A Max Schrems, osztrák adatvédelmi aktivista és ügyvéd által vezetett noyb nevű szervezet 2024. júliusában közzétett egy részletes riportot, amely azt vizsgálja, hogy az egyes nemzeti adatvédelmi hatóságok milyen döntéseket és ajánlásokat bocsájtottak ki a weboldalak sütikezelésével kapcsolatban. A riport az Európai Adatvédelmi Testület (EDPB – European Data Protection Board) Cookie Banner Taskforce (Süti Banner Munkacsoport) 2023. januári ajánlásának egyes pontjaira reflektálva veszi górcső alá a nemzeti hatóságok gyakorlatát.
Emlékeztetőül, az EDPB Cookie Banner Taskforce 2023. január 17-én elfogadott jelentése számos gyakorlati kérdést tárgyal a sütibannerekkel kapcsolatban, különös tekintettel az ePrivacy Irányelvben foglalt előírásokra és a GDPR-ra. A legtöbbször tapasztalt jogellenes gyakorlatokat az EDPB munkacsoportja nyolc pontban sorolta fel. Ezek:
1) Nincs elutasító gomb az első oldalon/felületen
- Több adatkezelő süti bannerje csak elfogadó gombot tartalmaz az első szinten, és az elutasító gombot vagy egyáltalán nem, vagy nem az első felületen jelenik meg.
- A munkacsoport szerint ez sérti az érvényes hozzájárulás követelményeit.
2) Előre bejelölt négyzetek
- Előre bejelölt négyzetek használata nem eredményez érvényes hozzájárulást a GDPR és az ePrivacy Irányelv szerint.
3) Megtévesztő linkek
- Egyes bannerek elutasítási lehetősége link formájában jelenik meg, nem gombként, ami nem ad érvényes hozzájárulást.
- A bannereket úgy kell tervezni, hogy a felhasználók könnyen megértsék, mire adnak hozzájárulást.
4) és 5): Megtévesztő gombszínek és megtévesztő kontraszt
- Az elfogadó gombok kiemelése színekkel vagy kontrasztokkal megtévesztő lehet.
- Minden banner esetén külön kell vizsgálni, hogy a színek és kontrasztok nem vezetik-e félre a felhasználókat.
6) Jogos érdekre hivatkozás
- Néhány adatkezelő jogos érdekre hivatkozik bizonyos adatkezelési tevékenységeknél, ami félrevezető és jogellenes lehet.
- Az ilyen tevékenységek esetén biztosítani kell, hogy a felhasználók tisztában legyenek a lehetőségeikkel.
- Az EDPB emlékeztet, hogy az adatkezelők sok esetben a GDPR 6. cikk (1) bekezdés f) pontja szerinti jogos érdekre alapítják az olyan adatkezelési tevékenységeiket, mint például a „Személyre szabott tartalomprofil létrehozása” vagy a „Személyre szabott hirdetések kiválasztása”, ugyanakkor az ilyen adatkezelési tevékenységek kapcsán nem áll fenn olyan jogos érdek, amely felülírná az érintettek érdekeit. Ebből következően az EDPB szerint a hirdetési célok esetén a jogos érdek érvényes jogalapként nem jöhet szóba (!). A jogos érdek fogalmának beépítése a bannerek további rétegeibe (amikor csak a második megjelenő ablakban van lehetőség tiltakozni, azaz opt-out-olni a jogos érdeken alapuló sütik kapcsán) zavaró lehet a felhasználók számára, mivel azt gondolhatják, hogy kétszer is meg kell tagadniuk a hozzájárulást annak érdekében, hogy személyes adataikat ne kezeljék.
7) Helytelenül besorolt «alapvető» sütik
- Sok adatkezelő olyan sütiket sorol az „alapvető”, vagy „feltétlenül szükséges” kategóriába, amelyek nem felelnek meg ennek a kritériumnak. (A weboldal működéséhez, a weboldal és a felhasználó közötti kommunikáció biztosításához feltétlenül szükséges sütikhez nincs szükség a felhasználó hozzájárulására. Minden más süti elhelyezéséhez a felhasználó hozzájárulására van szükség).
- A sütik rendszeres ellenőrzésére és felülvizsgálatára van szükség annak megítéléséhez, hogy azok valóban feltétlenül szükséges sütiknek minősíthetőek-e.
8) Nincs lehetőség a hozzájárulás visszavonására
- Az adatkezelőknek biztosítaniuk kell a felhasználók számára a hozzájárulás visszavonásának lehetőségét, például a weblap alján állandóan megjelenő ikon formájában.
- A visszavonási lehetőségnek ugyanolyan könnyen hozzáférhetőnek kell lennie, mint a hozzájárulás megadásának.
2021-ben a noyb vizsgálatot indított a jogellenes gyakorlatot megvalósító süti bannerekkel szemben. A megtévesztő sütibannerek széles körű elterjedése ugyanis, a noyb szavával élve, „hozzájárulási banner fáradtsághoz” vezetett, ami azt eredményezte, hogy a felhasználók hajlamosabbá váltak automatikusan elfogadni a sütiket, mivel túl fárasztó, vagy körülményes volt azokat elutasítani.
A noyb vizsgálata feltárta az ún. „dark pattern” (sötét minták) elterjedt használatát a süti bannerek kapcsán. Ezek olyan sütigyakorlatok, amelyek szándékosan megtévesztő tervezési elemeket alkalmaznak a sütik elutasításának megnehezítésére. 2021 márciusában a noyb több mint 600 panaszt nyújtott be jogellenes bannereket tartalmazó weboldalak ellen. A panaszok az ePrivacy irányelv 5. cikk (3) bekezdése és a GDPR előírásaira alapoztak, amelyek szerint a hozzájárulásnak szabad akaratból, tájékoztatás alapján és egyértelműen kifejezettnek kell lennie.
Az noyb tömeges panaszprojektjének célja az volt, hogy egyetértés alakuljon ki az adatvédelmi elveket sértő gyakorlatok kapcsán, különös tekintettel az olyan, széles körben elterjedt gyakorlatokra, mint az elutasító gomb hiánya és a megtévesztő dizájn. Az EDPB a már fent említett munkacsoportot hozta létre a panaszok koordinálására. Az EDPB riportja szerint a nemzeti adatvédelmi hatóságok szigorúbb szabványokat is alkalmazhatnak, mint az EDPB által ajánlott szempontok, mivel az EDPB csak a minimum elvárásokat fogalmazta meg.
Az noyb jelentésében részletesen összehasonlította a nemzeti adatvédelmi hatóságok iránymutatásait és döntéseit az EDPB riportjában foglaltakkal. Érdekesség, hogy a magyar hatóság, a NAIH egyáltalán nem szerepel a noyb jelentésében. Ennek oka valószínűleg az, hogy a magyar hatóság eddig egyetlen döntésében foglalkozott a weboldalak sütikezeléseivel, (ld. híreink között itt).
Összefoglaló az noyb jelentésének megállapításairól:
A teljes noyb jelentés itt olvasható: https://noyb.eu/sites/default/files/2024-07/noyb_Cookie_Report_2024.pdf