal BDAR. Kai slapukais renkami asmens duomenys, EDPB darbo grupė nurodo, kad jei galiojančio sutikimo nebuvo, tolesnis tų duomenų tvarkymas negali atitikti BDAR (24 punktas). Už tvarkymo teisėtumo ir sutikimo sąlygų pažeidimą taikoma griežčiausia baudų grupė: iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. a p.).

Praktinė pasekmė dažnai skaudesnė už baudą. Be galiojančio sutikimo surinkti analitikos ir reklamos duomenys yra surinkti neteisėtai. Remtis jais sprendimuose ir auditorijose tampa rizikinga.

Kada kreiptis į teisininką

• kai diegiate ar keičiate sutikimo valdymo sprendimą ir norite, kad jis būtų patikrintas prieš paleidžiant;
• kai nežinote, kurie Jūsų slapukai tikrai būtini;
• kai svetainėje veikia reklamos, socialinių tinklų ar kitų trečiųjų šalių žymos;
• kai naujienlaiškiuose ar programėlėje naudojate sekimo pikselius;
• kai gavote skundą, VDAI paklausimą ar pastabą iš partnerio apie slapukus.