გაერთიანებული სამეფოს კონფიდენციალურობის გარემო Brexit-ის შემდეგ

როდესაც გაერთიანებული სამეფო გავიდა ევროპის კავშირიდან, მონაცემთა დაცვაზე უარი არ უთქვამს. გაერთიანებულმა სამეფომ ევროკავშირის GDPR შიდა კანონმდებლობაში გადაიტანა, როგორც UK GDPR, რომელიც პარალელურად მოქმედებს Data Protection Act 2018-თან. კონკრეტულად cookie-ებისთვის, Privacy and Electronic Communications Regulations (PECR) — ePrivacy დირექტივის ბრიტანული იმპლემენტაცია — კვლავ მოქმედებს. შედეგად მივიღეთ კონფიდენციალურობის ჩარჩო, რომელიც ძალიან ჰგავს ევროკავშირის სისტემას, მაგრამ დამოუკიდებლად ხორციელდება გაერთიანებული სამეფოს ინფორმაციის კომისრის ოფისის (ICO) მიერ.

ვებგვერდების ოპერატორებისთვის ეს ნიშნავს, რომ გაერთიანებული სამეფოს ვიზიტორების მომსახურება მოითხოვს ყურადღებას ცალკე წესების, მითითებებისა და აღსრულების პრაქტიკის მიმართ. მიუხედავად იმისა, რომ შინაარსობრივად ის ჰგავს EU GDPR-ს, ნიუანსები მნიშვნელოვანია.

UK GDPR vs EU GDPR: ძირითადი განსხვავებები

UK GDPR თავის ბირთვულ პრინციპებსა და მოთხოვნებში არსებითად იდენტურია EU GDPR-ს. თუმცა, Brexit-ის შემდეგ რამდენიმე განსხვავება გამოიკვეთა:

• სამეთვალყურეო ორგანო: ICO არის ერთადერთი სამეთვალყურეო ორგანო UK GDPR-ისთვის და ანაცვლებს ევროკავშირის მონაცემთა დაცვის ორგანოების როლს. თქვენ ვერ დაგაჯარიმებენ ერთდროულად ICO და ევროკავშირის DPA მხოლოდ გაერთიანებული სამეფოს რეზიდენტებზე მომუშავე ერთი და იმავე მონაცემთა დამუშავების აქტივობისთვის.
• ადეკვატურობა მონაცემთა გადაცემისას: ევროკავშირმა 2021 წლის ივნისში მიანიჭა გაერთიანებულ სამეფოს ადეკვატურობის გადაწყვეტილება, რაც საშუალებას აძლევს პერსონალური მონაცემები თავისუფლად გადაიდინოს ევროკავშირიდან გაერთიანებულ სამეფოში. ეს გადაწყვეტილება პერიოდულ გადახედვას ექვემდებარება. გაერთიანებულმა სამეფომ თავის მხრივ აღიარა EEA ადეკვატურად.
• საერთაშორისო გადაცემები: გაერთიანებულ სამეფოს აქვს საკუთარი ჩარჩო საერთაშორისო მონაცემთა გადაცემებისთვის, სადაც ადეკვატურობის გადაწყვეტილებებს იღებს სახელმწიფო მდივანი (და არა ევროპის კომისია). გაერთიანებული სამეფო მიუთითებს უფრო მოქნილ მიდგომაზე საერთაშორისო გადაცემების მიმართ, თუმცა ძირითადი გარანტიები უცვლელი რჩება.
• აღსრულების მიდგომა: ICO ტრადიციულად ამჯობინებდა ჩართულობასა და მითითებებს აგრესიული ჯარიმების ნაცვლად. მაქსიმალური ჯარიმები UK GDPR-ის ფარგლებში ჰგავს ევროკავშირისას: მაქსიმუმ GBP 17.5 მილიონი ან გლობალური წლიური ბრუნვის 4 პროცენტი, რომელიც უფრო მაღალია.
• პოტენციური დივერგენცია: გაერთიანებული სამეფოს მთავრობა განიხილავდა რეფორმებს Data Protection and Digital Information Bill-ის მეშვეობით, რომელიც შეიძლება შეცვლიდეს ლეგიტიმური ინტერესის შეფასებებს, კვლევით გამონაკლისებს და მონაცემთა დაცვის ოფიცრების როლს. ვებგვერდების ოპერატორებმა უნდა აკონტროლონ ეს კანონპროექტი მომავალი ცვლილებებისთვის.

