GDPR Consent — mahiyyəti, tələbləri və razılığın alınması

GDPR Consent nədir?

GDPR Consent — bu, Avropa İttifaqının Ümumi Məlumat Qoruma Reqlamentinin 4(11) və 7-ci maddələrində müəyyən edilmiş şəxsi məlumatların emalı üçün hüquqi əsasdır. Reqlament 25 may 2018-ci ildə qüvvəyə minmiş və köhnəlmiş 95/46/EC Direktivini əvəz edərək, Aİ-yə üzv bütün ölkələr üçün vahid məlumat qoruma standartları müəyyən etmişdir.

GDPR-ə əsasən, razılıq könüllü olmalıdır — istifadəçinin imtina etdikdə mənfi nəticələr olmadan real seçim imkanı olmalıdır. Əgər razılıqdan imtina məlumat emalı tələb etməyən xidmətə girişin rədd edilməsinə səbəb olarsa, belə razılıq məcburi və etibarsız sayılır. 7(4)-cü maddə birbaşa göstərir ki, əlaqəli müqavilə şərtləri müqavilənin icrasını bu müqavilə üçün zəruri olmayan məlumatların emalına razılığın alınmasından asılı edə bilməz.

Məlumatlandırılma — ikinci əsas elementdir: məlumat subyekti hansı dəqiq məlumatların, hansı məqsədlə, kim tərəfindən və nə qədər müddətə toplandığını başa düşməlidir. Avropa Məlumat Qoruma Şurası (EDPB) 05/2020 saylı təlimatında vurğulayır ki, məlumat anlaşılan dildə, mürəkkəb hüquqi ifadələr olmadan təqdim edilməlidir. Təcrübə göstərir ki, məxfilik siyasəti qeyri-müəyyən və ya ümumi ifadələr ehtiva edərsə, razılıq etibarsız sayılır.

Birmənalılıq o deməkdir ki, razılıq aktiv hərəkətlə — qutunun işarələnməsi, düymənin basılması və ya formanın imzalanması ilə ifadə olunmalıdır. Hərəkətsizlik, sükut və ya əvvəlcədən işarələnmiş qutular birmənalılıq tələbinə cavab vermir. Planet49 GmbH (C-673/17) işi üzrə qərarda Avropa İttifaqı Məhkəməsi təsdiq etdi ki, razılıq istifadəçinin hərəkətsizliyindən irəli gələ bilməz.

Hansı məlumatlar GDPR-ə tabedir

GDPR-ə görə Şəxsi məlumatlar — bu, müəyyən edilmiş və ya müəyyən edilə bilən fiziki şəxsə aid olan hər hansı məlumatdır. Bura təkcə aşkar identifikatorlar — ad, ünvan, email, telefon deyil, həm də IP ünvanlar, cookie identifikatorları, cihazların reklam identifikatorları (IDFA, GAID), biometrik məlumatlar, geolokasiya və genetik məlumatlar daxildir.

GDPR-in 9-cu maddəsi xüsusi kateqoriyalı məlumatları ayırır, onların emalı açıq razılıq olmadan qadağandır: irqi və ya etnik mənşə, siyasi baxışlar, dini inanclar, həmkarlar ittifaqına üzvlük, genetik və biometrik məlumatlar, sağlamlıq və cinsi oriyentasiya haqqında məlumatlar. Belə kateqoriyalar üçün ən ciddi razılıq forması tələb olunur — ayrıca, təfərrüatlı və ümumi kontekstdən irəli gəlməyən.

GDPR Consent nə vaxt məcburidir

GDPR Consent, məlumat emalı digər hüquqi əsaslara — müqavilə zərurətinə (6(1)(b) maddəsi), qanuni marağa (6(1)(f) maddəsi) və ya hüquqi öhdəliyin yerinə yetirilməsinə (6(1)(c) maddəsi) əsaslana bilmədikdə tələb olunur. Praktikada razılıq marketinq göndərişləri, reklam məqsədli izləmə, məcburi olmayan məlumatların toplanması və xidmətin işləməsi üçün ciddi zəruri olmayan cookie fayllarının istifadəsi üçün zəruridir.

