A webes tartalomszolgáltatók többsége jogsértő módon tárolja és használja a látogatók adatait, sokan szabálytalanul építik fel kampányaikat a közösségi oldalakon is. Az adatvédelmi szabályozás megpróbálja követni a technológiai újítások teremtette kihívásokat, ezért a 2018 májusában hatályba lépő uniós adatvédelmi rendelet bevezetése után tisztább feltételekre és szigorúbb büntetésekre számíthatnak az érintettek.

A technológia kínálta új lehetőségeket és a hozzájuk kapcsolódó szabályozási kérdéseket érdemes összefüggésükben vizsgálni, mert csak így használhatók jogszerűen az online marketing eszközök, és csak így kapnak a fogyasztók megfelelő védelmet. Például az úgy nevezett „programmatic buying” – melynek fogalmával a hirdetők és az ügynökségek többsége még csak most ismerkedik hazánkban – technológiája a cookie-kra épül, ezért alkalmazása adatvédelmi kérdéseket vet fel.

A programmatic buying lényege, hogy a felhasználók viselkedéséről (arról, hogy éppen milyen weboldalt néznek, valamint arról, hogy eddigi viselkedésük alapján „kik” ők) a hirdetők azonnal információt kapnak. Így valós időben automatákon keresztül licitálhatnak arra, hogy mennyit ér meg nekik, ha a hirdetésüket az adott felhasználó számára osztja ki a szerver (adserver). Aki a legtöbbet kínálja a reklámhelyért, az helyezheti el az adott felületen a hirdetését. A felhasználóról szóló információt a cookie-k – adatcsomagok, adatfile-ok – tartalmazzák. A website-ok cookie-kat telepítenek a felhasználó gépére, amelyben róla szóló információkat gyűjtenek, majd továbbítják ezeket az adatcsomagokat a szolgáltatónak vagy harmadik személynek. Ahhoz azonban, hogy ez az adatkezelés jogszerű legyen, az érintetteknek kifejezetten bele kell egyeznie ebbe.

Ma azonban még az a jellemző, hogy részletes tájékoztatás nélkül egy egyszerű felugró ablakban kérik a tartalomszolgáltatók az internetezők beleegyezését a cookie-k alkalmazásához. Ez így nem jogszerű, hiszen a látogató nincs tisztában azzal, hogy pontosan melyik cookie-típus használatára adott engedélyt.

A cookie-k három fő típusát különböztetjük meg. Az első típusba az oldal használatához műszaki okból feltétlenül szükséges cookie-k tartoznak. Ezek telepítéséhez ugyan nem szükséges az érintettek hozzájárulása, de ezekkel kapcsolatban is feltétel a teljes körű tájékoztatás. A második típus egy bizonyos alkalmazás működéséhez szükséges cookie-k csoportja. Ezekhez adott esetben kell hozzájárulást kérni – természetesen szintén a megfelelő tájékoztatás után. Ha ezt valaki nem adja meg, akkor az adott alkalmazás nem jelenik meg számára, de a többi tartalomhoz hozzáfér.

A harmadik típus a legérzékenyebb adatvédelmi szempontból. Ezekkel kapcsolatban abba egyezik bele az internetező, hogy a gépére az ő viselkedésével kapcsolatos adatokat tartalmazó file-okat telepítsenek, tároljanak és adjanak át. Ezek a cookie-k teszik lehetővé a célzott hirdetéseket, de ide tartozik a statisztikai célú adattárolás (például a látogatottság-mérés) is.

A jelenleg hatályos szabályozás szerint (az Európai Parlament és a Tanács 2009/136/EK irányelve (2002/58/EK irányelv módosítása), az elektronikus hírközlésről szóló 2003. évi C. törvény (Eht.), valamint az információs önrendelkezésről és az információszabadságról szóló 2011. évi CXII. tv. (Infotv.)) a beleegyezésnek határozottnak, tájékozottnak, egyértelműnek, kifejezettnek és önkéntesnek kell lennie. Jogszerűtlen a beleegyezés, ha az érintett nem tudja, hogy mihez ad hozzájárulást, vagy ha sérül az önkéntesség elve. Ez akkor történik meg, ha az internetező nem érheti el a kívánt tartalmat, csak ha elfogadja a cookie-k használatát. Nem számít kifejezett beleegyezésnek, ha csak kipipálja, vagy lekattintja a „tudomásul veszem” rubrikát, vagy ha a pipa már eleve bent van a kockában. Csak akkor megfelelő a tájékoztatás, ha ismerteti az adatgyűjtés tényét és célját, az érintettek körét, az adatkezelés időtartamát, az adatok megismerésére jogosultak körét és az adatvédelmi nyilvántartási számot.