PECR: გაერთიანებული სამეფოს Cookie კანონი

მიუხედავად იმისა, რომ UK GDPR უზრუნველყოფს პერსონალური მონაცემების დამუშავების ზოგად ჩარჩოს, PECR სპეციალურად არეგულირებს cookie-ებსა და მსგავს ტექნოლოგიებს. PECR წინ უსწრებს GDPR-ს და ახორციელებს EU ePrivacy დირექტივას გაერთიანებული სამეფოს კანონმდებლობაში. მისი ძირითადი მოთხოვნები cookie-ებისთვის არის:

• თანხმობა აუცილებელია ნებისმიერი არაესენციური cookie-ის დაყენებამდე მომხმარებლის მოწყობილობაზე. ეს მოიცავს ანალიტიკურ, სარეკლამო და სოციალური მედიის cookie-ებს.
• ინფორმაცია უნდა მიეწოდოს იმის შესახებ, თუ რა cookie-ები დგინდება და რისთვის გამოიყენება ისინი, გასაგები და მარტივი ენით.
• თანხმობა უნდა იყოს თავისუფლად მიცემული, კონკრეტული და ინფორმირებული. წინასწარ მონიშნული ველები არ წარმოადგენს ვალიდურ თანხმობას.
• სტრიქტულად აუცილებელი cookie-ები გამონაკლისია. cookie-ები, რომლებიც აუცილებელია მომხმარებლის მიერ აშკარად მოთხოვნილი სერვისისთვის (მაგალითად, სესიის cookie-ები ავტორიზებული ფუნქციონალობისთვის ან კალათის cookie-ები) არ საჭიროებს თანხმობას.

PECR-ის თანხმობის სტანდარტი შეესაბამება GDPR-ის თანხმობის განსაზღვრებას, რაც ნიშნავს, რომ პრაქტიკაში მოთხოვნები ძალიან ჰგავს EU ePrivacy დირექტივის მოთხოვნებს. cookie ბანერი, რომელიც შეესაბამება ევროკავშირის წესებს, ზოგადად შეესაბამება PECR-საც.

ICO-ს მითითებები Cookie ბანერებზე

ICO-მ გამოაქვეყნა დეტალური მითითებები cookie-ების შესაბამისობაზე, რომლებიც სცდება თავად PECR-ის ტექსტს. ICO-ს მითითებების ძირითადი პუნქტებია:

თანხმობა უნდა იყოს აქტიური ქმედება

უბრალოდ ვებგვერდზე ბრაუზინგის გაგრძელება არ წარმოადგენს თანხმობას. ICO პირდაპირ აცხადებს, რომ ნაგულისხმევი/იგულისხმებული თანხმობა არ არის ვალიდური. მომხმარებლებმა უნდა განახორციელონ მკაფიო, პოზიტიური ქმედება (მაგალითად, დააჭირონ ღილაკს "Accept"), სანამ არაესენციური cookie-ები დაყენდება.

უარის თქმა უნდა იყოს ისეთივე მარტივი

ICO სულ უფრო ხმამაღლა საუბრობს cookie ბანერებში არსებულ dark patterns-ზე. კერძოდ:

• "Reject All" ან ეკვივალენტური ოპცია უნდა იყოს ხელმისაწვდომი იმავე დონეზე, როგორც "Accept All". უარის თქმის ოპციის დამალვა "Manage Preferences" ეკრანის უკან მიუღებელია.
• ვიზუალური დიზაინი არ უნდა იყენებდეს ფერს, ზომას ან განლაგებას მომხმარებლების თანხმობისკენ მანიპულირებისთვის.
• ენა უნდა იყოს ნეიტრალური და არ უნდა იყოს შექმნილი იმისთვის, რომ მომხმარებლებს შერცხვენით ან ზეწოლით აიძულოს თანხმობა.

