E-privaatsuse direktiiv vs. IKÜM: kuidas küpsisereeglid toimivad

E-privaatsuse direktiiv ja isikuandmete kaitse üldmäärus (IKÜM, GDPR) jagavad küpsiste küsimuse kaheks. E-privaatsuse direktiiv otsustab, kas vajad nõusolekut teabe salvestamiseks kellegi seadmesse või sealt lugemiseks. IKÜM määratleb, milline on kehtiv nõusolek, ja reguleerib kõiki isikuandmeid, mida pärast seda töötled. Enamiku analüütika- ja reklaamiküpsiste puhul pead täitma mõlema õigusakti nõudeid korraga.

Mida ütleb e-privaatsuse direktiiv küpsiste kohta?

E-privaatsuse direktiivi (direktiiv 2002/58/EÜ) artikli 5 lõige 3 lubab teavet kasutaja seadmesse salvestada või sinna juba salvestatud teabele juurde pääseda ainult siis, kui kasutaja on andnud nõusoleku pärast selge ja põhjaliku teabe saamist. Sellest on kaks kitsast erandit.

Esimene hõlmab salvestamist või juurdepääsu, mida kasutatakse üksnes side edastamiseks võrgu kaudu. Teine hõlmab salvestamist või juurdepääsu, mis on rangelt vajalik kasutaja selgesõnaliselt soovitud teenuse osutamiseks, näiteks sisselogimisseanss või ostukorv. Kõik muu, sealhulgas analüütika, reklaam ja enamik sotsiaalmeedia funktsioone, vajab nõusolekut.

Reegel on teadlikult tehnoloogianeutraalne. „Seade“ tähendab mis tahes lõppseadet, alates sülearvutitest ja telefonidest kuni nutiteleriteni. „Teave“ hõlmab küpsiseid, kohalikku salvestusruumi, IndexedDB-d, seadme identifikaatoreid ja tehnikaid, mis loevad seadme omadusi. Alates 2009. aasta muudatusest on vaikimisi nõutav nõusolek; enne seda piisas kasutajate teavitamisest ja neile keeldumisvõimaluse andmisest.

Kõige olulisem on see, et artikli 5 lõige 3 kehtib sõltumata sellest, kas teave on isikuandmed. Ka küpsis, mis sisaldab juhuslikku väärtust ega ole seotud ühegi inimesega, kuulub reegli kohaldamisalasse.

Mida lisab IKÜM küpsisereeglitele?

IKÜM annab kaks asja: nõusoleku määratluse, millele küpsisebännerid peavad vastama, ja reeglid kõigi isikuandmete kohta, mida töötled pärast küpsise seadmist või lugemist.

E-privaatsuse direktiiv ise nõusolekut ei määratle. See laenab määratluse EL-i andmekaitseõigusest, mis tähendab tänapäeval isikuandmete kaitse üldmäärust (IKÜM). Artikli 4 punkt 11 nõuab, et nõusolek oleks vabatahtlik, konkreetne, teadlik ja ühemõtteline, ning artikkel 7 lisab sellised tingimused nagu lihtne tagasivõtmine ja võime nõusolekut tõendada. Planet49 kohtuasjas (C-673/17, 2019) kohaldas Euroopa Liidu Kohus seda standardit küpsistele ja leidis, et eelnevalt märgitud märkeruut ei ole kehtiv nõusolek.

Pärast seadmele juurdepääsu sammu võtab ohjad üle IKÜM. Kui sinu analüütikateenuse pakkuja saab küpsise ID-ga seotud lehevaatamisi, on tegemist isikuandmete töötlemisega. Sul on vaja artikli 6 kohast õiguslikku alust, läbipaistvat privaatsusteadet, lepinguid volitatud töötlejatega, kaitsemeetmeid rahvusvaheliste edastuste jaoks ning protsessi juurdepääsu- ja kustutamistaotluste käsitlemiseks.

Kui jälgimine ja profiilianalüüs algavad nõusolekupõhisest küpsisest, eeldavad järelevalveasutused üldjuhul, et ka edasise töötlemise õiguslik alus on nõusolek. Seetõttu sobib õigustatud huvi küpsiste puhul harva.

Kuidas e-privaatsuse direktiiv ja IKÜM teineteisest erinevad?

Erinevused on kõige paremini näha kõrvuti.

Aspekt	E-privaatsuse direktiiv (art 5 lg 3)	IKÜM
Õiguslik vorm	Direktiiv, mis võetakse üle siseriiklike seadustega	Määrus, mis on otsekohaldatav igas EL-i riigis
Mida see reguleerib	Teabe salvestamine kasutaja seadmesse või sellele juurdepääs	Isikuandmete töötlemine
Kas isikuandmed on vajalikud?	Ei	Jah
Lubatud alused	Nõusolek või üks kahest kitsast erandist	Kuus artiklis 6 sätestatud õiguslikku alust, sealhulgas nõusolek ja õigustatud huvi
Kes teeb järelevalvet	Iga riigi määratud asutus, sageli, kuid mitte alati andmekaitseasutus	Riiklikud andmekaitseasutused koos piiriülese koostöö mehhanismiga
Karistused	Määratakse siseriikliku õigusega	Kõige raskemate rikkumiste eest kuni 20 miljonit eurot või 4% ülemaailmsest aastakäibest (art 83 lg 5)

Milline õigusakt konkreetsele küpsisele kehtib?

