Analityka internetowa a niemiecka ustawa TTDSG

§ 25 dotyczy dostępu do urządzenia użytkownika. Cookies to tylko jedna z jego form. Przepisy obejmują też inne technologie, np. odczytywanie zmiennych systemowych w przeglądarce za pomocą JavaScript.

TTDSG wymaga zgody na dostęp, który nie jest niezbędny, czy to przez cookies, czy przez odczyt zmiennej systemowej. § 25 ust. 2 określa to dokładniej, ale w dłuższej i mniej przystępnej dla nieprawników formie.

Wcześniej zasady zgody z niemieckiej ustawy o telemediach obejmowały cookies do marketingu i profilowania. TTDSG utrudniła liczenie odwiedzających bez pytania o zgodę.

Śledzenie a liczenie odwiedzających

„Tracking” nie ma jednej ścisłej definicji. Zwykle oznacza śledzenie użytkowników między sesjami i stronami. Znanym przykładem takiego inwazyjnego podejścia jest Google Analytics. Zgoda jest potrzebna zarówno z tego powodu, jak i ze względu na cookies. Oznacza to wyświetlanie odwiedzającym okna cookies. Takie okna nie tylko irytują: często sprawiają też, że strona narusza przepisy, co opisuję w analizie Cookiegeddon.

Dla uproszczenia używamy tutaj „trackingu” także w odniesieniu do zwykłego liczenia odwiedzających. Trzeba przy tym odróżniać użytkowników, inaczej naliczy się za dużo lub za mało wizyt. Liczenie tej samej osoby jako dwóch unikalnych użytkowników tylko dlatego, że otworzyła kolejno dwie strony, zniekształca statystyki. Liczenie dwóch osób jako jednej, bo odwiedziły tę samą stronę, też nie jest precyzyjne.

Jak więc odróżnić użytkowników? Protokół HTTP, służący do pobierania stron, jest bezstanowy: nie pamięta poprzednich żądań. Sam nie rozpoznaje więc powracającego odwiedzającego. To jak osoba bez pamięci, która za każdym razem bierze tego samego przechodnia za kogoś nowego.

Taką pamięć zapewniały cookies. Zgodnie z omawianą tu interpretacją TTDSG wymagają zgody nawet przy prostym liczeniu odwiedzających. Ustawa mówi o tym, co „ściśle niezbędne”. Cookies do liczenia nie są niezbędne z dwóch powodów. Po pierwsze, dokładna liczba odwiedzających nie jest konieczna — to kwestia sporna, ale uważam surową interpretację za bardziej prawdopodobną. Po drugie, można liczyć bez cookies. Tym drugim punktem zajmujemy się teraz.

Jak odróżniać użytkowników?

Jeśli chcesz uniknąć pytania o zgodę, cookies odpadają.

Możesz odróżniać odwiedzających bez cookies dzięki metadanym, które przeglądarka przesyła stronie przy każdym połączeniu HTTP.

Technicy często mówią o danych połączenia lub ruchu. Prawnicy mogą rozumieć te określenia inaczej, dlatego używamy ogólniejszego terminu „metadane”.

Metadane towarzyszące żądaniu strony obejmują m.in.:

• Typ i wersja przeglądarki. Przykład: Mozilla Firefox wersja 95.3, podwersja 47.11
• Typ i wersja systemu operacyjnego. Przykład: Microsoft Windows 10, 64-bitowy
• Preferowany język. Przykład: niemiecki
• Adres sieciowy (adres IP)
• Ustawienie pamięci podręcznej
• Żądana strona. Przykład: https://dr-dsgvo.de/
• Czas żądania. Nie jest przesyłany bezpośrednio, ale serwer zna moment jego otrzymania.

Wykorzystanie tych metadanych do rozróżniania użytkowników bez cookies nazywa się fingerprintingiem przeglądarki.

Fingerprinting można doprecyzować, zbierając dodatkowe informacje za pomocą JavaScript, np.:

• Rozdzielczość ekranu. Przykład: 1920×1080
• Rozmiar okna przeglądarki. Przykład: 1788×910
• Przykład: 24 bity
• Strefa czasowa: Przykład: GMT+1

Te dane odcisku trzeba pobrać aktywnie. Wcześniejsze metadane docierają wraz z połączeniem i nie wymagają dodatkowego żądania. Moim zdaniem rozdzielczość ekranu nie jest zapisana na urządzeniu, choć TTDSG można interpretować inaczej. Przykładem jest pionowa lub pozioma orientacja smartfona: ciągle się zmienia i nie musi być zapamiętywana. Po włączeniu telefonu układ ekranu zależy od tego, jak go trzymasz, a nie od pozycji przed wyłączeniem.

