GDPR Consent — същност, изисквания и получаване на съгласие

Какво е GDPR Consent?

GDPR Consent — е правно основание за обработка на лични данни, определено в член 4(11) и член 7 от Общия регламент за защита на данните на Европейския съюз. Регламентът влезе в сила на 25 май 2018 г. и замени остарялата Директива 95/46/ЕО, установявайки единни стандарти за защита на данните за всички държави-членки на ЕС.

Съгласно GDPR, съгласието трябва да бъде свободно — потребителят трябва да има реален избор без негативни последици в случай на отказ. Ако отказът от съгласие води до отказ за достъп до услуга, която не изисква обработка на данни, такова съгласие се счита за принудително и невалидно. Член 7(4) изрично посочва, че свързаните договорни условия не могат да обуславят изпълнението на договора с получаване на съгласие за обработка на данни, които не са необходими за този договор.

Информираност — вторият ключов елемент: субектът на данни трябва да разбира какви точно данни се събират, за каква цел, кой ще ги обработва и колко дълго ще се съхраняват. Европейският комитет по защита на данните (EDPB) в насоки 05/2020 подчертава, че информацията трябва да се предоставя на разбираем език, без сложни правни формулировки. Практиката показва, че съгласието се обявява за невалидно, ако политиката за поверителност съдържа двусмислени или общи формулировки.

Недвусмисленост означава, че съгласието трябва да бъде изразено чрез активно действие — поставяне на отметка, натискане на бутон или подписване на формуляр. Бездействието, мълчанието или предварително поставените отметки не отговарят на изискването за недвусмисленост. В решението по делото Planet49 GmbH (C-673/17) Съдът на Европейския съюз потвърди, че съгласието не може да се предполага от бездействието на потребителя.

Какви данни попадат под GDPR

Лични данни според GDPR — всяка информация, отнасяща се до идентифицирано или идентифицируемо физическо лице. Това включва не само очевидни идентификатори — име, адрес, имейл, телефон — но и IP адреси, идентификатори на бисквитки, рекламни идентификатори на устройства (IDFA, GAID), биометрични данни, геолокация и генетична информация.

Член 9 от GDPR разграничава специални категории данни, чиято обработка е забранена без изрично съгласие: расов или етнически произход, политически възгледи, религиозни убеждения, членство в синдикати, генетични и биометрични данни, данни за здравето и сексуалната ориентация. За такива категории се изисква най-строгата форма на съгласие — отделно, детайлизирано и неподразбиращо се от общия контекст.

Кога GDPR Consent е задължителен

GDPR Consent е необходим, когато обработката на данни не може да се основава на други правни основания: договорна необходимост (член 6(1)(b)), легитимен интерес (член 6(1)(f)) или изпълнение на законово задължение (член 6(1)(c)). На практика съгласието е необходимо за маркетингови изпращания, проследяване за рекламни цели, събиране на незадължителни данни и използване на бисквитки, които не са строго необходими за функционирането на услугата.

По данни от изследването IAPP-EY Annual Governance Report (2024), 67% от компаниите използват съгласие като основно правно основание за обработка на данни в мобилни приложения, въпреки нарастващата тенденция за преминаване към легитимен интерес там, където е възможно. Това се дължи на факта, че съгласието осигурява най-прозрачната връзка с потребителя, но същевременно налага максимални задължения по отношение на отчитането и управлението на съгласия.

Основните изисквания на GDPR за съгласие

Член 7 от GDPR установява шест условия за валидност на съгласието, всяко от които трябва да бъде изпълнено едновременно. Нарушаването на поне едно условие прави съгласието невалидно, а обработката на данни — незаконна. Нека разгледаме всяко условие подробно, като вземем предвид насоките на EDPB и съдебната практика.

Свобода на съгласието се нарушава, когато съществува дисбаланс на силите между администратора и субекта на данни. EDPB изрично посочва, че работодателите не могат да разчитат на съгласието на служителите поради зависимостта в трудовите отношения. По подобен начин държавните органи не могат да изискват съгласие от гражданите при предоставяне на обществени услуги.

Конкретност изисква отделно съгласие за всяка цел на обработка. Ако приложението събира данни за аналитика, персонализиране на реклами и подобряване на услугата — за всяка цел е необходима отделна отметка. Обединяването на няколко цели в едно съгласие нарушава изискването за конкретност и прави съгласието невалидно.

Доказуемост — най-технологично изискващото условие. Член 7(1) изрично посочва, че администраторът носи тежестта на доказване на получаването на съгласие. На практика това означава необходимост от водене на регистър на всички действия на потребителя: кой, кога, за какви цели е дал съгласие, коя версия на политиката за поверителност е показана и как потребителят го е оттеглил.

Как да реализираме събиране на съгласие в мобилно приложение

Реализирането на GDPR Consent в мобилно приложение изисква комплексен подход, съчетаващ правни изисквания с техническа реализация. Основният инструмент — Платформа за управление на съгласие (CMP), която управлява жизнения цикъл на съгласието: показване на заявката, записване на избора, съхранение на данни и синхронизация с рекламни и аналитични SDK.

Използване на Google UMP SDK

Google предоставя User Messaging Platform (UMP) SDK за Android и iOS, който се интегрира с AdMob, Google Analytics и други услуги на Google. UMP SDK автоматично определя необходимостта от показване на съгласие въз основа на геолокацията на потребителя и изискванията на GDPR. Нека разгледаме интеграцията на Kotlin за Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

След зареждане на формуляра за съгласие, той трябва да се покаже на потребителя. UMP SDK поддържа два типа формуляри: за получаване на съгласие за персонализирана реклама и за управление на избора в бъдеще. Обработката на резултата трябва да вземе предвид всички възможни резултати — потребителят може да даде съгласие, да откаже или да затвори формуляра без избор.

