GDPR Consent — суштина, захтеви и добијање сагласности

Шта је GDPR Consent?

GDPR Consent — правни основ за обраду личних података, дефинисан у члану 4(11) и члану 7 Опште уредбе о заштити података Европске уније. Уредба је ступила на снагу 25. маја 2018. године и заменила је застарелу Директиву 95/46/ЕЗ, успостављајући јединствене стандарде заштите података за све земље чланице ЕУ.

Према GDPR-у, сагласност мора бити слободна — корисник мора имати реалан избор без негативних последица у случају одбијања. Ако одбијање сагласности доводи до одбијања приступа услузи која не захтева обраду података, таква сагласност се сматра принудном и неважећом. Члан 7(4) директно наводи да повезани уговорни услови не могу условљавати извршење уговора добијањем сагласности за обраду података који нису неопходни за тај уговор.

Информисаност — други кључни елемент: субјекат података мора да разуме који се тачно подаци прикупљају, у коју сврху, ко ће их обрађивати и колико дуго ће се чувати. Европски одбор за заштиту података (EDPB) у смерницама 05/2020 наглашава да информације морају бити пружене на разумљивом језику, без сложених правних формулација. Пракс показује да се сагласност сматра неважећом ако политика приватности садржи двосмислене или опште формулације.

Недвосмисленост значи да сагласност мора бити изражена активном радњом — означавањем поља, притиском на дугме или потписивањем обрасца. Непоступање, ћутање или унапред означена поља не испуњавају захтев недвосмислености. У пресуди у предмету Planet49 GmbH (C-673/17), Суд правде Европске уније потврдио је да се сагласност не може претпостављати из непоступања корисника.

Који подаци потпадају под GDPR

Лични подаци према GDPR-у — свака информација која се односи на идентификовано или идентификовано физичко лице. Ово укључује не само очигледне идентификаторе — име, адресу, е-пошту, телефон — већ и ИП адресе, идентификаторе колачића, рекламне идентификаторе уређаја (IDFA, GAID), биометријске податке, геолокацију и генетске информације.

Члан 9 GDPR-а издваја посебне категорије података чија је обрада забрањена без изричите сагласности: расно или етничко порекло, политички ставови, верска уверења, чланство у синдикатима, генетски и биометријски подаци, подаци о здрављу и сексуалној оријентацији. За такве категорије потребан је најстрожи облик сагласности — одвојена, детаљна и неимплицирана из општег контекста.

Када је GDPR Consent обавезан

GDPR Consent је потребан када се обрада података не може заснивати на другим правним основама: уговорној потреби (члан 6(1)(б)), легитимном интересу (члан 6(1)(ф)) или извршењу правне обавезе (члан 6(1)(ц)). У пракси је сагласност неопходна за маркетиншке поруке, праћење у рекламне сврхе, прикупљање необавезних података и коришћење колачића који нису строго неопходни за функционисање услуге.

Према подацима истраживања IAPP-EY Annual Governance Report (2024), 67% компанија користи сагласност као главни правни основ за обраду података у мобилним апликацијама, упркос растућем тренду преласка на легитимни интерес тамо где је то могуће. То је зато што сагласност обезбеђује најтранспарентнији однос са корисником, али истовремено намеће максималне обавезе у погледу евиденције и управљања сагласностима.

Основни захтеви GDPR-а за сагласност

Члан 7 GDPR-а успоставља шест услова важности сагласности, од којих сваки мора бити испуњен истовремено. Кршење макар једног услова чини сагласност неважећом, а обраду података — незаконитом. Хајде да детаљно размотримо сваки услов узимајући у обзир смернице EDPB-а и судску праксу.

Слобода сагласности се крши када постоји неравнотежа моћи између контролора и субјекта података. EDPB директно наводи да послодавци не могу да се ослањају на сагласност запослених због зависности у радним односима. Слично томе, државни органи не могу захтевати сагласност од грађана при пружању јавних услуга.

Конкретност захтева одвојену сагласност за сваку сврху обраде. Ако апликација прикупља податке за аналитику, персонализацију реклама и побољшање услуге — за сваку сврху је потребно одвојено поље. Обједињавање више сврха у једну сагласност крши захтев конкретности и чини сагласност неважећом.

Доказивост — најзахтевнији технолошки услов. Члан 7(1) директно наводи да контролор сноси терет доказивања добијања сагласности. У пракси то значи потребу за вођењем евиденције свих радњи корисника: ко, када, у које сврхе је дао сагласност, која верзија политике приватности је приказана и како је корисник повукао сагласност.

Како имплементирати прикупљање сагласности у мобилној апликацији

Имплементација GDPR Consent-а у мобилној апликацији захтева свеобухватан приступ који комбинује правне захтеве са техничком имплементацијом. Главни алат — Consent Management Platform (CMP), која управља животним циклусом сагласности: приказивање захтева, бележење избора, чување података и синхронизација са рекламним и аналитичким SDK-овима.

Коришћење Google UMP SDK-а

Google обезбеђује User Messaging Platform (UMP) SDK за Android и iOS, који се интегрише са AdMob, Google Analytics и другим Google услугама. UMP SDK аутоматски одређује потребу за приказивањем сагласности на основу геолокације корисника и захтева GDPR-а. Размотримо интеграцију у Kotlin-у за Android:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Након учитавања обрасца сагласности, потребно га је приказати кориснику. UMP SDK подржава два типа образаца: за добијање сагласности за персонализовано оглашавање и за управљање избором у будућности. Обрада резултата мора узети у обзир све могуће исходе — корисник може дати сагласност, одбити или затворити образац без избора.