კატეგორიების გრანულარული კონტროლი

მომხმარებლებს უნდა შეეძლოთ თანხმობა კონკრეტულ cookie კატეგორიებზე (ანალიტიკა, მარკეტინგი, ფუნქციური) და არ უნდა იყვნენ იძულებული აირჩიონ „ყველაფერი ან არაფერი“. მიუხედავად იმისა, რომ ICO არ ავალდებულებს კონკრეტული რაოდენობის კატეგორიას, გრანულარული კონტროლის უზრუნველყოფა წარმოადგენს კარგ პრაქტიკას და შეიძლება იყოს მოთხოვნილი GDPR-ის მიზნის შეზღუდვის პრინციპიდან გამომდინარე.

Cookie კედლები პრობლემურია

ICO მიიჩნევს, რომ cookie კედლები — როდესაც ვებგვერდზე წვდომა იბლოკება, თუ მომხმარებელი არ დაეთანხმება ყველა cookie-ს — ნაკლებად სავარაუდოა წარმოადგენდეს ვალიდურ თანხმობას, რადგან თანხმობა თავისუფლად მიცემული არ იქნება. გამონაკლისები შეიძლება არსებობდეს ფასიან კონტენტზე, სადაც შეთავაზებულია რეალური ალტერნატივა cookie-ების გარეშე.

ICO-ს ბოლო აღსრულების ქმედებები

ICO-მ ბოლო წლებში თანდათან გაზარდა ყურადღება cookie-ების შესაბამისობაზე. აღსანიშნავი ქმედებები მოიცავს:

• სექტორული აუდიტები: ICO-მ ჩაატარა აუდიტები გაერთიანებული სამეფოს ტოპ 100 ვებგვერდზე მრავალ სექტორში და გამოაქვეყნა დასკვნები, რომლებმაც წარმოაჩინა ფართომასშტაბიანი შეუსაბამობა. გავრცელებული პრობლემები იყო cookie-ების დაყენება თანხმობამდე, უარის თქმის ოპციის არარსებობა და არასაკმარისი ინფორმაცია cookie-ების მიზნებზე.
• გაფრთხილების წერილები: აუდიტების შემდეგ ICO-მ გაუგზავნა გაფრთხილების წერილები იმ ორგანიზაციებს, რომელთა cookie პრაქტიკა ვერ აკმაყოფილებდა მოთხოვნებს. უმეტესობამ მოიყვანა თავისი პრაქტიკა შესაბამისობაში ამ წერილების მიღების შემდეგ.
• Adtech გამოძიებები: ICO ატარებს მიმდინარე გამოძიებებს real-time bidding ეკოსისტემაში და გამოხატავს შეშფოთებას პერსონალური მონაცემების დიდი მოცულობით გაზიარებაზე პროგრამატიკული სარეკლამო cookie-ების მეშვეობით ადეკვატური თანხმობის გარეშე.
• საჯარო სექტორის აღსრულება: ICO არ ათავისუფლებს მთავრობის ვებგვერდებს; მან გასცა მითითებები და გაფრთხილებები საჯარო სექტორის ორგანიზაციებისთვის მათი cookie პრაქტიკის შესახებ.

მიუხედავად იმისა, რომ ICO-მ ჯერჯერობით არ დაუწესებია მნიშვნელოვანი ფინანსური სანქციები კონკრეტულად cookie დარღვევებისთვის, ტენდენცია აშკარად უფრო მკაცრი აღსრულებისკენ მიდის. რეგულატორმა განაცხადა, რომ ის ახლა უკვე ელოდება ორგანიზაციების შესაბამისობას და რომ აღსრულების ქმედებები მოჰყვება მათ, ვინც არ გააუმჯობესებს პრაქტიკას.

საერთაშორისო მონაცემთა გადაცემები: გაერთიანებული სამეფოდან ევროკავშირსა და მის ფარგლებს გარეთ

Cookie თანხმობა მნიშვნელოვანწილად კვეთს საერთაშორისო მონაცემთა გადაცემების თემას. როდესაც ანალიტიკური ან სარეკლამო cookie-ები აგზავნის მონაცემებს გაერთიანებული სამეფოს გარეთ მდებარე სერვერებზე — როგორც Google Analytics აგზავნის მონაცემებს Google-ის სერვერებზე და Facebook Pixel აგზავნის მონაცემებს Meta-ს სერვერებზე — ეს წარმოადგენს საერთაშორისო მონაცემთა გადაცემას UK GDPR-ის მიხედვით.

