Чи вимагає GDPR згоди на використання файлів cookie?

Аналіз вимог GDPR’s демонструє, що необхідна явна згода перед розміщенням більшості файлів cookie на пристроях користувачів. Декілька авторитетних джерел підтверджують, що файли cookie, визначені у статті 4(1) GDPR як “онлайн-ідентифікатори”, вважаються персональними даними, коли вони можуть ідентифікувати користувача, прямо чи опосередковано (European Parliament, 2016).

Ключові висновки:

• Згода має бути поінформованою, конкретною, вільно наданою та однозначною (GDPR Art. 7).
• Рекомендації Article 29 Working Party та подальші рекомендації European Data Protection Board роз’яснюють, що неявної згоди (наприклад, продовження перегляду сайту без явних дій) недостатньо.
• Суворо необхідні файли cookie (наприклад, ті, що потрібні для функціонування вебсайту або кошиків для покупок) звільняються від вимоги щодо отримання згоди (WP29 Opinion 04/2012).
• Для всіх неосновних файлів cookie—таких як відстеження, аналітика або реклама—попередня активна згода є обов'язковою.

"Згода має бути отримана до розміщення будь-яких файлів cookie або доступу до них на пристрої користувача, за винятком тих, що є суворо необхідними для надання послуги, яку явно запитав користувач" (European Court of Justice, Planet49 case, 2019).

Емпіричні дослідження банерів файлів cookie та відповідності вимогам на вебсайтах ЄС виявляють широке впровадження механізмів згоди. Однак темні патерни та оманливі дизайни все ще призводять до практик, що не відповідають вимогам (Utz et al., 2019). Ефективні платформи для керування згодою (CMPs) повинні надавати:

• Чіткі варіанти прийняття або відхилення файлів cookie
• Однакову значущість для обох варіантів
• Деталізований контроль над різними категоріями файлів cookie

Недотримання вимог GDPR’s щодо згоди призвело до кількох гучних правозастосовних заходів та штрафів з боку органів із захисту даних.

Таким чином, GDPR вимагає попередньої, позитивної згоди користувача на всі файли cookie, за винятком тих, що є суворо необхідними для роботи вебсайту, а зростаючий обсяг нормативних вказівок і судових прецедентів підсилює це зобов'язання в ЄС та Великій Британії.