IAPP-EY Annual Governance Report (2024) tədqiqatının məlumatlarına görə, şirkətlərin 67%-i mobil tətbiqlərdə məlumat emalı üçün əsas hüquqi əsas kimi razılıqdan istifadə edir, mümkün olduqda qanuni marağa keçid tendensiyasının artmasına baxmayaraq. Bu onunla bağlıdır ki, razılıq istifadəçi ilə ən şəffaf münasibətləri təmin edir, lakin eyni zamanda razılıqların uçotu və idarə edilməsi üzrə maksimum öhdəliklər qoyur.

GDPR-in razılığa dair əsas tələbləri

GDPR-in 7-ci maddəsi razılığın etibarlılığı üçün altı şərt müəyyən edir, onların hər biri eyni vaxtda yerinə yetirilməlidir. Heç olmasa bir şərtin pozulması razılığı etibarsız edir, məlumat emalı isə qanunsuz olur. Hər bir şərti EDPB təlimatları və məhkəmə təcrübəsi nəzərə alınmaqla ətraflı nəzərdən keçirək.

Könüllülük — nəzarətçi ilə məlumat subyekti arasında güc balanssızlığı olduqda pozulur. EDPB birbaşa göstərir ki, işəgötürənlər əmək münasibətlərində asılılıq səbəbindən işçilərin razılığına etibar edə bilməzlər. Eynilə, dövlət orqanları dövlət xidmətləri göstərərkən vətəndaşlardan razılıq tələb edə bilməzlər.

Konkretlik hər emal məqsədi üçün ayrıca razılıq tələb edir. Əgər tətbiq analitika, reklam fərdiləşdirmə və xidmətin təkmilləşdirilməsi üçün məlumat toplayırsa — hər məqsəd üçün ayrıca qutu tələb olunur. Bir neçə məqsədin bir razılıqda birləşdirilməsi konkretlik tələbini pozur və razılığı etibarsız edir.

Sübut edilmə — ən texnoloji cəhətdən çətin tələbdir. 7(1)-ci maddə birbaşa göstərir ki, nəzarətçi razılığın alınmasını sübut etmə yükünü daşıyır. Praktikada bu, istifadəçinin bütün hərəkətlərinin jurnalının aparılması zərurətini bildirir: kim, nə vaxt, hansı məqsədlər üçün razılıq verdi, məxfilik siyasətinin hansı versiyası göstərildi və istifadəçi onu necə geri götürdü.

Mobil tətbiqdə razılığın toplanmasını necə həyata keçirmək olar

GDPR Consent-in mobil tətbiqdə həyata keçirilməsi hüquqi tələbləri texniki tətbiqlə birləşdirən kompleks yanaşma tələb edir. Əsas vasitə — razılığın həyat dövrünü idarə edən Consent Management Platform (CMP)-dur: sorğunun göstərilməsi, seçimin qeydə alınması, məlumatların saxlanması və reklam və analitik SDK-larla sinxronizasiya.

Google UMP SDK-dan istifadə

Google Android və iOS üçün User Messaging Platform (UMP) SDK təqdim edir, o, AdMob, Google Analytics və digər Google xidmətləri ilə inteqrasiya olunur. UMP SDK istifadəçinin geolokasiyası və GDPR tələbləri əsasında razılığın göstərilməsi zərurətini avtomatik müəyyən edir. Android üçün Kotlin dilində inteqrasiyanı nəzərdən keçirək:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Razılıq forması yükləndikdən sonra onu istifadəçiyə göstərmək lazımdır. UMP SDK iki növ formanı dəstəkləyir: fərdiləşdirilmiş reklama razılıq üçün və gələcəkdə seçimin idarə edilməsi üçün. Nəticənin işlənməsi bütün mümkün halları nəzərə almalıdır — istifadəçi razılıq verə, imtina edə və ya seçim etmədən formanı bağlaya bilər.

