Necesită GDPR consimțământ pentru cookie-uri?

Analiza cerințelor GDPR demonstrează că consimțământul este necesar în mod explicit înainte de a plasa majoritatea cookie-urilor pe dispozitivele utilizatorilor. Mai multe surse autorizate confirmă că modulele cookie, așa cum sunt definite de Articolul 4(1) al GDPR ca „identificatori online”, sunt considerate date cu caracter personal atunci când pot identifica un utilizator, direct sau indirect (Parlamentul European, 2016).

Constatări cheie:

• Consimțământul trebuie să fie informat, specific, liber consimțit și neechivoc (GDPR Art. 7).
• Ghidurile emise de Grupul de lucru „Articolul 29” și ulterior de Comitetul European pentru Protecția Datelor clarifică faptul că consimțământul implicit (de ex., navigarea continuă fără o acțiune explicită) nu este suficient.
• Cookie-urile strict necesare (de ex., cele necesare pentru funcționalitatea site-ului web sau pentru coșurile de cumpărături) sunt exceptate de la cerința de consimțământ (WP29 Opinion 04/2012).
• Pentru toate cookie-urile neesențiale—cum ar fi cele de urmărire, de analiză sau de publicitate—consimțământul activ prealabil este obligatoriu.

„Consimțământul trebuie obținut înainte ca orice cookie să fie plasat sau accesat pe dispozitivul utilizatorului, cu excepția celor strict necesare pentru furnizarea serviciului solicitat în mod explicit de către utilizator” (Curtea de Justiție a Uniunii Europene, cazul Planet49, 2019).

Studiile empirice ale bannerelor de cookie-uri și ale conformității pe site-urile web din UE relevă o implementare pe scară largă a mecanismelor de consimțământ. Cu toate acestea, modelele înșelătoare (dark patterns) și designurile înșelătoare duc în continuare la practici neconforme (Utz et al., 2019). Platformele eficiente de gestionare a consimțământului (CMP) trebuie să ofere:

• Opțiuni clare pentru a accepta sau a respinge cookie-urile
• Proeminență egală pentru ambele alegeri
• Controale granulare asupra diferitelor categorii de cookie-uri

Nerespectarea cerințelor de consimțământ ale GDPR a dus la mai multe acțiuni de aplicare a legii și amenzi de profil înalt din partea autorităților de protecție a datelor.

În concluzie, GDPR impune consimțământul prealabil și afirmativ al utilizatorului pentru toate cookie-urile, cu excepția celor strict necesare pentru funcționarea site-ului web, cu un volum tot mai mare de îndrumări de reglementare și precedente juridice care consolidează această obligație în întreaga UE și în Regatul Unit.