Съхранение и проверка на съгласие

За изпълнение на изискването за доказуемост е необходимо да се съхранява не само фактът на съгласие, но и контекстът на неговото получаване. Минималният набор от данни за съхранение включва: идентификатор на потребителя или устройството, времеви печат с часова зона, версия на политиката за поверителност, конкретни цели на обработка и използвания механизъм за съгласие.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Европейският комитет по защита на данните (EDPB) в препоръки 01/2023 подчертава, че записите за съгласие трябва да се съхраняват през целия период на обработка на данни и до три години след прекратяването му. За мобилни приложения това означава необходимост от сървърно съхранение на записи, а не само локално, тъй като потребителят може да преинсталира приложението или да смени устройството.

С какво GDPR се различава от други регулатори на поверителност

GDPR — не е единственият регулатор на поверителност в света, но се превърна в модел за много национални закони за защита на данните. Разбирането на разликите между GDPR и други регулатори е от решаващо значение за разработчиците на международни приложения, работещи с потребители от различни юрисдикции.

CCPA (California Consumer Privacy Act) се различава фундаментално от GDPR: работи по модела opt-out, а не opt-in. Според CCPA компаниите са задължени да предоставят на потребителя правото да откаже продажбата на своите данни, но не са задължени да получат предварително съгласие за събиране. Въпреки това, с приемането на CPRA (California Privacy Rights Act) през 2023 г., изискванията за съгласие за чувствителни данни се доближиха до GDPR.

Директива ePrivacy (Директива за поверителност в електронните комуникации) допълва GDPR по отношение на бисквитките и електронния маркетинг. За разлика от GDPR, който регулира всички лични данни, ePrivacy се фокусира върху комуникационните данни. Изискването за получаване на съгласие за незадължителни бисквитки произтича именно от ePrivacy, а не от GDPR, въпреки че механизмът за съгласие е един и същ.

LGPD на Бразилия почти напълно копира структурата на GDPR с незначителни промени: възрастта за съгласие е увеличена на 18 години, а обработката на данни на починали лица изисква съгласие от наследниците. PIPL на Китай, напротив, въвежда по-строги изисквания: задължителна локализация на данни, оценка на въздействието върху защитата на данните (DPIA) за всички автоматизирани решения и уведомление за предаване на данни в чужбина.

Типични грешки при внедряване на GDPR Consent

Анализът на глоби и предписания на европейските надзорни органи за периода 2018-2024 г. показва повтарящи се нарушения при внедряването на съгласие. Според данни на Enforcement Tracker (CMS Law, 2024), над 40% от всички глоби, свързани с GDPR, са свързани с неправилно получаване и управление на съгласие. Нека разгледаме най-честите грешки.

Предварително поставени отметки и пасивно съгласие

Най-честата грешка — използване на предварително поставени отметки (pre-ticked checkboxes) за получаване на съгласие. Решението на Съда на ЕС по дело Planet49 GmbH (C-673/17) недвусмислено установи, че съгласието не може да се предполага от бездействието на потребителя. Въпреки това, много приложения продължават да използват предварително избрани опции, особено за банери с бисквитки, което води до директни глоби и предписания.

Националната комисия по информатика и свободи на Франция (CNIL) през 2024 г. глоби голям рекламен RTB холдинг с 250 милиона евро за използване на предварително поставени отметки и недостатъчно прозрачно информиране на потребителите. Това е най-голямата глоба по член, свързан със съгласие, което демонстрира приоритета на контрола на съгласията за европейските регулатори.

Обединяване на цели в едно съгласие

Много приложения изискват едно общо съгласие за всички видове обработка: аналитика, персонализиране, реклама, предаване на трети страни. Това директно нарушава изискването за конкретност (ограничение на целта). EDPB в насоки 05/2020 подчертава: ако една цел може да бъде постигната без другата, потребителят трябва да има възможност да даде съгласие за всяка цел поотделно.

Ирландската комисия за защита на данните (DPC) в решението си по делото Meta Platforms Ireland (2023) посочи, че обединяването на персонализиране на реклами и подобряване на услугата в едно съгласие представлява нарушение. Meta беше задължена да въведе отделни механизми за съгласие за различни цели на обработка във Facebook и Instagram.

Трудно или невъзможно оттегляне на съгласие

GDPR изисква оттеглянето на съгласие да бъде толкова лесно, колкото и предоставянето му. Ако потребителят е дал съгласие с едно натискане на бутон, оттеглянето не може да изисква попълване на формуляр, изпращане на имейл или обаждане на поддръжка. На практика много приложения скриват механизма за оттегляне дълбоко в настройките или изискват множество стъпки за изпълнението му.

Препоръчителна практика — добавяне на отделен екран за управление на съгласия в настройките на приложението с възможност за оттегляне на всяко съгласие поотделно с един превключвател. UMP SDK от Google предоставя вграден механизъм за повторно показване на формуляра за съгласие, който потребителят може да извика от настройките на приложението по всяко време.

Липса на доказателства за получаване на съгласие

Много разработчици разчитат на устни съгласия или не съхраняват записи за получаване на съгласие. Това прави невъзможно изпълнението на изискването за доказуемост (отчетност) по член 5(2) от GDPR. При проверка надзорният орган ще изиска не само политиката за поверителност, но и регистрационни файлове за получаване на съгласие за целия период на обработка на данни.

Решението на проблема — използване на Платформа за управление на съгласие (CMP) с автоматично регистриране на всички събития: показване на формуляр, избор на потребител, версия на документ, времеви печат. Популярни CMP за мобилни приложения включват Usercentrics, OneTrust и ConsentManager — всички те поддържат автоматичен одитен запис на съгласия.