Sageli mõlemad, üksteise järel. Mõtle sellest kui kaheastmelisest testist: e-privaatsuse direktiiv reguleerib salvestamise või lugemise hetke ja IKÜM sellele järgnevat isikuandmete töötlemist.

Tüüpilised juhtumid näevad välja nii:

1. Analüütikaküpsis. Kliendi ID küpsise seadmiseks on vaja e-privaatsuse kohast nõusolekut. Selle ID-ga seotud lehevaatamiste saatmine analüütikateenuse pakkujale on IKÜM-i kohane isikuandmete töötlemine.
2. Sisselogimisseansi küpsis. Küpsis on nõusolekunõudest vabastatud, sest see on rangelt vajalik kasutaja soovitud teenuse jaoks. Selle taga olevad kontoandmed on siiski isikuandmed, seega kehtib IKÜM, tavaliselt sellisel alusel nagu lepingu täitmine.
3. Reklaamipiksel. Identifikaatorite lugemiseks või kirjutamiseks on vaja e-privaatsuse kohast nõusolekut ning järgnev profiilianalüüs vajab IKÜM-i kohast õiguslikku alust, mis praktikas tähendab nõusolekut.
4. Serveripoolne töötlemine ilma seadmele juurdepääsuta. Kui seadmesse midagi ei salvestata ega sealt midagi ei loeta, ei pruugi artikli 5 lõige 3 rakenduda, kuid IKÜM kehtib endiselt isikuandmetele, näiteks IP-aadressidele. Järelevalveasutused tõlgendavad „juurdepääsu“ laialt, seega kontrolli enne sellele tuginemist nende juhiseid.

Järjekord on oluline. Kehtiv IKÜM-i kohane õiguslik alus teise sammu jaoks ei paranda esimese sammu puuduvat e-privaatsuse nõusolekut.

Miks on oluline, et tegemist on direktiivi, mitte määrusega?

Kuna iga riik võtab e-privaatsuse direktiivi üle oma seadusega, võivad sama bännerit hinnata eri järelevalveasutused, kes kohaldavad veidi erinevaid reegleid. See mõjutab seda, kes ja kuidas saab sinu suhtes meetmeid võtta.

Siseriiklikud seadused erinevad sellistes üksikasjades nagu see, milline asutus küpsisereeglite täitmise üle järelevalvet teeb, kuidas järelevalveasutused analüütika erandeid käsitlevad ja kui kaua tuleks keeldumist meeles pidada.

IKÜM-i ühe kontaktpunkti mehhanism, mis tavaliselt suunab piiriülesed juhtumid ühele juhtivale järelevalveasutusele, ei laiene siseriiklikele e-privaatsuse reeglitele. Just seetõttu sai Prantsusmaa andmekaitseasutus CNIL 2021. aasta detsembris võtta otse meetmeid Google’i ja Facebooki suhtes ning määrata neile vastavalt 150 miljoni ja 60 miljoni euro suuruse trahvi, sest küpsistest keeldumine oli raskem kui nõustumine. Meie ülevaade küpsisereeglite jõustamise õppetundidest selgitab, mida need otsused tavaliste saitide jaoks tähendavad.

Praktiline järeldus: kujunda lahendus oma turgude kõige rangema standardi järgi. Ühendkuningriik järgib paralleelset mudelit: UK GDPR koos eraelu puutumatuse ja elektroonilise side määrustega (PECR), mille täitmise üle teeb järelevalvet infovoliniku büroo (Information Commissioner’s Office, ICO). Meie UK GDPR-i ja PECR-i juhend selgitab, milles Ühendkuningriik erineb.

Kas e-privaatsuse direktiiv asendatakse?

Võib-olla kunagi, kuid planeeri kehtiva õiguse järgi. Direktiivi asendamiseks kavandatud e-privaatsuse määruse üle peeti aastaid läbirääkimisi kokkuleppele jõudmata ning Euroopa Komisjon teatas 2025. aastal, et võtab ettepaneku tagasi.

Uuemad EL-i algatused digireeglite lihtsustamiseks on küpsiste nõusoleku sellest ajast peale taas päevakorda tõstnud. Miski sellest ei muuda sinu kohustusi enne, kui see on vastu võetud ja jõustunud, seega järgi edasi artikli 5 lõiget 3 nii, nagu see on igas riigis üle võetud, ja kontrolli enne mis tahes väljakuulutatud reformi põhjal tegutsemist oma järelevalveasutuse ajakohaseid juhiseid.

Kokkuvõte

E-privaatsuse direktiiv vastab küsimusele „kas mul on seadmele ligipääsemiseks vaja nõusolekut?“ ja IKÜM küsimusele „mida nõusolek tähendab ja millised on minu kohustused andmetega?“. Käsitle neid kui kaht väravat, millest tuleb mõlemast läbi pääseda, ja ära lase IKÜM-i kohasel õiguslikul alusel end kunagi e-privaatsuse nõusolekust loobuma veenda. Sellised tööriistad nagu Cookiesh oskavad näidata eri piirkondadele erinevaid bännereid, kuid tasub ikkagi ise välja selgitada, milline õigusakt iga jälgija suhtes kehtib.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.