Razılığın saxlanması və yoxlanılması

Sübut edilmə tələbini yerinə yetirmək üçün təkcə razılıq faktını deyil, həm də onun alınma kontekstini saxlamaq lazımdır. Saxlama üçün minimal məlumat dəstinə daxildir: istifadəçi və ya cihaz identifikatoru, vaxt qurşağı ilə vaxt damğası, məxfilik siyasətinin versiyası, konkret emal məqsədləri və istifadə edilmiş razılıq mexanizmi.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

European Data Protection Board (EDPB) 01/2023 saylı tövsiyələrində vurğulayır ki, razılıq qeydləri məlumat emalının bütün dövrü ərzində və onun dayandırılmasından sonra üç ilədək saxlanmalıdır. Mobil tətbiqlər üçün bu, qeydlərin serverdə saxlanması zərurətini bildirir, təkcə lokal yox, çünki istifadəçi tətbiqi yenidən quraşdıra və ya cihazını dəyişə bilər.

GDPR digər məxfilik tənzimləyicilərindən nə ilə fərqlənir

GDPR — dünyada yeganə məxfilik tənzimləyicisi deyil, lakin o, bir çox milli məlumat qoruma qanunları üçün nümunə olmuşdur. GDPR ilə digər tənzimləyicilər arasındakı fərqləri başa düşmək müxtəlif yurisdiksiyalardan olan istifadəçilərlə işləyən beynəlxalq tətbiq tərtibatçıları üçün kritik əhəmiyyət kəsb edir.

CCPA (California Consumer Privacy Act) GDPR-dən prinsipial olaraq fərqlənir: o, opt-in yox, opt-out modeli ilə işləyir. CCPA-ya görə şirkətlər istifadəçiyə öz məlumatlarının satışından imtina etmək hüququ verməlidir, lakin toplama üçün ilkin razılıq almaq məcburiyyətində deyil. Bununla belə, 2023-cü ildə CPRA (California Privacy Rights Act) qəbulu ilə həssas məlumatlar üçün razılıq tələbləri GDPR-ə yaxınlaşmışdır.

ePrivacy Directive (Elektron Rabitədə Məxfilik Direktivi) cookie faylları və elektron marketinq hissəsində GDPR-i tamamlayır. Bütün şəxsi məlumatları tənzimləyən GDPR-dən fərqli olaraq, ePrivacy rabitə məlumatlarına fokuslanır. Qeyri-zəruri cookie fayllarına razılığın alınması tələbi məhz ePrivacy-dən irəli gəlir, GDPR-dən yox, baxmayaraq ki, razılıq mexanizmi eynidir.

LGPD Braziliya praktiki olaraq GDPR-in strukturunu cüzi dəyişikliklərlə tamamilə kopyalayır: razılıq yaşı 18-ə qaldırılmış, vəfat etmiş şəxslərin məlumatlarının emalı varislərin razılığını tələb edir. Çinin PIPL-i əksinə, daha sərt tələblər tətbiq edir: məcburi məlumat lokallaşdırması, bütün avtomatlaşdırılmış qərarlar üçün məlumat qoruma təsirinin qiymətləndirilməsi (DPIA) və məlumatların xaricə ötürülməsi barədə bildiriş.

GDPR Consent-in tətbiqində tipik səhvlər

2018-2024-cü illər üçün Avropa nəzarət orqanlarının cərimə və göstərişlərinin təhlili razılığın həyata keçirilməsində təkrarlanan pozuntuları göstərir. Enforcement Tracker (CMS Law, 2024) məlumatlarına görə, GDPR üzrə bütün cərimələrin 40%-dən çoxu razılığın düzgün alınmaması və idarə edilməməsi ilə bağlıdır. Ən çox yayılmış səhvləri nəzərdən keçirək.

