Nadzor nad izvajanjem zakonodaje o piškotkih - IPRS

Nadzor nad izvajanjem zakonodaje o piškotkih + - Opozorilo: Mnenje je bilo izdano na podlagi določb Zakona o varstvu osebnih podatkov (ZVOP-1, Uradni list RS, št. 94/07 - uradno prečiščeno besedilo), ki je z dnem 26. 1. 2023 prenehal veljati in ga je nadomestil nov Zakon o varstvu osebnih podatkov (ZVOP-2, Uradni list RS, št. 163/22), zato mnenje ni več nujno aktualno. Mnenja po ZVOP-2 so na voljo tukaj. Datum: 23.10.2014 Številka: 0712-1/2014/3299 Kategorije:Svetovni splet --> Kategorije: Svetovni splet Informacijski pooblaščenec (v nadaljevanju Pooblaščenec) je po elektronski pošti prejel vaš dopis, v katerem prosite za konkretne odgovore na določena vprašanja v zvezi z uporabo piškotkov s skladu z ureditvijo v 157. členu Zakona o elektronskih komunikacijah, zlasti glede analitične rešitve Google Analytics. Zanima vas tudi, kakšna je praksa inšpekcijskega nadzora nad izvrševanjem te ureditve.Avtentično razlago posameznih določb zakona daje le Državni zbor, neobvezno pa predlagatelj zakona, zato vam na podlagi informacij, ki ste nam jih posredovali, v nadaljevanju na podlagi 7. točke 1. odstavka 49. člena Zakona o varstvu osebnih podatkov (Uradni list RS, št. 94/07, uradno prečiščeno besedilo, v nadaljevanju ZVOP-1) ter 2. člena Zakona o informacijskem pooblaščencu (Uradni list RS, št. 113/05 in 51/07 – ZUstS-A, v nadaljevanju ZInfP), posredujemo naše neobvezno mnenje v zvezi z vašim vprašanjem.Piškotki analitične rešitve Google Analytics se po mnenju Pooblaščenca lahko uporabljajo na podlagi domnevne privolitve (t.i. implied consent) in že ob prvem obisku strani, če upravljavec spletne strani: - izklopi vse oglaševalske funkcije; - izklopi vsakršno dodatno deljenje zbranih informacij z Googlom; - sprejme pogodbo o pogodbeni obdelavi; - vklopi anonimizacijo IP naslovov; - zagotovi možnost naknadnega preklica privolitve (opt-out);ali če upravljavec uporabi različico Google Analytics, ki ne uporablja piškotkov, ali če upravljavec drugače ustrezno poskrbi za anonimizacijo uporabniških podatkov pred njihovim prihodom do Googlovih strežnikov. V drugih primerih je rešitev dovoljeno uporabljati le na podlagi izrecne privolitve uporabnika (tako kot oglaševalske in druge visoko invazivne piškotke).Vtičnike storitve YouTube je mogoče vključiti v t.i. načinu Privacy-enhanced mode, kjer se naložijo iz alternativne domene youtube-no-cookie.com in kjer pred začetkom predvajanja vključenega videoposnetka ne nalagajo nobenih piškotkov. Piškotki, ki se naložijo po tem, pa se v skladu s smernicami Pooblaščenca o rabi piškotkov praviloma štejejo za nujne v smislu 2. odstavka 157. člena ZEKom-1.Informacijski Pooblaščenec vodi večje število (približno 150) inšpekcijskih postopkov v zvezi s spoštovanjem 157. člena ZEKom-1, v skladu s prioritetami, terminskim načrtom in kadrovskimi zmogljivostmi. Do dne izdaje tega mnenja je bilo zaključenih 48 inšpekcijskih postopkov.Obrazložitev:Kot navajate, bi želeli konkretna odgovore na določena vprašanja v zvezi z uporabo piškotkov, zlasti analitičnih piškotkov ponudnika Google Analytics oz. piškotkov, ki se naložijo ob uporabi vtičnika za Googlov video portal YouTube. Petem bi želeli še določena pojasnila glede prakse inšpekcijskega nadzora nad novo ureditvijo piškotkov. Menite namreč, da zdajšnja pojasnila Pooblaščenca glede rabe piškotkov (glej https://www.ip-rs.si/varstvo-osebnih-podatkov/informacijske-tehnologije-in-osebni-podatki/piskotki-odgovori-na-pogosta-vprasanja/) niso