Techniki takie jak canvas fingerprinting zbierają dalsze informacje, aby lepiej rozróżniać użytkowników. Nie budzi jednak większych sporów to, że taka technika stanowi dostęp do urządzenia wymagający zgody.

Najbezpieczniej prawnie jest nie odczytywać aktywnie żadnych dodatkowych metadanych z urządzenia.

Wyzwaniem jest zachowanie jakości danych wystarczającej do poprawnego liczenia odwiedzających.

Liczenie odwiedzających bez zgody

Trackboxx pokazuje, że minimalne śledzenie może działać bez cookies i dostępu do urządzenia, a tym samym bez zgody.

Trackboxx używa tylko metadanych obecnych już przy każdym żądaniu strony. Nie wykonuje dodatkowych odczytów z przeglądarki. Przy ścisłej interpretacji TTDSG takie odczyty wymagałyby zgody.

Trackboxx nie używa cookies, nawet sesyjnych, chyba że klient skonfiguruje je inaczej. Cookie działające przez jedną sesję jest mniej inwazyjne niż utrzymywane przez miesiąc, czyli przez swój okres ważności. Prawnie TTDSG nie rozróżnia jednak cookies sesyjnych i trwałych, lecz jedynie cookies lub dostęp niezbędny i zbędny.

Ponieważ Trackboxx nie uzyskuje dostępu do urządzenia w rozumieniu TTDSG, korzystanie z niego nie wymaga zgody na podstawie tej ustawy.

RODO i TTDSG

Obowiązuje także RODO. Jego wymagania należy rozpatrzyć po zasadach TTDSG dotyczących cookies i innych dostępów. RODO to ogólne rozporządzenie o ochronie danych. W języku niemieckim stosuje się skrót DS-GVO, często zapisywany bez łącznika jako DSGVO w tekstach dla szerokiego grona odbiorców.

RODO obejmuje dane osobowe, w tym dane dające się powiązać z osobą. Możliwość odróżnienia użytkownika od innych może wystarczyć. Trybunał Sprawiedliwości UE uznał w 2016 r., że adresy IP mogą stanowić dane osobowe; niemiecki Federalny Trybunał Sprawiedliwości potwierdził to w 2017 r.

Nie można więc po prostu zapisywać IP, aby dokładniej liczyć odwiedzających. Według tej interpretacji art. 6 RODO przechowywanie go bez szyfrowania prawdopodobnie wymagałoby zgody.

Aby uniknąć tego obowiązku, Trackboxx nie zapisuje samych adresów IP. Pseudonimizuje je w połączeniu z innymi wartościami.

Klucz o ograniczonej ważności jest stosowany do kombinacji adresu IP, wersji przeglądarki, wersji systemu i bieżącego dnia. Baza Trackboxx nie zawiera więc adresów IP. Teoretycznie adres można byłoby odzyskać z zaszyfrowanych danych tylko przy powrocie użytkownika tego samego dnia. Nie trzeba tego robić: kolejne żądanie i tak ponownie dostarcza IP. Podejście to spełnia opisane tutaj wymagania RODO, opierając przechowywanie spseudonimizowanych danych na prawnie uzasadnionym interesie, jednej z podstaw prawnych obok zgody.

W przeciwieństwie do zgody prawnie uzasadniony interes nie wymaga irytującego okna cookies. Oprócz wygody daje to większą pewność prawną: okna podlegają licznym wymogom, m.in. z art. 7 i 13 RODO. Prośba o zgodę musi np. wskazywać, gdzie i jak ją wycofać. W wielu oknach brakuje tej obowiązkowej informacji.

Adresy IP zmieniają się z czasem, najwyraźniej rzadziej przy internecie kablowym niż DSL. Nie zmieniają się jednak dokładnie przy otwarciu strony, więc rozpoznanie odwiedzającego w ciągu dnia jest bardzo prawdopodobne. W sieciach firmowych jest trudniej, gdy centralne aktualizacje ujednolicają wersje przeglądarek i systemów. W praktyce ta niedokładność ma niewielkie znaczenie.

Wnioski

Możesz mierzyć odwiedziny i ulepszać treści bez cookies oraz uciążliwych, podatnych na błędy okien. Narzędzia takie jak Trackboxx oferują przyjazne prywatności rozwiązanie spełniające opisane tu wymagania TTDSG i RODO.

Jakość danych nie musi być gorsza niż przy liczeniu z cookies. Oprócz niepewności prawnej takie systemy mają inną słabość: każdy może usunąć cookies ręcznie albo programem takim jak CCleaner czy antywirus. To kasuje pamięć trackera. Nie działa on wtedy lepiej niż Trackboxx, ale wciąż wymaga zgody. Sieci firmowe również nie dają mu przewagi: duże organizacje regularnie usuwają cookies z komputerów zgodnie z zasadami bezpieczeństwa.