Čo jordánsky PDPL skutočne vyžaduje

Zákon sa vzťahuje na spracúvanie osobných údajov osôb nachádzajúcich sa v Jordánsku bez ohľadu na to, kde je usadený prevádzkovateľ alebo sprostredkovateľ, a na prevádzkovateľov a sprostredkovateľov usadených v Jordánsku bez ohľadu na to, kde sa dotknuté osoby nachádzajú. Územná pôsobnosť je rozsiahla a zachytáva väčšinu vydavateľov obsluhujúcich jordánskych čitateľov, pričom najbežnejší hraničný prípad — nezordánsky vydavateľ bez jordánskej infraštruktúry, ale s jordánskymi návštevníkmi — sa rieši odkazom na to, či prevádzkovateľ aktívne smeroval služby do Jordánska. Osobné údaje sú široko definované ako akékoľvek informácie, ktoré identifikujú alebo umožňujú identifikáciu fyzickej osoby, pričom citlivé osobné údaje — vrátane údajov týkajúcich sa etnického pôvodu, politického názoru, náboženského presvedčenia, zdravia, sexuálneho života, trestných záznamov a finančných údajov — podliehajú vyššiemu prahovú hodnote súhlasu a ďalším procesným ochranám.

Zákon ustanovuje právne základy spracúvania, štandardný zoznam práv dotknutých osôb — prístup, opravu, vymazanie, obmedzenie, námietku a prenosnosť — rámec zodpovednosti prevádzkovateľ-sprostredkovateľ s povinným vymenovaním zodpovednej osoby pre ochranu údajov pre kategórie vyššieho rizika, povinnosti oznamovať porušenia Rade do 72 hodín od zistenia, kontroly cezhraničného prenosu závislé od rozhodnutí o primeranosti Rady alebo schválených záruk a režim správnych sankcií s pokutami až do výšky JOD 1 milióna za porušenie plus trestné sankcie za najzávažnejšie kategórie.

Ako PDPL zaobchádza so súhlasom so súbormi cookie

Jordánsky PDPL neobsahuje samostatné ustanovenie v štýle ePrivacy o súboroch cookie; súbory cookie a analogické technológie ukladania a prístupu spadajú do všeobecného rámca súhlasu. Štandardom je výslovná, dobrovoľná, konkrétna a informovaná dohoda doložená kladným úkonom — rodina požiadaviek, ktorú GDPR stanovilo ako globálny základ a ktorú Jordánsko importovalo s vlastnou procesnou nadstavbou. Rada vo svojich vydaných usmerneniach potvrdila, že vopred zaškrtnuté políčka, implicitný súhlas odvodený z pokračujúceho prehliadania a súhrnné bannery so súhlasom nespĺňajú prahovú hodnotu zákona.

Praktickým dôsledkom je, že súbory cookie a analogické technológie, ktoré nie sú nevyhnutne potrebné na poskytovanie služby aktívne požadovanej používateľom, nesmú byť nastavené predtým, ako používateľ udelil súhlas. Nevyhnutne potrebné súbory cookie — identifikátory relácie, obsah košíka, bezpečnostné tokeny, súbory cookie na vyvažovanie záťaže — možno nastaviť na základe toho, že používateľ aktívne požiadal o službu. Všetko ostatné — analýzy, reklama, personalizácia, A/B testovanie, prehrávanie relácií a akákoľvek značka tretej strany — vyžaduje predchádzajúci súhlas.

Ako sa jordánsky PDPL v praxi líši od GDPR

Tri rozdiely sú dôležité pri konfigurácii CMP. Po prvé, PDPL vyžaduje, aby prevádzkovatelia spracúvajúci osobné údaje viac ako Radou definovaného prahu dotknutých osôb alebo spracúvajúci citlivé osobné údaje sa zaregistrovali v Rade a získali licenciu na spracúvanie. Po druhé, pravidlá cezhraničného prenosu PDPL vyžadujú, aby Rada označila cieľové jurisdikcie; prenosy do neoznačených jurisdikcií vyžadujú buď výslovný súhlas dotknutej osoby, zmluvné záruky schválené Radou alebo jednu z úzkych zákonných výnimiek. Po tretie, PDPL ukladá povinné vymenovanie zodpovednej osoby pre ochranu údajov prevádzkovateľom presahujúcim Radou definovaný prah, pričom DPO je uvedená v podaniach prevádzkovateľa Rade.

Ako vyzerá vyhovujúci banner súborov cookie podľa PDPL

Technické požiadavky sa zhodujú s tým, čo každý moderný CMP už produkuje, ale označovanie, dokumentácia a protokol súhlasov musia odrážať jordánske špecifiká. Banner prvej vrstvy musí používateľovi ponúknuť skutočnú voľbu — prijať, odmietnuť, spravovať — kde možnosť odmietnutia je aspoň rovnako výrazná ako možnosť prijatia. Súhrnný súhlas je zakázaný, takže druhá vrstva musí umožniť opt-in podľa kategórie, ktorý pokrýva minimálne analýzy, reklamu a akékoľvek spracúvanie závislé od cezhraničného prenosu. Kategórie musia mať predvolene stav vypnutý; banner nesmie načítavať značky, kým ich používateľ kladne nezapol.

