Το τοπίο απορρήτου του Ηνωμένου Βασιλείου μετά το Brexit

Όταν το Ηνωμένο Βασίλειο αποχώρησε από την Ευρωπαϊκή Ένωση, δεν εγκατέλειψε την προστασία δεδομένων. Το Ηνωμένο Βασίλειο ενσωμάτωσε τον EU GDPR στο εσωτερικό δίκαιο ως UK GDPR, ο οποίος συνυπάρχει με τον Data Protection Act 2018. Για τα cookies ειδικότερα, οι Privacy and Electronic Communications Regulations (PECR) — η υλοποίηση της ePrivacy Directive στο Ηνωμένο Βασίλειο — εξακολουθούν να εφαρμόζονται. Το αποτέλεσμα είναι ένα πλαίσιο απορρήτου που αντικατοπτρίζει στενά αυτό της ΕΕ, αλλά επιβάλλεται ανεξάρτητα από το Information Commissioner's Office (ICO) του Ηνωμένου Βασιλείου.

Για τους διαχειριστές ιστοσελίδων, αυτό σημαίνει ότι η εξυπηρέτηση επισκεπτών από το Ηνωμένο Βασίλειο απαιτεί προσοχή σε ένα ξεχωριστό σύνολο κανόνων, κατευθυντήριων γραμμών και προτύπων επιβολής. Αν και η ουσία είναι παρόμοια με τον EU GDPR, οι λεπτές αποχρώσεις έχουν σημασία.

UK GDPR έναντι EU GDPR: Βασικές διαφορές

Ο UK GDPR είναι ουσιαστικά ταυτόσημος με τον EU GDPR ως προς τις βασικές αρχές και απαιτήσεις του. Ωστόσο, από το Brexit και μετά έχουν προκύψει αρκετές διαφορές:

• Εποπτική αρχή: Η ICO είναι η μοναδική εποπτική αρχή για τον UK GDPR, αντικαθιστώντας τον ρόλο των αρχών προστασίας δεδομένων της ΕΕ. Δεν μπορείτε να λάβετε πρόστιμο τόσο από την ICO όσο και από μια αρχή προστασίας δεδομένων της ΕΕ για την ίδια δραστηριότητα επεξεργασίας δεδομένων που αφορά μόνο κατοίκους του Ηνωμένου Βασιλείου.
• Επάρκεια δεδομένων: Η ΕΕ χορήγησε στο Ηνωμένο Βασίλειο απόφαση επάρκειας τον Ιούνιο του 2021, επιτρέποντας την ελεύθερη ροή προσωπικών δεδομένων από την ΕΕ προς το Ηνωμένο Βασίλειο. Αυτή η απόφαση υπόκειται σε περιοδική αναθεώρηση. Το Ηνωμένο Βασίλειο έχει αναγνωρίσει αμοιβαία τον ΕΟΧ ως επαρκή.
• Διεθνείς διαβιβάσεις: Το Ηνωμένο Βασίλειο διαθέτει το δικό του πλαίσιο για διεθνείς διαβιβάσεις δεδομένων, όπου ο Υπουργός Εξωτερικών (και όχι η Ευρωπαϊκή Επιτροπή) λαμβάνει αποφάσεις επάρκειας. Το Ηνωμένο Βασίλειο έχει σηματοδοτήσει μια πιο ευέλικτη προσέγγιση στις διεθνείς διαβιβάσεις, αν και οι βασικές διασφαλίσεις παραμένουν.
• Προσέγγιση επιβολής: Η ICO ιστορικά προτιμά τη συνεργασία και την παροχή καθοδήγησης έναντι της επιθετικής επιβολής προστίμων. Τα μέγιστα πρόστιμα βάσει UK GDPR αντικατοπτρίζουν αυτά της ΕΕ: έως GBP 17,5 εκατομμύρια ή 4 τοις εκατό του παγκόσμιου ετήσιου κύκλου εργασιών, όποιο είναι υψηλότερο.
• Πιθανή απόκλιση: Η κυβέρνηση του Ηνωμένου Βασιλείου έχει εξετάσει μεταρρυθμίσεις μέσω του Data Protection and Digital Information Bill, οι οποίες θα μπορούσαν να εισαγάγουν αλλαγές στις αξιολογήσεις έννομου συμφέροντος, στις εξαιρέσεις για έρευνα και στον ρόλο των Υπευθύνων Προστασίας Δεδομένων. Οι διαχειριστές ιστοσελίδων θα πρέπει να παρακολουθούν αυτή τη νομοθεσία για μελλοντικές αλλαγές.

