Απαιτεί ο GDPR τη συγκατάθεση για τα cookies;

Η ανάλυση των απαιτήσεων του GDPR καταδεικνύει ότι απαιτείται ρητά η συγκατάθεση πριν από την τοποθέτηση των περισσότερων cookies στις συσκευές των χρηστών. Αρκετές έγκυρες πηγές επιβεβαιώνουν ότι τα cookies, όπως ορίζονται στο Άρθρο 4(1) του GDPR ως «διαδικτυακά αναγνωριστικά», θεωρούνται προσωπικά δεδομένα όταν μπορούν να ταυτοποιήσουν έναν χρήστη, είτε άμεσα είτε έμμεσα (Ευρωπαϊκό Κοινοβούλιο, 2016).

Βασικά ευρήματα:

• Η συγκατάθεση πρέπει να είναι ενήμερη, συγκεκριμένη, ελεύθερη και σαφής (GDPR Art. 7).
• Οι κατευθυντήριες γραμμές της Article 29 Working Party και του μετέπειτα European Data Protection Board διευκρινίζουν ότι η σιωπηρή συγκατάθεση (π.χ., η συνέχιση της περιήγησης χωρίς ρητή ενέργεια) δεν είναι επαρκής.
• Τα απολύτως απαραίτητα cookies (π.χ., αυτά που απαιτούνται για τη λειτουργικότητα του ιστότοπου ή τα καλάθια αγορών) εξαιρούνται από την απαίτηση συγκατάθεσης (WP29 Opinion 04/2012).
• Για όλα τα μη απαραίτητα cookies—όπως αυτά της παρακολούθησης, της ανάλυσης δεδομένων ή της διαφήμισης—η προηγούμενη ενεργός συγκατάθεση είναι υποχρεωτική.

«Η συγκατάθεση πρέπει να λαμβάνεται πριν από την τοποθέτηση ή την πρόσβαση σε οποιαδήποτε cookies στη συσκευή του χρήστη, εκτός από εκείνα που είναι απολύτως απαραίτητα για την παροχή της υπηρεσίας που ζητείται ρητά από τον χρήστη» (European Court of Justice, Planet49 case, 2019).

Εμπειρικές μελέτες για τα banner των cookies και τη συμμόρφωση σε ιστότοπους της ΕΕ αποκαλύπτουν εκτεταμένη εφαρμογή μηχανισμών συγκατάθεσης. Ωστόσο, τα σκοτεινά μοτίβα και οι παραπλανητικοί σχεδιασμοί εξακολουθούν να οδηγούν σε πρακτικές μη συμμόρφωσης (Utz et al., 2019). Οι αποτελεσματικές πλατφόρμες διαχείρισης συγκατάθεσης (CMPs) πρέπει να παρέχουν:

• Σαφείς επιλογές για την αποδοχή ή την απόρριψη των cookies
• Ίση προβολή και για τις δύο επιλογές
• Αναλυτικούς ελέγχους για τις διάφορες κατηγορίες cookies

Η μη συμμόρφωση με τις απαιτήσεις συγκατάθεσης του GDPR έχει οδηγήσει σε αρκετές υψηλού προφίλ ενέργειες επιβολής και πρόστιμα από τις αρχές προστασίας δεδομένων.

Συνοπτικά, ο GDPR επιβάλλει την προηγούμενη, θετική συγκατάθεση του χρήστη για όλα τα cookies, εκτός από εκείνα που είναι απολύτως απαραίτητα για τη λειτουργία του ιστότοπου, με ένα αυξανόμενο σύνολο ρυθμιστικών οδηγιών και νομικών προηγουμένων να ενισχύει αυτή την υποχρέωση σε όλη την ΕΕ και το Ηνωμένο Βασίλειο.