Ξανά για τα Cookies: Αποδοχή Επιλογών VS Αποδοχή Όλων

Οι πρόσφατες αποφάσεις της Ιρλανδικής Αρχής Προστασίας Δεδομένων, με τις οποίες επιβλήθηκαν στη Meta Ireland πρόστιμο 210 εκατομμυρίων ευρώ (για παραβιάσεις του ΓΚΠΔ σχετικά με το Facebook) και 180 εκατομμυρίων ευρώ (για παραβιάσεις σχετικά με το Instagram), μαζί με εντολή προς τη Meta Ireland να προχωρήσει εντός 3 μηνών σε συμμόρφωση των πράξεων επεξεργασίας που διενεργεί, αποτελούν ένα ακόμη κεφάλαιο στον "πόλεμο των μπισκότων".

Μια νομική, οικονομική και πολιτική αντιπαράθεση μεταξύ των τεχνολογικών κολοσσών και των ρυθμιστικών αρχών σε σχέση με τις πρακτικές παρακολούθησης (tracking) τις οποίες μετέρχονται οι παράγοντες του οικοσυστήματος AdTech για την αξιοποίηση των τεχνολογικών δεδομένων με σκοπό την παρουσίαση προσωποποιημένων διαφημίσεων στους χρήστες των κατά τα λοιπά... δωρεάν υπηρεσιών.

Η εγκατάσταση cookies ή λοιπών τεχνολογιών παρακολούθησης (trackers), π.χ. pixels, web beacons κτλ, ρυθμίζεται νομοθετικά στο άρθρο 5(3) της οδηγίας 2002/58 (ePrivacy), ενσωματωθείσα στο εθνικό μας δίκαιο υπό το Ν. 3471/2006. Προβλέπεται ότι η αποθήκευση πληροφοριών ή η απόκτηση πρόσβασης σε ήδη αποθηκευμένες πληροφορίες στον τερματικό εξοπλισμό χρήστη να επιτρέπεται μόνον εάν ο συγκεκριμένος χρήστης έχει δώσει τη συγκατάθεσή του με βάση σαφείς και εκτενείς πληροφορίες, συγκατάθεση κατά την έννοια του GDPR, μεταξύ άλλων για τον σκοπό της επεξεργασίας.

Για τη νομότυπη εγκατάσταση των trackers απαιτείται σύμφωνα με το νόμο "Συγκατάθεση" του χρήστη. Ήδη μετά την απόφαση Planet49 του ΔΕΕ, C‑673/17 (ECLI:EU:C:2019:801), ως συγκατάθεση νοείται «κάθε δήλωση βουλήσεως, ελευθέρας, ρητής και εν πλήρει επιγνώσει, με την οποία το πρόσωπο στο οποίο αναφέρονται τα δεδομένα δέχεται να αποτελέσουν αντικείμενο επεξεργασίας τα δεδομένα προσωπικού χαρακτήρα που το αφορούν». Επομένως, η απαίτηση περί «δήλωσης» βούλησης του υποκειμένου των δεδομένων αναφέρεται σαφώς σε ενεργή και όχι παθητική συμπεριφορά.

Ωστόσο, δεν αρκεί μονο αυτό. η συγκατάθεση πρέπει να είναι "ελεύθερη". Δεν πρέπει κατά την απαίτηση για τη λήψη συγκατάθεσης να υιοθετούνται πρακτικές που καθιστούν "ανελεύθερη" τη συγκατάθεση του χρήστη.

Τέτοιες πρακτικές που ονομάζονται "σκοτεινά μοτίβα" ή "dark patterns" οδηγούν σε "υφαρπαγή" της συγκατάθεσης του χρήστη. Πρόκειται για σχεδιασμό των online interfaces με τέτοιο τρόπο ώστε να οδηγούν σε μια "απόφαση" έναν χρήστη μιας online υπηρεσίας χωρίς να έχει όλα τα δεδομένα για τη λήψη της. Τέτοιες πρακτικές απαγορεύονται πλέον ρητά και από τη Πράξη για τις Ψηφιακές Υπηρεσίες (Digital Services Act).

Έτσι, δηλώσεις όπως "Αποδοχή Όλων ή Περισσότερες Επιλογές" δεν καθιστά νόμιμη τη συγκατάθεση του χρήστη, διότι δεν είναι ελεύθερη. Και τούτο, διότι δεν είναι One click away η απόρριψη των cookies όπως είναι η αποδοχή τους.

Τι γίνεται με δηλώσεις όμως όπως αυτή που αναφέρεται στον παράτιτλο του παρόντος. Αποδοχή Όλων - Αποδοχή Επιλογών. Μπορεί ο μέσος χρήστης να αντιληφθεί τη διαφορά μεταξύ των προεπιλεγμένων επιλογών για cookies (χρησιμότητας) και της επιλογής "όλων", όπως μέτρησης, απόδοσης και στόχευσης;

Είναι ζήτημα μέτρησης, και ενδεχομένως μια συμπεριφορική μελέτη να έδινε την απάντηση. Αν ο μέσος χρήστης ή ο "average consumer" δεν το αντιλαμβάνεται, τότε πρόκειται αναμφίβολα για ένα dark pattern και καθιστά άκυρη τη συγκατάθεση του χρήστη.

Συναφής είναι και η δήλωση "Αποδοχή Όλων - Απόρριψη Όλων". Όμως, ενόψει της ρητής δυνατότητας του χρήστη να αρνηθεί όλα τα cookies με τη μία, τέτοια δήλωση είναι σίγουρα νομότυπη.