ამჟამინდელი მოწყობა:

• გაერთიანებული სამეფო → EEA: მონაცემები თავისუფლად გადაიდინება გაერთიანებული სამეფოს მიერ EEA-ს ადეკვატურად აღიარების საფუძველზე.
• გაერთიანებული სამეფო → აშშ: UK Extension to the EU-US Data Privacy Framework უზრუნველყოფს მექანიზმს სერტიფიცირებულ ამერიკულ ორგანიზაციებზე გადაცემებისთვის. Google და Meta სერტიფიცირებულია ამ ჩარჩოს ფარგლებში.
• გაერთიანებული სამეფო → სხვა ქვეყნები: საჭიროა შესაბამისი გარანტიები, როგორიცაა Standard Contractual Clauses (UK ვერსია) ან სავალდებულო კორპორაციული წესები.

პრაქტიკული თვალსაზრისით, თუ იყენებთ Google Analytics-ს, Google Ads-ს ან სხვა მსხვილ სარეკლამო პლატფორმებს, საერთაშორისო გადაცემის მექანიზმები უკვე მოქმედებს. თუმცა, თქვენ უნდა დააფიქსიროთ ეს გადაცემები თქვენი კონფიდენციალურობის პოლიტიკაში და უზრუნველყოთ, რომ თქვენი cookie ბანერი მიუთითებს, რომ მონაცემები შეიძლება გადაიგზავნოს საერთაშორისო დონეზე.

FlexyConsent გაერთიანებული სამეფოს ვიზიტორებისთვის

FlexyConsent გაერთიანებული სამეფოს ვიზიტორებზე იყენებს თავის EU/EEA/UK წესებს:

• თანხმობის ბანერი: გაერთიანებული სამეფოს ვიზიტორები ხედავენ თანხმობის ბანერს უარყოფის ღილაკით პირველ ფენაზე (ნაგულისხმევად ჩართული) და არჩევანით თითოეული კატეგორიისთვის. ტრეკერები, რომლებიც თანხმობის სიგნალს არ კითხულობენ, ელოდებიან ვიზიტორის არჩევანს.
• ბანერის დიზაინი: მიღებისა და უარყოფის ღილაკები ერთი ზომისაა, ფორმულირება კი ნეიტრალურია.
• Consent Mode V2 ინტეგრაცია: როგორც Google-certified CMP, FlexyConsent აგზავნის სწორ თანხმობის სიგნალებს Google სერვისებისკენ გაერთიანებული სამეფოს ვიზიტორებისთვის. ეს უზრუნველყოფს, რომ conversion modelling და Smart Bidding გაგრძელდეს კორექტულად, პარალელურად UK თანხმობის მოთხოვნების პატივისცემით.
• IAB TCF 2.4 მხარდაჭერა: პროგრამატული რეკლამის გამომყენებელი გამომცემლებისთვის FlexyConsent ქმნის TCF თანხმობის სტრიქონებს.

FlexyConsent ხელმისაწვდომია ტარიფებით, რომლებიც იწყება EUR 0 per month-დან, და აქვს ნატიური ინტეგრაციები WordPress-, Shopify- და PrestaShop-თან.

ძირითადი დასკვნა: გაერთიანებული სამეფოს კონფიდენციალურობის ჩარჩო Brexit-ის შემდეგ ძალიან ჰგავს ევროკავშირისას, მაგრამ მოქმედებს საკუთარი რეგულატორით, საკუთარი აღსრულების პრაქტიკით და პოტენციურად საკუთარი მომავალი საკანონმდებლო მიმართულებით. გაერთიანებული სამეფოს ვიზიტორებზე იგივე წესების გავრცელება, რაც ევროკავშირის ვიზიტორებზე, ჯერჯერობით უსაფრთხოა, მაგრამ ეს ორი ჩარჩო შეიძლება დაშორდეს ერთმანეთს. გეოგაგებული CMP არის ყველაზე პრაქტიკული გზა ამ სირთულის სამართავად.