PECR: Ο νόμος για τα cookies στο Ηνωμένο Βασίλειο

Ενώ ο UK GDPR παρέχει το γενικό πλαίσιο για την επεξεργασία προσωπικών δεδομένων, οι PECR ρυθμίζουν ειδικά τα cookies και παρόμοιες τεχνολογίες. Οι PECR προϋπάρχουν του GDPR και υλοποιούν την ePrivacy Directive στο δίκαιο του Ηνωμένου Βασιλείου. Οι βασικές τους απαιτήσεις για τα cookies είναι:

• Απαιτείται συγκατάθεση πριν από την εγκατάσταση οποιωνδήποτε μη απολύτως απαραίτητων cookies στη συσκευή ενός χρήστη. Αυτό περιλαμβάνει cookies ανάλυσης, διαφημιστικά cookies και cookies κοινωνικών δικτύων.
• Πρέπει να παρέχονται πληροφορίες σχετικά με το ποια cookies εγκαθίστανται και για ποιο σκοπό χρησιμοποιούνται, σε σαφή και απλή γλώσσα.
• Η συγκατάθεση πρέπει να είναι ελεύθερη, συγκεκριμένη και ενήμερη. Τα προεπιλεγμένα (προ-επιλεγμένα) κουτάκια δεν συνιστούν έγκυρη συγκατάθεση.
• Τα απολύτως απαραίτητα cookies εξαιρούνται. Cookies που είναι απαραίτητα για μια υπηρεσία που ζητείται ρητά από τον χρήστη (όπως cookies συνεδρίας για λειτουργίες συνδεδεμένων χρηστών ή cookies καλαθιού αγορών) δεν απαιτούν συγκατάθεση.

Το πρότυπο συγκατάθεσης των PECR ευθυγραμμίζεται με τον ορισμό της συγκατάθεσης στον GDPR, πράγμα που σημαίνει ότι στην πράξη οι απαιτήσεις είναι πολύ παρόμοιες με αυτές βάσει της ePrivacy Directive της ΕΕ. Ένα cookie banner που συμμορφώνεται με τους κανόνες της ΕΕ θα είναι γενικά συμμορφούμενο και με τους PECR.

Καθοδήγηση της ICO για τα cookie banners

Η ICO έχει δημοσιεύσει αναλυτική καθοδήγηση για τη συμμόρφωση με τα cookies, η οποία υπερβαίνει το ίδιο το κείμενο των PECR. Βασικά σημεία από την καθοδήγηση της ICO περιλαμβάνουν:

Η συγκατάθεση πρέπει να είναι ρητή (θετική ενέργεια)

Η απλή συνέχιση της περιήγησης σε έναν ιστότοπο δεν συνιστά συγκατάθεση. Η ICO δηλώνει ρητά ότι η τεκμαιρόμενη συγκατάθεση δεν είναι έγκυρη. Οι χρήστες πρέπει να προβούν σε μια σαφή, θετική ενέργεια (όπως το πάτημα ενός κουμπιού "Αποδοχή") πριν μπορέσουν να εγκατασταθούν μη απολύτως απαραίτητα cookies.

Η απόρριψη πρέπει να είναι εξίσου εύκολη

Η ICO έχει γίνει ολοένα και πιο αυστηρή σχετικά με τα dark patterns στα cookie banners. Συγκεκριμένα:

• Πρέπει να υπάρχει μια επιλογή "Απόρριψη όλων" ή ισοδύναμη στο ίδιο επίπεδο με την "Αποδοχή όλων". Η απόκρυψη της επιλογής απόρριψης πίσω από μια οθόνη "Διαχείριση προτιμήσεων" δεν είναι αποδεκτή.
• Ο οπτικός σχεδιασμός δεν πρέπει να χρησιμοποιεί χρώμα, μέγεθος ή τοποθέτηση για να χειραγωγεί τους χρήστες προς την αποδοχή.
• Η γλώσσα πρέπει να είναι ουδέτερη και να μην έχει σχεδιαστεί ώστε να προκαλεί ενοχές ή πίεση στους χρήστες για να δώσουν τη συγκατάθεσή τους.

