Čím skutočne je EDPB Cookie Banner Taskforce

Taskforce je koordinačný orgán, nie regulátor sám o sebe. Bol zriadený podľa Article 70 GDPR, ktorý oprávňuje EDPB uľahčovať spoluprácu medzi národnými orgánmi ochrany údajov v otázkach spoločného záujmu. Spúšťačom bola kampaň sťažností podaných organizáciou noyb — skupinou na ochranu súkromia Maxa Schremsa — proti stovkám webových stránok v celej EU. Keďže tieto sťažnosti sa dotýkali orgánov takmer vo všetkých členských štátoch, EDPB sa rozhodla vytvoriť jedno fórum, kde by DPA mohli porovnávať poznámky a dosiahnuť spoločný analytický rámec. Výstupy taskforce majú formu správ, ktoré dokumentujú, ktoré dizajnové rozhodnutia sa považujú za porušenie požiadaviek na súhlas, zoradené podľa kategórie.

Táto štruktúra má praktický význam. Správy nie sú záväzné tak, ako je záväzné nariadenie alebo národná pokuta, ale opisujú konsenzuálne stanovisko každého európskeho DPA. Keď národný orgán začne vyšetrovanie, môže — a čoraz viac to robí — poukázať na zistenia taskforce ako na dôkaz, že sporný vzor bannera bol už širšou regulačnou komunitou posúdený ako nevyhovujúci. Pre vydavateľov je praktickým efektom to, že akýkoľvek banner schválený podľa kritérií taskforce je obhájiteľný v celej EU. Akýkoľvek banner, ktorý tieto kritériá nespĺňa, je vystavený všade naraz.

Šesť kategórií, na ktoré sa taskforce zameriava

Taskforce zoskupuje svoje zistenia do šiestich prekrývajúcich sa problémových oblastí. Každá zodpovedá vzoru dizajnu, ktorý sa opakovane objavoval v sťažnostiach noyb a ktorý DPA kolektívne označili ako porušenie.

1. Žiadne tlačidlo odmietnutia na prvej vrstve

Najcitovanejšie zistenie v správach. Ak návštevník vidí tlačidlo Prijať všetko na počiatočnom banneri, ale žiadne ekvivalentné tlačidlo Odmietnuť všetko, výber nie je slobodne daný. Možnosti prijatia a odmietnutia musia byť prezentované s rovnakou prominenciou na rovnakej vrstve. Skrývanie cesty odmietnutia za odkaz Spravovať predvoľby je dnes najčastejším vzorom v opatreniach na presadzovanie.

2. Vopred zaškrtnuté políčka

Vopred výber súhlasu pre akúkoľvek nekritickú kategóriu — aj jednu — ruší celý záznam o súhlase podľa Recital 32 GDPR. Taskforce to považuje za porušenie per se. Moderné CMP sú dodávané s touto funkciou predvolene vypnutou, ale staršie implementácie a domáce bannery stále často vopred zaškrtávajú analytické alebo marketingové kategórie.

3. Klamlivý dizajn odkazov

Nazývanie cesty odmietnutia Viac informácií alebo jej štylizovanie ako textový odkaz s nízkym kontrastom, zatiaľ čo tlačidlo prijatia je farebný blok s vysokým kontrastom, vytvára nerovnováhu, ktorú taskforce považuje za klamlivý dizajnový vzor. Náprava je priamočiara: zodpovedajúca hrúbka písma, farebný kontrast a štýl tlačidla medzi prijatím a odmietnutím.

4. Nesprávna klasifikácia cookies ako nevyhnutných

Niektorí operátori sa pokúsili úplne vyhnúť požiadavke na súhlas preklasifikovaním analytických, reklamných alebo cookies sociálnych médií ako prísne nevyhnutných. Taskforce bola explicitná: cookie je nevyhnutná len vtedy, ak bez nej webová stránka z pohľadu používateľa nemôže fungovať. Analytické cookies, A/B testovanie, reklamné a personalizačné cookies sa nekvalifikujú. Ich nesprávne označovanie je samo o sebe porušením nezávislým od základného sledovania.

5. Žiadny mechanizmus stiahnutia

Súhlas musí byť rovnako ľahko stiahnuteľný, ako bol daný. Banner, ktorý prijíma súhlas jedným kliknutím, ale núti používateľov prejsť viackrokovým menu nastavení na jeho odvolanie, tento test nespĺňa. Taskforce konkrétne požaduje trvalý ovládač — zvyčajne plávajúcu ikonu alebo odkaz v päte — ktorý vráti návštevníka na pôvodnú plochu súhlasu.

6. Dizajn bannera, ktorý zakrýva výber

Toto je najširšia a najsubjektívnejšia kategória. Zahŕňa prekrytia, ktoré blokujú obsah stránky až do udelenia súhlasu, bannery, ktorých tlačidlo odmietnutia je pod záhybom, farebné schémy, ktoré robia cestu odmietnutia takmer neviditeľnou, a animácie, ktoré odvádzajú pozornosť od výberu. Spoločnou niťou je, že dizajn tlačí používateľa k prijatiu namiesto toho, aby prezentoval neutrálny výber.

Čo to znamená pre presadzovanie

Taskforce neukladá pokuty. Robia to národné DPA. Ale keďže každý európsky orgán sa pripojil k analýze taskforce, riziko presadzovania pri týchto konkrétnych vzoroch je teraz jednotné v celej EU. CNIL vo Francúzsku vydala doteraz najväčší rad pokút súvisiacich s cookies, ale talianský Garante, španielska AEPD, nemecké orgány na úrovni spolkových krajín a írske DPC otvorili vyšetrovania citujúc odôvodnenie zosúladené s taskforce. Dokonca aj UK ICO, ktorý je mimo regulačného perimetra EU, zverejnil usmernenia, ktoré sa do veľkej miery zrkadlia s kategóriami taskforce.