zadostno jasna (zlasti ne za izdelovalce spletnih strani). Predvsem zaradi tega naj bi edini rezultat nove zakonodaje o piškotkih[1] bila uvedba »pozdravnih okenc« na spletnih straneh (se pravi zgolj obveščanje uporabnikov o rabi piškotkov na splošno), medtem ko se glede dejanskega režima rabe piškotkov naj ne bi nič spremenilo.Pooblaščenec na vaša vprašanja odgovori po točkah.Ad 1. Glede analitičnih piškotkov ponudnika Google AnalyticsNavajate, da naša pojasnila glede analitičnih piškotkov ponudnika Google Analytics[2] niso dovolj jasna glede režima uporabe teh piškotkov. Sami glede tega menite, da so to vsekakor »sledilni« piškotki, saj se jih da povezati z Googlovimi oglaševalskimi programi, se pravi, služijo prav sledenju uporabnikovi spletni aktivnosti za potrebe prikaza oglasov.Kot Pooblaščenec pojasnjuje v že navedenem stališču, glede piškotkov Google Analytics menimo, da gre v osnovi za sledilne piškotke, za katere je potrebna izrecna privolitev uporabnika. To velja za privzeto namestitev Google Analytics in za vse prilagojene namestitve, ki izrecno omogočajo povezavo te analitike z Googlovimi oglaševalskimi storitvami (glej https://support.google.com/analytics/answer/2700409?hl=sl). Vendar pa, kot pojasnjujemo v nadaljevanju, je Google analytics mogoče postaviti tudi tako, da ne omogoča zbiranja osebnih podatkov za potrebe oglaševanja, in da torej služi zgolj potrebam lastne analitike, kot pogodbeni obdelovalec upravljavca spletne strani. V tem primeru lahko pripadajoče piškotke (__utm* oz. __ga*) ocenimo kot relativno nizko-invazivne v smislu zasebnosti in je glede njih mehanizem domnevne privolitve lahko ustrezen.Pogoji za takšno postavitev so v veliki meri rezultat dela Informacijskega pooblaščenca nemške zvezne dežele Hamburg (glej http://www.iitr.us/publications/20-hamburg-data-protection-authority-data-protection-conforming-use-of-google-analytics.html) oz. sledečega mednarodnega sodelovanja med Pooblaščenci držav članic EU v okviru Delovne skupine po členu 29 Direktive 95/46/ES o varstvu osebnih podatkov. Ti pogoji so sledeči: 1. Uporabi se klasični Google Analytics (ga.

1. js)oz. novejši Universal Analytics (analytics.js), ne pa Google Analytics s podporo za prikazno oglaševanje (dc.js, https://support.google.com/analytics/answer/2444872?hl=sl). Prav tako se v vgrajeni (embedded) kodi ne sme vključiti nobenih dodatnih oglaševalskih funkcij (npr. https://developers.google.com/analytics/devguides/collection/analyticsjs/display-features).2. Uporabnik znotraj administracijskega vmesnika sprejme (pokljuka) pogodbo o pogodbeni obdelavi za upravljavce iz držav članic EU (data processing agreement).3. Uporabnik znotraj administracijskega vsesnika onemogoči (odkljuka) vse možnosti za dodatno deljenje zbranih analitičnih informacij z Googlom (https://support.google.com/analytics/answer/1011397?hl=sl).4. Uporabnik v vgrajeni (embedded) kodi dodatno vključi funkcijo anonimizacije IP naslovov (https://support.google.com/analytics/answer/2763052?hl=sl).Alternativno lahko uporabnik uporabi različico Google Analytics brez piškotkov (pri čemer sam izračuna identifikator obiskovalca, tipično iz zaglavja HTTP zahtevka, glej https://developers.google.com/analytics/devguides/collection/analyticsjs/domains#disableCookies) oz. uporabi katero ob obstoječih rešitev anonimizacije rabe analitike z vmesnim strežnikom, kot jih že sami omenjate oz. kot jih po vedenju Pooblaščenca že uporabljajo določene domače spletne strani. Z