Λεπτομερής έλεγχος ανά κατηγορία

Οι χρήστες θα πρέπει να μπορούν να συναινούν σε συγκεκριμένες κατηγορίες cookies (analytics, marketing, λειτουργικά) αντί να εξαναγκάζονται σε μια επιλογή όλα-ή-τίποτα. Αν και η ICO δεν επιβάλλει έναν συγκεκριμένο αριθμό κατηγοριών, η παροχή λεπτομερούς ελέγχου αποτελεί καλή πρακτική και μπορεί να απαιτείται βάσει της αρχής περιορισμού του σκοπού στον GDPR.

Τα cookie walls είναι προβληματικά

Η ICO θεωρεί ότι τα cookie walls — όπου η πρόσβαση σε έναν ιστότοπο αρνείταιται εκτός αν ο χρήστης αποδεχθεί όλα τα cookies — είναι απίθανο να συνιστούν έγκυρη συγκατάθεση, επειδή η συγκατάθεση δεν θα είναι ελεύθερα δοσμένη. Ενδέχεται να υπάρχουν εξαιρέσεις για επί πληρωμή περιεχόμενο όπου προσφέρεται μια πραγματική εναλλακτική λύση χωρίς cookies.

Πρόσφατες ενέργειες επιβολής της ICO

Η ICO έχει αυξήσει σταθερά την εστίασή της στη συμμόρφωση με τα cookies τα τελευταία χρόνια. Σημαντικές ενέργειες περιλαμβάνουν:

• Ελέγχους σε επίπεδο κλάδου: Η ICO έχει πραγματοποιήσει ελέγχους στους 100 κορυφαίους ιστότοπους του Ηνωμένου Βασιλείου σε πολλούς κλάδους, δημοσιεύοντας ευρήματα που ανέδειξαν εκτεταμένη μη συμμόρφωση. Συνήθη προβλήματα περιλάμβαναν την εγκατάσταση cookies πριν από τη συγκατάθεση, την έλλειψη επιλογής απόρριψης και ανεπαρκείς πληροφορίες σχετικά με τους σκοπούς των cookies.
• Επιστολές προειδοποίησης: Μετά τους ελέγχους, η ICO εξέδωσε επιστολές προειδοποίησης προς οργανισμούς των οποίων οι πρακτικές cookies ήταν ανεπαρκείς. Οι περισσότεροι οργανισμοί συμμορφώθηκαν μετά τη λήψη αυτών των επιστολών.
• Έρευνες στον χώρο του adtech: Η ICO έχει διεξαγάγει συνεχιζόμενες έρευνες στο οικοσύστημα real-time bidding, εκφράζοντας ανησυχίες για τον όγκο των προσωπικών δεδομένων που κοινοποιούνται μέσω cookies προγραμματισμένης διαφήμισης χωρίς επαρκή συγκατάθεση.
• Επιβολή στον δημόσιο τομέα: Η ICO δεν έχει εξαιρέσει κυβερνητικούς ιστότοπους, εκδίδοντας καθοδήγηση και προειδοποιήσεις προς οργανισμούς του δημόσιου τομέα σχετικά με τις πρακτικές τους για τα cookies.

Παρότι η ICO δεν έχει ακόμη επιβάλει σημαντικά χρηματικά πρόστιμα ειδικά για παραβιάσεις που αφορούν cookies, η τάση είναι σαφώς προς αυστηρότερη επιβολή. Ο ρυθμιστής έχει δηλώσει ότι αναμένει από τους οργανισμούς να είναι ήδη συμμορφωμένοι και ότι θα ακολουθήσουν μέτρα επιβολής για όσους δεν βελτιώσουν τις πρακτικές τους.

Διεθνείς διαβιβάσεις δεδομένων: Από το Ηνωμένο Βασίλειο προς την ΕΕ και πέρα

Η συγκατάθεση για cookies διασταυρώνεται με τις διεθνείς διαβιβάσεις δεδομένων με έναν σημαντικό τρόπο. Όταν cookies ανάλυσης ή διαφήμισης στέλνουν δεδομένα σε διακομιστές εκτός Ηνωμένου Βασιλείου — όπως το Google Analytics που στέλνει δεδομένα σε διακομιστές της Google και το Facebook Pixel που στέλνει δεδομένα σε διακομιστές της Meta — αυτές συνιστούν διεθνείς διαβιβάσεις δεδομένων βάσει UK GDPR.

