Un banner de cookie-uri prost construit nu strica doar experienta din site. El poate rupe temeiul legal al urmaririi online si poate muta un instrument de marketing in zona de amenda, audit si discutie la nivel de board.
17 aprilie 2024 a adus o formulare pe care multe companii au preferat sa o citeasca in graba. EDPB a spus ca platformele care folosesc modele de tip “consimti sau platesti” trebuie sa lase utilizatorului o alegere autentica, iar simpla presiune economica poate afecta libertatea consimtamantului. Mesajul nu priveste doar marile platforme. El loveste direct in arhitectura oricarui website care afiseaza un buton mare de acceptare si ascunde refuzul in al doilea sau al treilea ecran.
Cand este valabil consimtamantul pentru cookie-uri
Art. 4 alin. (5) din Legea nr. 506/2004 cere doua conditii cumulative pentru stocarea de informatii sau accesul la informatia din terminalul utilizatorului: acordul utilizatorului si informarea sa prealabila. Art. 4 alin. (6) lasa o fereastra ingusta doar pentru ce este strict necesar transmiterii comunicarii sau serviciului cerut expres de utilizator. De aici porneste separatia care conteaza pentru business: cosul de cumparaturi si autentificarea stau intr-o categorie, analiza, remarketingul si profilarea in alta.
Planet49, C-673/17, hotarare din 1 octombrie 2019, a inchis o discutie pe care piata a incercat ani buni sa o lase deschisa. O casuta prebifata nu inseamna consimtamant. GDPR merge in aceeasi directie prin art. 4 pct. 11 si art. 7: acordul trebuie sa fie liber, specific, informat si exprimat printr-o actiune clara. Cand acceptarea se face dintr-un singur click, iar refuzul cere rabdare, scroll si meniuri secundare, compania nu mai lucreaza cu un consimtamant solid, ci cu un pariu juridic.
Ce verifica ANSPDCP la bannerul de cookie-uri
Un site de recrutare care incarca scripturi de analiza inainte de alegerea candidatului pleaca gresit. Un magazin online care trimite semnale catre terti pentru audiente publicitare fara o optiune simetrica de refuz pleaca la fel. Intr-un grup de societati, lucrurile devin mai sensibile cand acelasi mecanism de consimtamant alimenteaza mai multe entitati, iar nimeni nu mai poate explica limpede cine stabileste scopurile si cine raspunde pentru fluxul de date. Aici incepe discutia despre operator, operator asociat si lantul contractual cu furnizorii din publicitate sau analiza.
7 martie 2024, in cauza IAB Europe, C-604/22, CJUE a mers mai departe decat multi jucatori din adtech ar fi vrut. Curtea a aratat ca sirul de caractere care retine preferintele utilizatorului privind consimtamantul poate fi el insusi data personala, atunci cand poate fi legat, prin mijloace rezonabile, de un identificator precum IP-ul. Pentru companii, asta schimba miza. Nu mai vorbim doar despre cookie-ul de marketing, ci si despre faptul ca semnalul de consimtamant, tinut prost sau distribuit prea larg, intra in acelasi dosar de risc.
Un practician se uita aici la patru intrebari simple. Ce scripturi pornesc inainte de alegere. Cine primeste datele dupa click. Cat de usor este refuzul fata de acceptare. Si cum se retrage acordul dupa sapte zile, nu dupa sapte avocati. Legea nr. 506/2004 pune deja pe masa amenzi de la 5.000 la 100.000 lei, iar pentru societatile cu cifra de afaceri de peste 5.000.000 lei plafonul poate urca pana la 2% din cifra de afaceri. Board-ul ar trebui sa ceara acum o verificare tehnica si juridica a bannerului, nu o confirmare de la agentia de marketing ca “totul arata bine”.
Pentru consultanta juridica, ne puteti contacta la: office@grecupartners.ro | Tel: (+4) 031 426 0745
Poate CFO-ul sa trateze bannerul de cookie-uri ca pe o tema doar de marketing?
Nu. Daca website-ul incarca tehnologii de analiza, publicitate sau profilare fara un acord valabil, discutia intra imediat in zona de conformitate si risc financiar. Legea nr. 506/2004, art. 4 alin. (5), cere acord prealabil si informare prealabila, iar art. 13 leaga nerespectarea acestor conditii de sanctiuni.
Ce cookie-uri pot ramane active fara consimtamant?
Doar ce este strict necesar pentru transmiterea comunicarii sau pentru serviciul cerut expres de utilizator. Art. 4 alin. (6) din Legea nr. 506/2004 nu acopera, in mod obisnuit, analiza, remarketingul sau profilarea. Un cookie util pentru business nu devine, prin asta, si necesar juridic.
Este suficient daca butonul “Accept all” este vizibil, iar refuzul sta in setari?
Nu este o pozitie comoda. Planet49, C-673/17, cere consimtamant activ, iar GDPR art. 4 pct. 11 si art. 7 cer o alegere libera si informata. Daca traseul spre refuz este mai greu, compania slabeste chiar calitatea acordului pe care se bazeaza.
De ce ar trebui directorul juridic sa verifice si lantul de terti?
Fiindca semnalul de consimtamant si fluxul de date nu se opresc in site. In IAB Europe, C-604/22, CJUE a aratat ca preferintele de consimtamant pot intra ele insele in sfera datelor personale, iar distribuirea lor intre participanti cere delimitari juridice mai serioase. Aici se vad repede golurile din contracte si din rolurile asumate de fiecare parte.
