GDPR درباره کوکی‌ها چه می‌گوید؟

کوکی‌ها، آدرس‌های IP و شناسه‌های آنلاین مشابه به صراحت در بند ۳۰ از «مقررات عمومی حفاظت از داده» (GDPR) مورد بررسی قرار گرفته‌اند که بیان می‌کند: «اشخاص حقیقی ممکن است با شناسه‌های آنلاین [...] مانند آدرس‌های پروتکل اینترنت، شناسه‌های کوکی یا سایر شناسه‌ها مانند برچسب‌های شناسایی فرکانس رادیویی مرتبط شوند.» این طبقه‌بندی تأکید می‌کند که کوکی‌ها، هنگامی که برای شناسایی افراد - چه به طور مستقیم یا غیرمستقیم - استفاده می‌شوند، داده‌های شخصی محسوب می‌شوند (GDPR Recital 30).

یافته‌های کلیدی از تحلیل‌های حقوقی و نظارتی عبارتند از:

• کوکی‌ها به عنوان داده‌های شخصی: GDPR کوکی‌ها را هنگامی که بتوانند کاربری را شناسایی کنند، حتی در ترکیب با داده‌های دیگر، به عنوان داده‌های شخصی به رسمیت می‌شناسد.
• الزام رضایت: ماده ۶ و بند ۳۲ نیازمند رضایت معتبر پیش از استفاده از کوکی‌های غیرضروری هستند. رضایت باید آزادانه، مشخص، آگاهانه، و بدون ابهام باشد. کادرهای از پیش تیک‌خورده یا عدم فعالیت به منزله رضایت نیست (EDPB Guidelines 05/2020).
• شفافیت: وب‌سایت‌ها باید پیش از کسب رضایت، به وضوح کاربران را در مورد انواع و اهداف کوکی‌ها مطلع کنند. این شامل موارد زیر است:
  • هویت کنترل‌کننده داده
  • اهداف دقیقی که کوکی‌ها برای آن استفاده می‌شوند
  • اشخاص ثالث درگیر
• حق انصراف از رضایت: کاربران باید بتوانند به همان آسانی که رضایت داده‌اند، آن را پس بگیرند (GDPR Article 7(3)).
• پاسخگویی: سازمان‌ها باید بتوانند نشان دهند که برای تمام کوکی‌های غیرضروری رضایت معتبر کسب شده است.

مطالعات تجربی نشان‌دهنده شکاف‌های قابل توجه در انطباق در میان وب‌سایت‌ها هستند، به طوری که بسیاری از آن‌ها در پیاده‌سازی سازوکارهایی برای رضایت جزئی یا استفاده از مدل‌های غیرمنطبق انصراف (opt-out) ناموفق بوده‌اند (Degeling et al., 2019). اقدامات نظارتی، ضرورت وجود سازوکارهای صریح انتخاب (opt-in) را، به‌ویژه برای کوکی‌های ردیابی و تبلیغاتی، تقویت کرده‌اند.

به طور خلاصه، تحت GDPR، کوکی‌هایی که می‌توانند یک فرد را شناسایی کنند، داده‌های شخصی محسوب می‌شوند؛ بنابراین، استفاده از آن‌ها از طریق الزامات رضایت آگاهانه، صریح و شفافیت به شدت تنظیم می‌شود. عدم انطباق می‌تواند منجر به جریمه‌های سنگین شود، همانطور که اقدامات اجرایی اخیر در اتحادیه اروپا (EU) نشان داده است.