A Tudástárban közzétett elemzésükben szakértőink azt a kérdést járták körül, hogy mennyiben alkalmazhatók az előre bejelölt jelölőnégyzetek az érintettek hozzájárulásának beszerzése érdekében, ha az internetes oldal üzemeltetője sütiket kíván alkalmazni. Mostani bejegyzésünkben összefoglaljuk az állásfoglalást, amely teljes terjedelmében a Tudástárban található meg.

A hozzájárulás mint jogalap

Az ún. Elektronikus hírközlési adatvédelmi irányelv szerint az „előfizető vagy felhasználó végberendezésében történő adattárolás, illetve az ott tárolt adatokhoz való hozzáférés csak azzal a feltétellel legyen megengedett, ha az érintett előfizető vagy felhasználó […] ehhez előzetes hozzájárulását adta. Ez a rendelkezés nem akadályozza az olyan műszaki tárolást, illetve műszaki hozzáférést, amelynek kizárólagos célja az elektronikus hírközlő hálózaton keresztül történő közléstovábbítás, vagy amelyre az előfizető vagy felhasználó által kifejezetten kért, az információs társadalommal összefüggő szolgáltatás nyújtásához a szolgáltatónak feltétlenül szüksége van”. Főszabály szerint tehát kizárólag az érintett felhasználó hozzájárulása alapján lehet sütiket alkalmazni. Ezen előírás alól csak speciális esetekben tehető kivétel, bizonyos sütik vonatkozásában.

A GDPR 4. cikk 11. pontja értelmében hozzájárulásnak minősül „az érintett akaratának önkéntes, konkrét és megfelelő tájékoztatáson alapuló és egyértelmű kinyilvánítása, amellyel az érintett nyilatkozat vagy a megerősítést félreérthetetlenül kifejező cselekedet útján jelzi, hogy beleegyezését adja az őt érintő személyes adatok kezeléséhez”. Ebben a vonatkozásban az egyértelműség azt jelenti, hogy a hozzájáruláshoz szükség van az érintett nyilatkozatára vagy a megerősítést félreérthetetlenül kifejező cselekedetre. Ez azt jelenti, hogy a hozzájárulást mindig aktív cselekedettel vagy nyilatkozattal kell megadni. Nyilvánvalónak kell tehát lennie, hogy az érintett hozzájárult az adott adatkezeléshez. A GDPR megfogalmazásában ilyennek minősül a hozzájárulás, ha például maga az érintett maga végez olyan cselekedet, amely az adott összefüggésben egyértelműen jelzi hozzájárulását személyes adatainak tervezett kezeléséhez. A hallgatás vagy egy előre bejelölt négyzet nem minősül hozzájárulásnak.

Egyértelmű hozzájárulás online környezetben

Az Elektronikus hírközlési adatvédelmi irányelv a GDPR-hoz képest nem tartalmaz további, specifikust előírást a hozzájárulás kinyilvánításával összefüggésben. E tekintetben – általánosságban – csupán annyit ír elő, hogy a hozzájárulás oly módon adható, amely lehetővé teszi az adatalany szándékainak kifejezését. Az adatkezelőre hárul ugyanakkor a feladat, hogy a hozzájárulás kérése során alkalmazott módszereket a lehető leginkább felhasználóbaráttá tegye.

A 29. cikk szerinti Adatvédelmi Munkacsoport gyakorlata értelmében a sütik használatára jogosító hozzájárulás kifejezésére szolgáló eljárás megfelelő, ha annak során az érintettek – megfelelő tájékoztatást követően – megerősítő cselekvés vagy más aktív magatartás révén jelzik beleegyezésüket az adatkezelőnek. Ilyen az, amikor az adatalany egy gombra vagy linkre kattintással, esetleg egy jelölő négyzet bejelölésével fejezi ki akaratát.

Az Európai Unió Bírósága a fentiekkel kapcsolatban megállapította, hogy az előre bejelölt jelölő négyzetek esetében gyakorlatilag lehetetlen egyértelműen meghatározni azt, hogy valamely internetes oldal felhasználója ténylegesen hozzájárult‑e személyes adatai kezeléséhez azáltal, hogy nem törölte az előre bejelölt négyzet jelölését, azt pedig egyáltalán nem, hogy e hozzájárulást megfelelő információk birtokában adta‑e meg. Ebből következően a hozzájárulás nem tekinthető érvényesnek, ha azt az érintett előre bejelölt négyzet útján fejezi ki, azaz ha a hozzájárulás megtagadásához a bejelölést törölni kell.

A fentiek alapján tehát az internetes honlapok működtetői nem alkalmazhatnak előre bejelölt jelölőnégyzetet vagy más hasonló módszert az érintett hozzájárulásának kifejezéséhez. Az csak egyértelmű nyilatkozat útján, ún. opt-in megoldás révén szerezhető be. Kivételt képeznek ugyanakkor azok a sütik, amelyek mentesülnek a hozzájárulás alól. Esetükben lehetőség van előre bejelölt jelölőnégyzet alkalmazására úgy, hogy megfelelő tiltakozási (opt-out) lehetőséget kell az adatalany részére biztosítani.