Manapság az emberek még nincsenek igazán tisztában döntésük jelentőségével, szeretnének gyorsan túlesni a hozzájáruláson, nem tudatosan döntenek. Erre lehet megoldás, ha az első betöltéskor csak korlátozott oldal jelenik meg, amelyhez nem szükségesek a cookie-k, a website összes funkcióját pedig csak a valóban tudatos beleegyezés után érné el a felhasználó. A teljesen jogszerű működés feltétele a beépített adatvédelem elvének alkalmazása volna. A website-oknak felépítésükben minden ponton meg kellene felelniük az adatvédelmi követelményeknek, lehetővé kellene tenni, hogy a beállításokban adhassák meg az internetezők, hogy milyen cookie-k használatába egyeznek bele. Ugyanilyen fontos szempont, hogy a hozzájárulás nem szólhat örökre, azt a hosszabb ideig használt cookie-k esetében is szükséges időszakonként megújítani. Jellemző, hogy kötelező szabályozás hiányában az etikus szolgáltatók önkéntesen, félévente megújíttatják a beleegyezést.

A szabályozás lemaradt a technológiai újítások mögött, késve igyekszik kezelni az új jogi problémákat, és mire 2018-ban hatályba lép az új uniós Adatvédelmi Rendelet, ma még nem is létező kérdésekre kell majd választ adnia. A hatályos szabályozás legnagyobb hiányossága, hogy nem tisztázza, hogy ki a felelős a jogszerűtlen adatkezelésért. Csak elméletileg egyszerű a helyzet: az adatkezelő a tartalomszolgáltató, tehát ő a felelős. Ugyanakkor a keresőmotorok (például a Google) csak akkor teszi megtalálhatóvá az oldalt, ha az engedélyt ad arra, hogy a motor cookie-kat helyezzen el a tartalomszolgáltató látogatóinak gépén. Vagyis a tartalomszolgáltató nem is tudja, hogy a keresőmotorok milyen cookiekat telepítenek rajta keresztül a felhasználók gépére, vagyis egy olyan dologgal kapcsolatban kötelezik tájékoztatásra és jogok megszerzésére, amelyről neki magának sincs teljes körű információja.

A most folyó uniós adatvédelmi reform keretében a 2018. május 25-én hatályba lépő általános adatvédelmi rendelet számos ponton tisztázza a felvetett problémákat, továbbá szigorítani fogja az adatvédelmi követelményeket, és megerősíti a hatóságokat is. A rendelet alkalmazza többek között például a beépített adatvédelem elvét vagy a felejtéshez való jogot. Világossá teszi, hogy az egyének védelmét – mely minden olyan esetre kiterjed, amikor a személy az eszközök alapján azonosítható, vagy például amikor róla profil készíthető a különböző szerverek által gyűjtött összes információ alapján – minden technológia esetén alkalmazni kell. A kérdéskör komolyságát támasztja alá, hogy 2018-tól jelentősen megnőnek az adatvédelmi jogsértések esetén kiszabható bírságtételek. Eddig ugyanis a maximális bírság a jogsértés súlyosságától függően maximum 20 millió Ft lehetett, 2018-tól 10 vagy 20 millió eurós bírságra számíthatnak a jogsértők.

Jelentős előrelépés lesz az új rendeletben, hogy tisztázza a területi hatállyal kapcsolatos jogértelmezési nehézségeket. A rendelet világossá teszi, hogy attól függetlenül, hogy az adatkezelés hol folyik, ha az unióban élőket érinti, akkor az uniós szabályokat kell alkalmazni.

A közösségi promóciók helyes lebonyolítására is igaz, hogy világossá kell tenni, hogy kereskedelmi célú reklámról van szó, valamint be kell tartani az általános adatvédelmi, szerzői jogi szabályokat is. Ezen felül azonban a közösségi oldalak szabályait is alkalmazni kell. Például, ha valaki interaktív játékkal promotálja termékét, kötelező közzétenni a részletes játékszabályt, meg kell jelölni a szervezőt, ki kell zárni a Facebook felelősségét. Nem lehet a nyertest a Facebookon keresztül értesíteni, vagyis kötelező a külön regisztrációs oldal is. Nem lehet a játékban való részvétel feltétele, hogy a felhasználók osszanak meg valamit az oldalukon vagy egy like önmagában.

Az is igaz, hogy mivel ma már nem működnek a klasszikus online reklámok, például a banner, ezért az új technológiára épülő online marketing eszközök egyre nagyobb tért nyernek. Ennek oka egyrészt, hogy a korábbi eszközök nagyon nehezen találják meg a ténylegesen érdeklődő célcsoportot, másrészt mert a közönség reklámkerülő. A natív eszközök – ahol a hirdetés és a weboldal funkciója megegyezik, bár a hirdetést szabályosan jelölik – továbbra is hatékonyak. Az Egyesült Államokban ma már a teljes média költés 25%-a natívokon keresztül realizálódik, és az online költés 75-80%-a programmatic buying alapján valósul meg., Magyarországon ez arány még csak 10% körül van.

A cikk dr. Dudás Gábor János, a KLART Legal partnere, adatvédelmi szakértő, dr. Szabó Endre Győző, a Nemzeti Adatvédelmi Információszabadság Hatóság elnökhelyettese, dr. Bitai Zsófia, közösségimédia-jogász, Simicz Tamás, a Myrtis Ceartive partnere Varga Dániel, az ADS Interactive tanácsadója előadásai alapján készült.