Oznámenie o ochrane súkromia zobrazené z banneru musí identifikovať prevádzkovateľa, registračné číslo prevádzkovateľa v Rade, ak je to uplatniteľné, kategórie zbieraných osobných údajov, právny základ pre každý účel spracúvania, dobu uchovávania údajov, kategórie príjemcov vrátane akýchkoľvek sprostredkovateľov nachádzajúcich sa mimo Jordánska, práva dotknutej osoby podľa zákona, kontaktné údaje DPO, kde je vymenovanie DPO povinné, a kontaktné údaje Rady pre sťažnosti.

Integračný vzor, ktorý prejde preskúmaním Rady

Referenčná implementácia má štyri pohyblivé časti. Prvou je CMP, ktorý podporuje opt-in podľa kategórie, predvolene vypnutý, a sprístupňuje výber používateľa prostredníctvom štruktúrovaného reťazca súhlasu, ktorý môže vydavateľ zachovať. Druhou je vrstva načítania značiek — správca značiek na strane servera alebo natívna brána CMP — ktorá prísne vynucuje stav súhlasu predtým, ako sa nastaví akýkoľvek nepodstatný súbor cookie. Treťou je protokol súhlasov, uložený na strane servera, ktorý zaznamenáva pre každú udalosť súhlasu výber používateľa podľa kategórie, časovú pečiatku, verziu banneru a skrátený alebo hashovaný identifikátor IP, aby prevádzkovateľ mohol predložiť záznam na žiadosť Rady. Štvrtou je cesta odvolania súhlasu aspoň rovnako jednoduchá ako pôvodné udelenie — zvyčajne trvalý odkaz na opätovné otvorenie banneru v päte stránky.

• Analytické značky — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — sa musia načítavať až po udelení kategórie analýz. Každá platforma podporuje konfiguráciu s bránou súhlasu, ktorá zabraňuje akémukoľvek zápisu súborov cookie pred otvorením brány.
• Reklamné značky — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, programatickí header bidderi — musia byť podobne blokované, a keď reklamný partner prenáša údaje mimo Jordánska do jurisdikcie, ktorú Rada neoznačila, jurisdikcia príjemcu a základ prenosu musia byť uvedené v oznámení o ochrane súkromia.
• Nástroje na prehrávanie relácií a heatmapy — Hotjar, Microsoft Clarity, FullStory, Contentsquare — musia byť za samostatnou, prísnejšou bránou, pretože Rada sa zosúladila s medzinárodnými usmerneniami označujúcimi vykresľovanie vstupných polí ako kategóriu vyžadujúcu výslovný a granulárny súhlas.
• Oznámenia o cezhraničnom prenose musia byť špecifické pre každú jurisdikciu príjemcu a odkazovať na rozhodnutie o primeranosti Rady, schválenú záruku alebo výslovný súhlas dotknutej osoby ako právny základ.

Validácia, registrácia a pozícia auditu pre rok 2026

Obhájiteľné jordánske nasadenie v roku 2026 musí prejsť štyrmi technickými kontrolami. Po prvé, čistá relácia prehliadača obsluhovaná z jordánskej IP adresy musí produkovať nula nepodstatných súborov cookie predtým, ako bol banner aktivovaný. Po druhé, cesta odmietnuť-všetko musí viesť k rovnakej pozícii ako relácia bez akcie — žiadne analytické značky, žiadne reklamné značky, žiadne skripty na prehrávanie relácií. Po tretie, tok prijať-všetko musí produkovať iba značky, s ktorými používateľ súhlasil, a protokol súhlasov musí obsahovať zodpovedajúci záznam. Po štvrté, tok odvolania súhlasu musí okamžite zastaviť ďalšie spúšťanie značiek, vyprší platnosť súborov cookie nastavených počas odsúhlasenej relácie a spustí akékoľvek následné signály na vymazanie alebo opt-out požadované partnermi príjemcami.

Okrem technických kontrol je pozícia registrácie a auditu tým, čo robí nasadenie obhájiteľným. Prevádzkovatelia spracúvajúci osobné údaje jordánskych rezidentov nad Radou definovanými prahmi musia uchovávať príslušnú registráciu Rady a licenciu na spracúvanie, a registračný záznam — spolu s protokolom súhlasov, oznámením o ochrane súkromia, výsledkami posúdenia vplyvu na ochranu údajov pre spracúvanie s vyšším rizikom, dokumentmi o vymenovaní DPO a autorizáciami cezhraničného prenosu — tvorí dokumentáciu, ktorú môže Rada požadovať počas preskúmania dodržiavania súladu.