Чување и верификација сагласности

Да би се испунио захтев доказивости, потребно је чувати не само чињеницу сагласности, већ и контекст њеног добијања. Минимални скуп података за чување укључује: идентификатор корисника или уређаја, временску ознаку са временском зоном, верзију политике приватности, конкретне сврхе обраде и коришћени механизам сагласности.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Европски одбор за заштиту података (EDPB) у препорукама 01/2023 наглашава да се записи о сагласности морају чувати током целог периода обраде података и до три године након њеног престанка. За мобилне апликације то значи потребу за серверским чувањем записа, а не само локалним, јер корисник може поново да инсталира апликацију или промени уређај.

Чим се GDPR разликује од других регулатора приватности

GDPR — није једини регулатор приватности на свету, али је постао узор за многе националне законе о заштити података. Разумевање разлика између GDPR-а и других регулатора је кључно за програмере међународних апликација које раде са корисницима из различитих јурисдикција.

CCPA (California Consumer Privacy Act) се суштински разликује од GDPR-а: ради по моделу opt-out, а не opt-in. Према CCPA, компаније су обавезне да кориснику пруже право да одбије продају својих података, али нису обавезне да добију претходну сагласност за прикупљање. Међутим, усвајањем CPRA (California Privacy Rights Act) 2023. године, захтеви за сагласност за осетљиве податке постали су ближи GDPR-у.

ePrivacy Directive (Директива о приватности у електронским комуникацијама) допуњује GDPR у делу колачића и електронског маркетинга. За разлику од GDPR-а који регулише све личне податке, ePrivacy се фокусира на комуникационе податке. Захтев за добијање сагласности за необавезне колачиће произилази управо из ePrivacy-а, а не из GDPR-а, иако је механизам сагласности исти.

LGPD Бразила практично у потпуности копира структуру GDPR-а са незнатним изменама: узраст сагласности је повећан на 18 година, а обрада података преминулих лица захтева сагласност наследника. PIPL Кине, напротив, уводи строже захтеве: обавезна локализација података, процена утицаја на заштиту података (DPIA) за све аутоматизоване одлуке и обавештење о преносу података у иностранство.

Типичне грешке при имплементацији GDPR Consent-а

Анализа казни и налога европских надзорних органа за 2018-2024. годину показује понављајућа кршења при имплементацији сагласности. Према подацима Enforcement Tracker (CMS Law, 2024), преко 40% свих казни по GDPR-у повезано је са неправилним добијањем и управљањем сагласношћу. Размотримо најчешће грешке.

Унапред означена поља и пасивна сагласност

Најчешћа грешка — коришћење унапред означених поља (pre-ticked checkboxes) за добијање сагласности. Пресуда Суда правде ЕУ у предмету Planet49 GmbH (C-673/17) недвосмислено је утврдила да се сагласност не може претпостављати из непоступања корисника. Упркос томе, многе апликације настављају да користе унапред означене опције, посебно за банере колачића, што доводи до директних казни и налога.

Национална комисија за информатику и слободе Француске (CNIL) је 2024. године казнила велики рекламни RTB холдинг са 250 милиона евра због коришћења унапред означених поља и недовољно транспарентног информисања корисника. Ово је највећа казна по члану повезаном са сагласношћу, која показује приоритет контроле сагласности за европске регулаторе.

Обједињавање сврха у једну сагласност

Многе апликације траже једну општу сагласност за све врсте обраде: аналитику, персонализацију, оглашавање, пренос трећим лицима. Ово директно крши захтев конкретности (ограничење сврхе). EDPB у смерницама 05/2020 наглашава: ако се једна сврха може постићи без друге, корисник мора имати могућност да пристане на сваку сврху посебно.

Ирска комисија за заштиту података (DPC) у одлуци у предмету Meta Platforms Ireland (2023) указала је да обједињавање персонализације реклама и побољшања услуге у једну сагласност представља кршење. Meta је била обавезна да имплементира одвојене механизме сагласности за различите сврхе обраде у Facebook-у и Instagram-у.

Сложено или немогуће повлачење сагласности

GDPR захтева да повлачење сагласности буде једноставно колико и њено давање. Ако је корисник дао сагласност једним притиском на дугме, повлачење не може захтевати попуњавање обрасца, слање е-поште или позив подршци. У пракси многе апликације скривају механизам повлачења дубоко у поставкама или захтевају више корака за његово извршење.

Препоручена пракса — додавање посебног екрана за управљање сагласностима у поставке апликације са могућношћу повлачења сваке сагласности посебно једним прекидачем. UMP SDK од Google-а обезбеђује уграђени механизам за поновно приказивање обрасца сагласности који корисник може да позове из поставки апликације у било ком тренутку.

Недостатак доказа о добијању сагласности

Многи програмери се ослањају на усмене сагласности или не чувају записе о добијању сагласности. То онемогућава испуњавање захтева доказивости (одговорности) према члану 5(2) GDPR-а. При провери, надзорни орган ће захтевати не само политику приватности, већ и евиденције добијања сагласности за цео период обраде података.

Решење проблема — коришћење Consent Management Platform (CMP) са аутоматским евидентирањем свих догађаја: приказ обрасца, избор корисника, верзија документа, временска ознака. Популарне CMP за мобилне апликације укључују Usercentrics, OneTrust и ConsentManager — све подржавају аутоматско евидентирање ревизије сагласности.