Постановление ЕС о защите конфиденциальности в секторе электронных средств связи

Постановление ЕС о защите конфиденциальности в секторе электронных средств связи (англ. ePrivacy Regulation; ePR; официальное название «Постановление Европейского Парламента и Европейского совета касаемо права на личную жизнь и защиту персональных данных в процессе электронных коммуникаций, заменяющая Директиву 2002/58/ЕС о конфиденциальности и электронных средствах связи) — нормативный акт в отношении обработки персональных данных и защиты конфиденциальности в секторе электронных средств связи. Новое постановление должно прийти на смену Директиве 2002/58/ЕС и является Lex specialis derogat generali для Общего регламента по защите данных. Новое постановление детальнее затронет вопросы данных, возникших в результате веб-коммуникаций, и которые классифицируются как личные, такие как требования для согласия на использование cookie файлов, логи сайтов и пр.

Под сферу влияния ePR попадают компании, предоставляющие услуги по веб-коммуникациям, использующие технологии онлайн-трекинга или связанные с прямым интернет-маркетингом.

За несоответствие условиям комплеанса назначены штрафные выплаты до €20 млн, в случае нарушения согласия со стороны международных компаний, 4% от годового дохода, что превышает ранее обозначенную сумму. Постановление должно было вступить в силу 25 мая 2018 года, но в настоящий момент этого еще не произошло.

Этапы принятия

Первый официальный проект Постановления ePrivacy (ePR) был представлен Европейской комиссией 10 января 2017: постановление, предложенное Европарламентом должно, было заменить устаревшую Директиву 2008/58/ЕС, а также уточнить и дополнить общие правила по защите данных (GDPR), установив нормы для соглашения о пользовании данными cookies. Проект нормативного акта, согласно процедуре принятия, был направлен в парламент и Совет ЕС. После длительных переговоров комитет LIBE (The European Parliament Committee on Civil Liberties, Justice and Home Affairs), ответственный за регулирование ePrivacy в парламенте ЕС, проголосовал по проекту 19 октября 2017 года. К удивлению онлайн-индустрии, текст этого проекта, согласованный в комитете, был принят парламентом ЕС неделю спустя практически без изменений. В то же время, Совет ЕС также обсудил проект в рабочей группе. Государствам-членам было предложено предоставить свои правки до 14 августа 2017 года.

С принятием проекта парламентом ЕС был дан мандат на следующий процедурный шаг — переговоры парламента ЕС с Советом ЕС. В первой половине 2018 года трёхсторонние переговоры с Комиссией, парламентом и Советом были завершены, и ожидалось, что Постановление вступит в силу в мае того же года. На данном этапе, проект так и не был реализован. Эксперты ожидают обновления законодательств стран ЕС в соответствии с новым постановлением.

Разница между постановлением и директивой

Новое Постановление придёт на смену действующей сейчас Директиве 2002/58/ЕС.

Директива, хоть и является официальным документом ЕС и распространяется на все страны-члены организации, не предусматривала способов достижения поставленной цели, носила скорее рекомендательный характер. Основное отличие Постановления в том, что оно обязательно к исполнению. Таким образом, директива, давая свободу действий, предшествовала появлению постановления.

Важнейшие положения для онлайн-индустрии

Появилось новое определение термина "прямой маркетинг" в статье 4 п.3 Постановления о защите конфиденциальности в секторе электронных средств связи, которое дает понять, что интернет-реклама также понимается как прямая маркетинговая коммуникация.

Cookies могут быть обработаны без согласия пользователя, только если они "строго необходимы" или технически необходимы для предоставления услуг (статья 8 параграф 1a, 2). Использование cookie стен (англ. "cookie wall") должно быть упразднено, а одноразовые согласия должны быть исключены из практики, поскольку многократные запросы на согласие — излишне навязчивы. Чтобы достичь этого, пользователи должны иметь возможность позволять поставщикам услуг запоминать решения, обеспечив технический механизм сохранения решений пользователя. Например, это может быть кнопка "не спрашивать меня снова".

В случае отказа от использования cookie-файлов пользователю должна быть предоставлена альтернативная возможность использовать сервис без cookie (ст 9. п.2). Использование cookies разрешено, если пользователь дал свое согласие. Тем не менее, новая формулировка теперь гласит, что согласие должно быть дано для конкретных целей и не должно быть условием доступа к сервису.

Проект предусматривает, что при первой установке браузера (или нового обновления) пользователи должны решить, допускают ли они использование cookie-файлы, и если да, то какие именно. Отзыв данного согласия должен быть возможен в любое время. Кроме того, об этой возможности следует напоминать каждые 6 месяцев.

Cookies разрешены только в исключениях, а именно (Статья 8 I):

1. они необходимы исключительно для осуществления операции по электронной связи через сеть электронной связи; или
2. конечный пользователь дал свое согласие в соответствии со статьей 9 (i. e. — очень маловероятно-через браузер) или
3. они необходимы для информирования о сервисе, который запрашивал бы пользователь; или
4. они необходимы для измерения аудитории веб-сайта при условии, что оператор службы согласовал это с конечными пользователями; или
5. они необходимы для обеспечения безопасности и целостности сервиса.

В соответствии со статьей 10, в будущем, при установке браузера, пользователь должен выбрать настройки конфиденциальности в процессе установки.

Программное обеспечение, обеспечивающее доступ к интернету (т.е. браузер) должен в будущем "по умолчанию" [...] запретить другим сторонам передавать или хранить информацию о терминальном устройстве пользователя и обрабатывать информацию, которая уже была сохранена или собрана терминальным устройством. По умолчанию этот параметр запрещает какое-либо использование файлов cookie, если только это не является технически необходимым для функционирования веб-службы.

Был введен новый пункт, в котором говорится, что ни одному пользователю не может быть отказано в доступе к услугам или функциям сервиса, независимо от того, получают ли сервисы вознаграждение, за обработку персональных данных и/или использование возможности обработки или хранения данных об устройствах — всё это не является поводом для отказа в предоставлении услуг или функций. Однако по мнению BVDW (IAB Germany), это, вероятно, будет по-прежнему позволять издателям исключать пользователей из использования их услуг, пока они разрешают доступ к своему веб-сайту без сбора данных в рамках модели оплаты.

Ссылки

• The proposed Regulation on Privacy and Electronic Communications on europa.eu