Əvvəlcədən işarələnmiş qutular və passiv razılıq

Ən geniş yayılmış səhv — razılıq əldə etmək üçün əvvəlcədən işarələnmiş qutulardan (pre-ticked checkboxes) istifadə etməkdir. Aİ Məhkəməsinin Planet49 GmbH (C-673/17) işi üzrə qərarı birmənalı olaraq müəyyən etdi ki, razılıq istifadəçinin hərəkətsizliyindən irəli gələ bilməz. Buna baxmayaraq, bir çox tətbiqlər xüsusilə cookie bannerləri üçün əvvəlcədən işarələnmiş variantlardan istifadə etməyə davam edir, bu da birbaşa cərimələrə və göstərişlərə səbəb olur.

Fransa Milli İnformatika və Azadlıqlar Komissiyası (CNIL) 2024-cü ildə böyük bir RTB reklam holdinqini əvvəlcədən işarələnmiş qutulardan istifadə və istifadəçilərin kifayət qədər şəffaf məlumatlandırılmamasına görə 250 milyon avro cərimələmişdir. Bu, razılıqla bağlı maddə üzrə ən böyük cərimədir və Avropa tənzimləyiciləri üçün razılıqların nəzarətinin prioritet olduğunu nümayiş etdirir.

Məqsədlərin bir razılıqda birləşdirilməsi

Bir çox tətbiqlər emalın bütün növləri üçün bir ümumi razılıq tələb edir: analitika, fərdiləşdirmə, reklam, üçüncü tərəflərə ötürülmə. Bu, konkretlik tələbini (məqsəd məhdudiyyəti) birbaşa pozur. EDPB 05/2020 saylı təlimatında vurğulayır: əgər bir məqsəd digəri olmadan əldə edilə bilərsə, istifadəçi hər məqsədə ayrıca razılıq vermək imkanına malik olmalıdır.

İrlandiya Məlumat Qoruma Komissiyası (DPC) Meta Platforms Ireland (2023) işi üzrə qərarında reklam fərdiləşdirməsi və xidmətin təkmilləşdirilməsinin bir razılıqda birləşdirilməsinin pozuntu olduğunu göstərmişdir. Meta Facebook və Instagram-da emalın müxtəlif məqsədləri üçün ayrıca razılıq mexanizmlərini tətbiq etməyə məcbur edilmişdir.

Razılığın çətin və ya qeyri-mümkün geri götürülməsi

GDPR tələb edir ki, razılığın geri götürülməsi onun verilməsi qədər asan olsun. Əgər istifadəçi razılığı bir düymə basmaqla veribsə, geri götürmə formanın doldurulmasını, email göndərilməsini və ya dəstək xidmətinə zəng edilməsini tələb edə bilməz. Praktikada bir çox tətbiqlər geri götürmə mexanizmini parametrlərin dərinliklərində gizlədir və ya onun yerinə yetirilməsi üçün çoxsaylı addımlar tələb edir.

Tövsiyə olunan təcrübə — tətbiq parametrlərində bir keçidlə hər razılığı ayrıca geri götürmək imkanı olan ayrıca razılıqların idarə edilməsi ekranının əlavə edilməsidir. Google-dan UMP SDK istifadəçinin istənilən vaxt tətbiq parametrlərindən çağıra biləcəyi razılıq formasının təkrar göstərilməsi üçün daxili mexanizm təmin edir.

Razılığın alınmasına dair sübutların olmaması

Bir çox tərtibatçı şifahi razılıqlara etibar edir və ya razılığın alınmasına dair qeydləri saxlamır. Bu, GDPR-in 5(2) maddəsinə əsasən sübut edilmə tələbinin yerinə yetirilməsini qeyri-mümkün edir. Yoxlama zamanı nəzarət orqanı təkcə məxfilik siyasətini deyil, həm də məlumat emalının bütün dövrü üçün razılıq jurnallarını tələb edəcək.

Problemin həlli — bütün hadisələrin avtomatik jurnallaşdırılması ilə Consent Management Platform (CMP) istifadə etməkdir: formanın göstərilməsi, istifadəçinin seçimi, sənədin versiyası, vaxt damğası. Mobil tətbiqlər üçün məşhur CMP-lərə Usercentrics, OneTrust və ConsentManager daxildir — onların hamısı razılıqların auditinin avtomatik qeydini dəstəkləyir.