Čo táto konvergencia v praxi znamená je, že vydavatelia už nemôžu považovať súlad za cvičenie krajina po krajine. Audit bannera by sa mal merať voči kategóriám taskforce ako jednotnému kontrolnému zoznamu. Ak banner zlyhá v ktorejkoľvek zo šiestich, riziko nie je jedno DPA, ale celá európska dozorná sieť.

Praktický kontrolný zoznam auditu

Najrýchlejší spôsob, ako priviesť existujúci banner do súladu, je porovnať ho s vyššie uvedenými kategóriami a odpovedať na každú položku zdokumentovaným áno alebo nie. Otázky sú zámerne konkrétne.

• Rovnováha prvej vrstvy. Ponúka počiatočný banner explicitné tlačidlo Odmietnuť všetko alebo Pokračovať bez prijatia na rovnakom povrchu ako Prijať všetko, s porovnateľným štýlom?
• Predvolený stav. Sú všetky prepínače nekritických kategórií predvolene vypnuté v zobrazení predvolieb?
• Jasnosť odkazu. Je cesta k odmietnutiu označená slovesom, ktoré opisuje akciu (napr. Odmietnuť všetko, Odmietnuť nekritické), nie nejednoznačnou frázou ako Ďalšie možnosti alebo Nastavenia?
• Klasifikácia cookies. Overili ste, že každá cookie uvedená ako prísne nevyhnutná je skutočne vyžadovaná na fungovanie stránky, nie na analytické, reklamné alebo pohodlné funkcie?
• Prístup k stiahnutiu. Existuje trvalý prvok UI na každej stránke, ktorý znova otvára banner súhlasu, s nie viac kliknutiami, ako vyžadovalo pôvodné prijatie?
• Žiadne temné vzory. Vyhýba sa banner farebným, veľkostným alebo animačným rozhodnutiam, ktoré vytvárajú zmysluplnú vizuálnu nerovnováhu medzi prijatím a odmietnutím?

Banner, ktorý vracia šesť jasných áno na tento kontrolný zoznam, je obhájiteľný voči súčasnému presadzovaniu zosúladenému s taskforce. Banner, ktorý vracia hoci len jedno nie, by sa mal považovať za projekt nápravy, nie za úlohu údržby.

Kam taskforce smeruje ďalej

Zverejnené správy pokrývajú vzory, ktoré spustili pôvodnú vlnu sťažností. Prebiehajúca práca taskforce — viditeľná prostredníctvom pravidelných aktualizácií vydávaných EDPB — sa teraz presúva do ťažšieho, menej ustáleného územia. Tri oblasti pravdepodobne definujú ďalšie kolo usmernení.

Modely zaplať alebo súhlas

Rozhodnutie niekoľkých veľkých európskych vydavateľov ponúknuť návštevníkom binárnu voľbu medzi platením predplatného a súhlasom so sledovaním pritiahlo výslovnú kontrolu. EDPB vydala stanovisko v roku 2024, v ktorom spochybnila, či sa taká voľba môže považovať za slobodne danú, keď alternatívou je platobná stena. Taskforce má zverejniť koordinované kritériá pre to, kedy je zaplať alebo súhlas prípustný a kedy prechádza do nátlaku.

Únava zo súhlasu a granularita

Vysoko granulárne povrchy súhlasu pre jednotlivých dodávateľov, ako napríklad tie generované IAB TCF, boli kritizované za to, že produkujú únavu zo súhlasu a v konečnom dôsledku nie sú informované v zmysle GDPR. Budúce usmernenia taskforce pravdepodobne budú presadzovať kontroly na úrovni kategórie, nie na úrovni dodávateľa na prvej vrstve, pričom zverejnenie na úrovni dodávateľa bude dostupné, ale nevyžadované pre počiatočný platný súhlas.

Mobilné povrchy a povrchy pripojených TV

Väčšina skorých prác taskforce sa zamerala na webové bannery. Mobilné toky súhlasu v aplikáciách a rozhrania pripojených TV majú iné dizajnové obmedzenia a ešte neboli predmetom podrobných zistení. Vydavatelia pôsobiaci na týchto povrchoch by mali očakávať koordinované usmernenia v nasledujúcich 12 až 18 mesiacoch a nemali by predpokladať, že vyhovujúci vzor webového bannera sa automaticky prenesie.

Zhrnutie

Taskforce urobila niečo, čo GDPR samo nedokázalo: vytvorila jednotnú, operačnú interpretáciu toho, ako súhlas vyzerá v praxi v celej Európskej únii. Pre vydavateľov je lekciou to, že éra nakupovania jurisdikcií alebo spoliehania sa na slabé národné presadzovanie je za nami. Správna reakcia je považovať kategórie taskforce za záväzný interný štandard, auditovať existujúce bannery voči nim a konfigurovať infraštruktúru správy súhlasu tak, aby boli kategórie presadzované na úrovni platformy, nie ponechané na implementáciu po stránkach. Moderné CMP, ktoré sa čisto mapuje na šesť kategórií — vyvážené tlačidlá na prvej vrstve, predvolene vypnuté prepínače, jasné štítky odmietnutia, presná klasifikácia cookies, trvalý prístup k stiahnutiu a neutrálny dizajn — premení expozičné postavenie súladu na obhájiteľné postavenie na každom európskom trhu súčasne.