Τρέχουσες ρυθμίσεις:

• Από Ηνωμένο Βασίλειο προς ΕΟΧ: Τα δεδομένα ρέουν ελεύθερα βάσει της αναγνώρισης επάρκειας του ΕΟΧ από το Ηνωμένο Βασίλειο.
• Από Ηνωμένο Βασίλειο προς ΗΠΑ: Το UK Extension to the EU-US Data Privacy Framework παρέχει έναν μηχανισμό για διαβιβάσεις προς πιστοποιημένους οργανισμούς των ΗΠΑ. Η Google και η Meta είναι πιστοποιημένες βάσει αυτού του πλαισίου.
• Από Ηνωμένο Βασίλειο προς άλλες χώρες: Απαιτούνται κατάλληλες διασφαλίσεις, όπως Standard Contractual Clauses (έκδοση Ηνωμένου Βασιλείου) ή δεσμευτικοί εταιρικοί κανόνες.

Στην πράξη, εάν χρησιμοποιείτε Google Analytics, Google Ads ή άλλες μεγάλες διαφημιστικές πλατφόρμες, οι μηχανισμοί διεθνών διαβιβάσεων είναι ήδη σε ισχύ. Ωστόσο, θα πρέπει να τεκμηριώνετε αυτές τις διαβιβάσεις στην πολιτική απορρήτου σας και να διασφαλίζετε ότι το cookie banner σας αναφέρει ότι τα δεδομένα ενδέχεται να διαβιβάζονται διεθνώς.

Το FlexyConsent για επισκέπτες από το Ηνωμένο Βασίλειο

Το FlexyConsent εφαρμόζει στους επισκέπτες από το Ηνωμένο Βασίλειο τους κανόνες του για ΕΕ/ΕΟΧ/Ηνωμένο Βασίλειο:

• Banner συγκατάθεσης: Οι επισκέπτες από το Ηνωμένο Βασίλειο βλέπουν banner συγκατάθεσης με κουμπί απόρριψης στο πρώτο επίπεδο (ενεργό από προεπιλογή) και επιλογή ανά κατηγορία. Οι trackers που δεν διαβάζουν σήμα συγκατάθεσης περιμένουν την επιλογή του επισκέπτη.
• Σχεδιασμός banner: Τα κουμπιά αποδοχής και απόρριψης έχουν το ίδιο μέγεθος και η διατύπωση είναι ουδέτερη.
• Consent Mode V2 integration: Ως Google-certified CMP, το FlexyConsent αποστέλλει σωστά σήματα συγκατάθεσης στις υπηρεσίες της Google για επισκέπτες από το Ηνωμένο Βασίλειο. Αυτό διασφαλίζει ότι το conversion modelling και το Smart Bidding συνεχίζουν να λειτουργούν σωστά, ενώ παράλληλα τηρούνται οι απαιτήσεις συγκατάθεσης του Ηνωμένου Βασιλείου.
• IAB TCF 2.4 support: Για εκδότες που χρησιμοποιούν προγραμματική διαφήμιση, το FlexyConsent δημιουργεί συμβολοσειρές συγκατάθεσης TCF.

Το FlexyConsent είναι διαθέσιμο με προγράμματα που ξεκινούν από EUR 0 ανά μήνα, με εγγενείς ενσωματώσεις για WordPress, Shopify και PrestaShop.

Βασικό συμπέρασμα: Το πλαίσιο απορρήτου του Ηνωμένου Βασιλείου μετά το Brexit αντικατοπτρίζει στενά αυτό της ΕΕ, αλλά λειτουργεί με τον δικό του ρυθμιστή, τα δικά του πρότυπα επιβολής και ενδεχομένως τη δική του μελλοντική νομοθετική κατεύθυνση. Η αντιμετώπιση των επισκεπτών από το Ηνωμένο Βασίλειο με τους ίδιους κανόνες όπως των επισκεπτών από την ΕΕ είναι ασφαλής προς το παρόν, αλλά τα δύο πλαίσια μπορεί να αποκλίνουν. Ένα geo-aware CMP είναι ο πιο πρακτικός τρόπος διαχείρισης αυτής της πολυπλοκότητας.