uporabo katerega od teh treh načinov se potem analitični piškotki rešitve Google Analytics lahko štejejo za enakovredne piškotkom lastnih analitičnih rešitev in torej za manj invazivne. V tem primeru je po mnenju Pooblaščenca njihova uporaba skladna z določbami ZEKom-1 že, če:1. se uporabljajo na podlagi mehanizma t.i. domnevne privolitve (angl. implied consent), se pravi, se naložijo že ob prvem obisku spletne strani in brez izrecne privolitve uporabnika (s klikom na kak gumb ali skozi nadaljnjo rabo spletne strani).2. Upravljavec poda ustrezne informacije o rabi teh piškotkov pod pogoji iz 1. odstavka 157. člena ZEKom-1, npr. na posebni podstrani z več informacijami o piškotkih, v svoji politiki zasebnosti, idr.3. Upravljavec omogoči naknadni umik soglasja za uporabo takšnih piškotkov (opt-out).Ad 2. Glede piškotkov, povezanih z vtičnikom z Googlovega portala YouTubeGoogle v svojih možnostih za vključitev video posnetka s svojega portala YouTube (angl. embed options) omogoča posebno stikalo (Privacy-enhanced mode, glej https://support.google.com/youtube/answer/171780?hl=en), ki vtičnike naloži z alternativne domene http://youtube-no-cookie.com. Takšni vtičniki ob svojem nalaganju ne naložijo nobenih piškotkov. Piškotki se naložijo šele ob začetku predvajanja posnetka, ki pa se, v skladu z našimi pojasnili v Smernicah o uporabi piškotkov, glej https://www.ip-rs.si/fileadmin/user_upload/Pdf/smernice/Smernice_o_uporabi_piskotkov.pdf, lahko štejejo za ti. nujne piškotke v smislu 2. odstavka 157. člena ZEKom-1.Opozarjamo, da je upravljavec spletne strani še vedno obvezan k podaji ustreznih informacij o rabi teh piškotkov, npr. na posebni podstrani z več informacijami o piškotkih, v svoji politiki zasebnosti, idr.Ad 3. Glede prakse inšpekcijskega nadzora Informacijskega pooblaščenca v zvezi s piškotkiInformacijski Pooblaščenec vodi večje število (približno 150) inšpekcijskih postopkov v zvezi s spoštovanjem 157. člena ZEKom-1, v skladu s prioritetami, terminskim načrtom in kadrovskimi zmogljivostmi. Do dne izdaje tega mnenja je bilo zaključenih 48 inšpekcijskih postopkov. Dodatne informacije so na voljo v naših letnih poročilih, glej https://www.ip-rs.si/o-pooblascencu/informacije-javnega-znacaja/letna-porocila/. S pozdravi,Informacijski pooblaščenec:Mojca Prelesnik, univ.dipl.prav.,pooblaščenka [1] 157. člen Zakona o elektronskih komunikacijah (Uradni list RS, št. 109/12, 110/13, 40/14 - ZIN-B in 54/14 - odl. US), ki v slovensko zakonodajo prenaša določbe l. 2009 novelirane Direktive 2002/58/ES o zasebnosti in elektronskih komunikacijah, v smislu, da za vse nenujne piškotke zahteva, da se uporabljajo šele pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov (opt-in). [2] Glej https://www.ip-rs.si/varstvo-osebnih-podatkov/informacijske-tehnologije-in-osebni-podatki/piskotki-odgovori-na-pogosta-vprasanja/#c1250. O NAS Informacijski pooblaščenec Dunajska cesta 22 1000 Ljubljana, Slovenija Zemljevid (vir: najdi.
2. si)Telefon: 01 230 97 30 Poštni in varni e-predal: gp.ip(at)ip-rs.si Odgovorna oseba za informacije za medije: dr. Jelena Virant Burnik. Kontakt za medije: Barbara Repovš, mediji@ip-rs.si ali 01 230 97 30 Prijava kršitev (Navodila in obrazci) URADNE URE PON - PET 9.00 - 12.00 POVEZAVE Informacije javnega značaja Priročniki in smernice Obrazci Politika zasebnosti Informacije o obdelavi osebnih podatkov Izjava o dostopnosti Podpora za majhna podjetja Pravice posameznikov Prijava na prejemanje e-novic Informacijski pooblaščenec | 2026