Alkalmazhatók-e előre bepipált jelölőnégyzetek az érintett hozzájárulásának beszerzésére a honlapon alkalmazott sütik esetében?
A Tudástárban közzétett elemzésükben szakértőink azt a kérdést járták körül, hogy mennyiben alkalmazhatók az előre bejelölt jelölőnégyzetek az érintettek hozzájárulásának beszerzése érdekében, ha az internetes oldal üzemeltetője sütiket kíván alkalmazni. Mostani bejegyzésünkben összefoglaljuk az állásfoglalást, amely teljes terjedelmében a Tudástárban található meg.
A hozzájárulás mint jogalap
Az ún. Elektronikus
hírközlési adatvédelmi irányelv
szerint az „előfizető vagy felhasználó végberendezésében történő
adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak azzal a
feltétellel legyen megengedett, ha az érintett előfizető vagy felhasználó […]
ehhez előzetes hozzájárulását adta. Ez a rendelkezés nem akadályozza az olyan
műszaki tárolást, illetve műszaki hozzáférést, amelynek kizárólagos célja az
elektronikus hírközlő hálózaton keresztül történő közléstovábbítás, vagy
amelyre az előfizető vagy felhasználó által kifejezetten kért, az információs
társadalommal összefüggő szolgáltatás nyújtásához a szolgáltatónak feltétlenül
szüksége van”. Főszabály szerint tehát kizárólag az érintett felhasználó
hozzájárulása alapján lehet sütiket alkalmazni. Ezen előírás alól csak speciális
esetekben tehető kivétel, bizonyos sütik vonatkozásában.
A GDPR 4. cikk 11. pontja értelmében hozzájárulásnak minősül „az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez”. Ebben a vonatkozásban az egyértelműség azt jelenti, hogy a hozzájáruláshoz szükség van az érintett nyilatkozatára vagy a megerősítést félreérthetetlenül kifejező cselekedetre. Ez azt jelenti, hogy a hozzájárulást mindig aktív cselekedettel vagy nyilatkozattal kell megadni. Nyilvánvalónak kell tehát lennie, hogy az érintett hozzájárult az adott adatkezeléshez. A GDPR megfogalmazásában ilyennek minősül a hozzájárulás, ha például maga az érintett maga végez olyan cselekedet, amely az adott összefüggésben egyértelműen jelzi hozzájárulását személyes adatainak tervezett kezeléséhez. A hallgatás vagy egy előre bejelölt négyzet nem minősül hozzájárulásnak.
Egyértelmű hozzájárulás online környezetben
Az Elektronikus hírközlési adatvédelmi irányelv a GDPR-hoz képest nem tartalmaz további, specifikust előírást a hozzájárulás kinyilvánításával összefüggésben. E tekintetben – általánosságban – csupán annyit ír elő, hogy a hozzájárulás oly módon adható, amely lehetővé teszi az adatalany szándékainak kifejezését. Az adatkezelőre hárul ugyanakkor a feladat, hogy a hozzájárulás kérése során alkalmazott módszereket a lehető leginkább felhasználóbaráttá tegye.
A 29. cikk szerinti Adatvédelmi Munkacsoport gyakorlata értelmében a sütik használatára jogosító hozzájárulás kifejezésére szolgáló eljárás megfelelő, ha annak során az érintettek – megfelelő tájékoztatást követően – megerősítő cselekvés vagy más aktív magatartás révén jelzik beleegyezésüket az adatkezelőnek. Ilyen az, amikor az adatalany egy gombra vagy linkre kattintással, esetleg egy jelölő négyzet bejelölésével fejezi ki akaratát.
Az Európai Unió Bírósága a fentiekkel
kapcsolatban megállapította,
hogy az előre bejelölt jelölő négyzetek esetében gyakorlatilag lehetetlen
egyértelműen meghatározni azt, hogy valamely internetes oldal felhasználója
ténylegesen hozzájárult‑e személyes adatai
kezeléséhez azáltal, hogy nem törölte az előre bejelölt négyzet jelölését, azt
pedig egyáltalán nem, hogy e hozzájárulást megfelelő információk birtokában
adta‑e meg. Ebből következően a hozzájárulás
nem tekinthető érvényesnek, ha azt az érintett előre bejelölt négyzet útján fejezi ki, azaz ha a hozzájárulás megtagadásához a bejelölést törölni kell.
A fentiek alapján tehát az internetes honlapok működtetői nem alkalmazhatnak előre bejelölt jelölőnégyzetet vagy más hasonló módszert az érintett hozzájárulásának kifejezéséhez. Az csak egyértelmű nyilatkozat útján, ún. opt-in megoldás révén szerezhető be. Kivételt képeznek ugyanakkor azok a sütik, amelyek mentesülnek a hozzájárulás alól. Esetükben lehetőség van előre bejelölt jelölőnégyzet alkalmazására úgy, hogy megfelelő tiltakozási (opt-out) lehetőséget kell az adatalany részére biztosítani.