Използване на Бисквитки като лични данни

I. ЗАКОНОВА РАМКА

1. Какво представляват „бисквитките“ от гледна точка на GDPR?

Бисквитките могат да съхраняват множество данни, достатъчни за да идентифицират съответния потребител, потенциално без негово съгласие. Бисквитките са основният инструмент за проследяване на потребителската онлайн активност. Като се има предвид количеството данни, които бисквитките могат да съдържат, те могат да се считат за лични данни при определени обстоятелства и следователно са в обсега на Общият регламент за защита на данните (GDPR).

GDPR е най-изчерпателното законодателство за защита на данните, което е било прието от управляващ орган до този момент. Въпреки това, бисквитките биват споменати само веднъж, а именно в рецитал 30.

Рецитал 30 GDPR: „Физическите лица могат да бъдат свързани с онлайн идентификатори, предоставени от техните устройства, приложения, инструменти и протоколи, като адресите по интернет протокол (IP адреси) или идентификаторите, наричани „бисквитки“, или други идентификатори…. По този начин може да бъдат оставени следи, които в съчетание по-специално с уникални идентификатори и с друга информация, получена от сървърите, може да се използват за създаването на профили на физическите лица и за тяхното идентифициране.“

Това, което рециталът казва е, че бисквитките, доколкото се използват за идентифициране на потребителите, се квалифицират като лични данни и следователно са предмет на GDPR. Компаниите имат право да обработват данните на своите потребители, стига да получат съгласие или ако имат законен интерес.

2. Какво представляват „бисквитките“ от гледна точка на Директива за ePrivacy

Приета през 2002 г. и изменена през 2009 г. Директива за ePrivacy (EPD) (транспонирана в България чрез Закона за електронната търговия) допълва (и в някои случаи отменя) GDPR, като се занимава с важни аспекти относно поверителността на електронните комуникации и проследяването на интернет потребителите в по-широк план.

За да бъдат спазени разпоредбите, регулиращи бисквитките съгласно GDPR и Директивата за ePrivacy, съответно Закона за електронната търговия, трябва:

• Да има получено съгласието на потребителите, преди използването на бисквитки, с изключение на строго необходимите бисквитки;
• Да бъде предоставена точна и конкретна информация за данните, които всяка една бисквитка проследява и нейната цел по лесно разбираем начин, преди да бъде получено съгласие;
• Да бъде документирано и съхранявано съгласието, получено от съответния потребител;
• Да бъде дадена на потребителите достъп до съответната услуга, дори ако съответният потребител е отказал/не е разрешил използването на определени бисквитки;
• Да бъде направен, за потребителите, отказът от бисквитки също толкова лесен като и съгласието с тях.

В обобщение:

Бисквитките са обект на регулация на европейското и националното законодателство на страните-членки на ЕС, поради което разпоредбите във връзка с бисквитките следва да бъдат стриктно спазвани, а неспазването им може да доведе до санкции от компетенти органи и дължими обезщетения към субектите, чиито права са нарушени.

II. ВИДОВЕ БИСКВИТКИ

Цитираните законови разпоредби не съдържат изрична задължителна класификация на видовете (категориите) бисквитки и техните функции и съдържание. Към момента, в практиката, са утвърдени три основни начина за класифициране на бисквитките: по предназначение, по времетраене на съхранение и по произход.

По критерий “времетраене” бисквитките се класифицират като:

• Сесийни бисквитки – тези бисквитки са временни и изтичат, след като потребителят затвори браузъра си (или след като сесията му приключи).
• Постоянни бисквитки — тази категория обхваща всички бисквитки, които остават на потребителския хард диск, докато потребителят не ги изтрие или браузърът му автоматично го направи, в зависимост от датата на изтичане на бисквитката. Всички постоянни бисквитки имат дата на изтичане, записана в техния код, но тяхната продължителност може да варира. Според Директивата за ePrivacy, те не трябва да продължават повече от 12 месеца, но на практика могат да останат на потребителското устройство много по-дълго, ако не бъдат предприети съответните действия по премахването им.

По критерий “произход” бисквитките се класифицират като:

• Собствени бисквитки — поставят се на потребителското устройство директно от посетения уебсайт.
• Бисквитки на трети страни — бисквитки, които се поставят на потребителското устройство не от посетения уебсайт, а от трета страна като рекламодател или аналитична система.

По критерий “предназначение” бисквитките се класифицират като:

• Необходими бисквитки — тези бисквитки, които са нужни за нормалното функциониране или за сигурността на уебсайта/услугата. Необходимите бисквитки са от съществено значение, потребителят да използва функциите на уебсайта, като например достъп до защитени зони на сайта. Пример за строго необходими бисквитки са тези, които позволяват на уеб магазините да държат избраните от потребителя артикули във виртуалната му количка, докато пазарува онлайн. Тези бисквитки обикновено са собствени сесийни бисквитки. Въпреки че не се изисква получаване на съгласие за тези бисквитки, потребителят следва да бъде информиран за предназначението, произхода и времетраенето им.
  Следва да се има предвид, че статистическите бисквитки не могат да се определят като строго необходими.
• Бисквитки за функционалност — тези бисквитки подобряват функционирането на сайта/ услугата спрямо предпочитанията на ползвателя, но не са наистина необходими. Те позволяват на уебсайта да запомни избори, които потребителят е направил в определен минал момент, като например какъв език предпочита, за кой регион иска прогнози за времето или какви са потребителското му име и парола, така че да може автоматично да влезе в съответния уебсайт.
• Бисквитки за ефективност/ performance/ аналитични бисквитки — използват се за измерване на ефективността на сайта/ услугата. Тези бисквитки събират информация за това как потребителят използва уебсайта, като например кои страници е посетил и върху кои връзки е кликнал. Тези данни не могат да бъдат използвани за идентифицирането на потребителя. Всичко е обобщено и следователно анонимизирано. Тяхната единствена цел е да подобрят ефективността на уебсайта. Това включва бисквитки от услуги за анализ на трети страни, стига бисквитките да са единствено за използване от притежателя на посетения уебсайт.
• Маркетингови бисквитки (проследяващи/ рекламни/ таргетиращи бисквитки) — Тези бисквитки проследяват потребителската онлайн активност, за да помогнат на рекламодателите да предоставят по-подходящи реклами или да ограничат колко пъти потребителят вижда някоя реклама. Тези бисквитки могат да споделят тази информация с други организации или рекламодатели. Това са постоянни бисквитки и почти винаги са от трети страни.

В обобщение:

• Строго необходими бисквитки са само тези, без които уебсайтът не би функционирал и/или отделни функционалности на уебсайта не биха били достъпни за потребителите.
• Единственото правно основание за обработване на бисквитки, които не са необходими, е съгласие. Не може да се разчита на легитимен интерес.
• Съгласието трябва да може да се оттегли по всяко време и също толкова лесно, колкото е предоставянето му.