Ерата на кликовете „Приемам“ изглежда приключва. Отговорността преминава в ръцете на разработчика на браузъра

Независимият изследовател и специалист по въпросите на информационната безопасност Лукаш Олейник представи в своя блог подробности за нов законопроект, който има за цел да промени механизма за искане на разрешение от потребителите за събиране на „бисквитки“ в уеб сайтовете.

Европейската комисия подготвя радикални промени в защитата на личните данни, които биха могли окончателно да избавят потребителите от досадните изскачащи прозорци с искане да приемат бисквитки. Новата версия на GDPR и съпътстващият го регламент за защита на личните данни (ePrivacy-regulation), чийто проект е публично достъпен, предвижда преразпределение на правилата за даване на съгласие за обработката на данните: вече ще бъде възможно въпросът за доверието да се решава директно в браузъра или в настройките на устройството, а не на всеки сайт поотделно. Това на практика означава край на ерата на безкрайните „банери за съгласие“, които заляха интернет през последните години.

Според изтеклата информация новата версия въвежда пояснителен член 88а, който включва всички операции с идентификатори и „бисквитки“ в обхвата на GDPR и разрешава използването им без отделно потвърждение от страна на потребителя, ако обработката е ограничена до един от четири строго определени сценария. Те включват предаване на данни, предоставяне на услуга по пряко искане на физическо лице, създаване на обобщена статистика за посещенията единствено за собствена употреба на дружеството и осигуряване или възстановяване на сигурността на услугата и оборудването на потребителя. Ако дадена организация работи в тези граници и не използва повторно събраните данни, тя вече няма да трябва да показва банери и да изисква кликвания върху бутони за съгласие.

Правилата автоматично изключват от изискването за съгласие за действията, свързани със сигурността на системата или предаването на данни, като например задаването на временни „бисквитки“ за работа с онлайн количка за пазаруване или локална сесия. Въпреки това всяко използване на инструменти за анализ на трети страни или рекламни мрежи, които генерират кръстосани профили, все още ще изисква отделно разрешение. По този начин опростяването не отменя необходимостта от съгласие, а го прави по-логично и технологично прозрачно.

Отделен блок от поправки е посветен на това как точно трябва да изглежда взаимодействието между потребителя и сайта, когато съгласието все още е необходимо. В проекта изрично се изисква потребителят да може да приеме или отхвърли искането с едно-единствено действие – с един бутон или негов аналог. Направеният избор трябва да бъде съхраняван в продължение на минимум шест месеца, като през това време сайтът не може да иска съгласие отново по същата причина. Това би трябвало да сложи край на безкрайните цикли от повтарящи се известия, които се появяваха при всяко ново посещение на сайта.

Една от най-важните точки на нововъведенията ще бъде въвеждането на единни машинночитаеми сигнали, предавани автоматично от браузъра или операционната система. Сигналите ще показват дали дадено лице разрешава или забранява обработката на данните, както и дали изразява несъгласие с маркетинговите писма. Всеки уеб сайт ще бъде задължен да разпознава тези сигнали и да ги взема предвид, а игнорирането им ще бъде нарушение, което може да се наказва с глоба до 20 милиона евро или % от годишния оборот на компанията.

Този подход прави актуална отдавнашната идея, залегнала в основата на неуспешния стандарт W3C Do Not Track. Сега механизми като HTTP заглавието могат да се превърнат в законно признат начин за съобщаване на предпочитанията на потребителите. Възможностите за прилагане могат да варират от вградените функции на браузъра и системните настройки на смартфона до настройките в приложението за цифров идентификатор на ЕС. Последната точка повдига въпроси сред експертите: участието на тази услуга в обмена на данни с рекламните екосистеми изглежда спорно, въпреки че формално такава възможност е включена.

Важно е да се отбележи, че има изключение за медийните платформи: ако обработката на данни се извършва при предоставянето на медийно съдържание, новите изисквания за разпознаване на автоматични сигнали не се прилагат за тях. Това е компромис, който създателите на документа са сметнали за приемлив, за да изчистят останалата част от интернет от безкрайните прозорци за съгласие.

На практика реформата ще доведе до това, че сайтовете ще могат да работят по значително по-опростен начин. Бисквитките за оторизация, кошниците за пазаруване или личните настройки вече няма да изискват изрично разрешение, а системните актуализации и мерките за сигурност ще се извършват без намесата на потребителя. За целите на вътрешния анализ компаниите ще могат да събират обобщени данни за посещенията, стига те да не се споделят с трети страни. В същото време всички опити за проследяване чрез платформи на трети страни все още ще останат под контрола на съгласието – само че сега то може да бъде изразено не ръчно, а чрез предварително конфигурирани настройки на браузъра.

Новият механизъм създава правно основание за разширения и браузъри, които могат автоматично да генерират сигнали за съгласие или отказ в зависимост от избора на потребителя. Това би трябвало да върне смисъла на идеята за централизирано управление на защитата на личните данни, при което интерфейсът се превръща в основен регулаторен инструмент, а не хартията. По същество GDPR престава да бъде чисто правна бариера и се превръща в технологичен стандарт за взаимодействие между човека и услугата.

Ако документът бъде приет без промени, познатата сцена с банери, появяващи се при всеки преход, ще остане в миналото. Съгласието ще остане, но ще се превърне от натрапчив ритуал в автоматичен и разбираем процес, при който потребителят определя политиката веднъж – и цялата екосистема от цифрови услуги я спазва.