Czym jest śledzenie? Definicja i zasady ochrony danych

Śledzenie lub śledzenie sieci to termin, który nie został zdefiniowany bardziej szczegółowo. Definicję prawną można wyprowadzić z aktualnej sytuacji prawnej i poprzeć definicją techniczną. Moja definicja dotyczy obowiązku uzyskania zgody.

Pod pojęciem Trackings kryje się w istocie kwestia, czy istnieje zgoda wymagana prawem.

Powszechnie używana techniczna definicja pojęcia Web Tracking brzmi:

Web Tracking to Identyfikowanie i śledzenie użytkowników w sieciach, z celem wykorzystania danych użytkownika poza uprawnionym interesem.

Definicja śledzenia z perspektywy technicznej.

Z prawnego punktu widzenia definicja na podstawie obowiązującego prawa, które jest m. P. dobrze ugruntowane, może być ustalona poprzez następujące pytania:

1. Czy pliki cookie, które nie są technicznie niezbędne, są używane przez usługę lub czy usługa nie jest funkcjonalnie niezbędna?
2. Czy dane osobowe są przekazywane stronom trzecim bez uzasadnionego interesu i innej podstawy prawnej?
3. Czy dane osobowe są przekazywane do niezabezpieczonych krajów trzecich, takich jak USA?

Pierwsza zapytanie jest regulowana przez Art. 5 § 3 dyrektywy ePrivacy. Mówi ona, że zgoda musi być udzielona, gdy dostęp do informacji przechowywanych na urządzeniu użytkownika następuje. Oczywiście tylko wtedy, jeśli procedura jest technicznie niezbędna, jak podaje dyrektywa. Od grudnia 2021 roku dla Niemiec obowiązuje § 25 TTDSG. Do tego czasu obowiązywał § 15 § 3 TMG (według wyroku BGH dotyczącego Planet49, tak samo jak dyrektywa ePrivacy). Od połowy 2024 roku TTDSG zostało włączone do TDDDG.

Druga kwestia jest regulowana przez Art. 5 RODO (ekonomia danych), Art. 25 RODO (ochrona danych przy pomocy technologii), Art. 32 RODO (bezpieczeństwo przetwarzania) oraz Art. 6 RODO (podstawy prawne). Trzecim podmiotem jest każda inna strona, z którą nie został zawarty DPA itp. Podczas wizyty na stronie internetowej są zawsze przetwarzane dane osobowe, ponieważ adres IP (adres sieciowy) to dane osobowe. Jeśli strona internetowa wykorzystuje usługę innego podmiotu, np. odtwarzacz filmu YouTube, jest przekazywany adres sieciowy użytkownika do tego podmiotu. Można również odwołać się do § 15 ust. 3 TMG, w którym omawiana jest budowa profilu użytkownika. Dane związane z profilem użytkownika są osobowe, więc osobowe. Alternatywnie może być użyty Device Fingerprint jako informacja osobowa.

Trzecia zadań jest objęta przez Art. 44 (zasady przesyłania danych).

Na tej podstawie uważam następującą definicję prawną śledzenia za użyteczną (sformułowaną językowo jako informatyk):

Śledzenie w internecie jest transferem danych, który musi być umotywowany zgoda, ponieważ bez uzasadnionego interesu (a tym bardziej bez dodatkowej podstawy prawnej) może dotrzeć do informacji na urządzeniu użytkownika, lub dlatego że jest niepotrzebny lub unikalny, lub dlatego że odbiorca nie może zapewnić wystarczających gwarancji przestrzegania RODO.

Definicja śledzenia z perspektywy prawnej.

Podczas gdy techniczna definicja trackinga skupia się na przetwarzaniu danych, w prawnej definicji jest już istotne przeniesienie danych. Z tego wynika lukę, którą rozważam w innym artykule. W definicji nie odgrywa rolę budowanie profilu użytkownika, ale jest ono pośrednio rozwiązane przez niepotrzebne lub unikanie przeniesienia danych, ponieważ adres IP już jest danymi osobowymi, pokrywającym się z rozszerzonym transferem danych przy budowaniu profilu użytkownika.

Web Tracking, bez względu na to, czy z użyciem czy bez plików cookie, jest niezgodne z prawem bez zgody. Zgoda jest często (niestety) poproszona przy pomocy narzędzi do konsentu , które z mojej perspektywy są niewykonalne. ([1])

Warunki korzystania z Google wymagają zgody przed załadowaniem filmów YouTube. Zgodnie z tymi warunkami, przed zbieraniem danych do celów reklamowych należy poprosić o zgodę. Niestety skrypt YouTube zawsze ładuje tracker reklamowy DoubleClick (stan na 30.12.2020). ([1])

Dla Google reCAPTCHA w Nutzungsbedingungen jest wymienione, że należy przestrzegać Dyrektywa w sprawie zgody użytkowników w UE.

Google Tag Manager i inne usługi takie jak Google Maps są przez Google związane z Platformą Marketingową Google (patrz np.). ([1])

Thesen

Włączenie mehreren narzędzi do statystycznej analizy użytkowników jest traktowane jako śledzenie.

Rozwiązania oparte na zgodzie wyrażanej za pomocą plików cookie są najczęściej w swojej formie niezgodne z prawem i technicznie nie działają bez głębokiej modyfikacji strony internetowej. To pokazałem poprzez szczegółową analizę oraz ustaliłem obiektywne i praktyczne przyczyny tego faktu.

Cookies opty-out_, które powodują, że narzędzia analityczne trzeciej strony są załadowane, aby zablokować zebrane dane na podstawie takich plików (przynajmniej), są nielegalne_

Użycie usług których dostawca nie jest znany, lub które nie przedstawiają ani nieprzejrzystej polityki prywatności i nie dają gwarancji jest niezgodne z prawem i nawet po wyrażeniu zgody wiąże się z niepewnościami prawnymi.

Włączanie dowolnych plików trzecich na stronach internetowych bez udowodnionej gwarancji, że te osoby trzecie będą przetwarzać otrzymane dane osobowe zgodnie z RODO (tzn. nie będą prowadziły śledzenia), nie jest zgodne z RODO.

Popularne narzędzia do śledzenia

Zależy od tego, jak definiuje się tracking, czy usługi należą do tej kategorii lub nie. Poniżej wymieniono kilka kategoriów narzędzi do śledzenia. W potocznym rozumieniu Tracking oznacza śledzenie użytkowników w celu lepszego zrozumienia ich i poprawy stawek konwersji.

Oto wybór z bardzo rozpowszechnionych narzędzi do śledzenia, które mają na celu śledzenie użytkowników:

• Google Analytics
• Piksel Facebooka
• DoubleClick, DoubleClick Remarketing dla Google Analytics …; DoubleClick jest m.in. używany przez YouTube Videos Player
• Google Ads Conversion Tracking
• Oprogramowanie społecznościowe od Facebooka, Twittera itp.
• Google +1 (bez funkcji dla operatora strony)
• Omniture Analytics (Adobe Analytics)
• Salesviewer
• Xiti Monitoring Traffic (AT Internet)
• Matomo (w niektórych konfiguracjach i do pracy w chmurze zamiast instalacji lokalnej)

Ukryte narzędzia do śledzenia

Odnoszę się do nich tutaj tak, ponieważ główną funkcją nie ma być Tracking, lecz dostawcy narzędzi oferują te narzędzia w rzeczywistości (także) dlatego, aby prowadzić Tracking.

• Google Maps: Zostaje odwołanie się do pliku NID, który jest ustawiany przy logowaniu na konto Google. Ładuje Google Schriften
• YouTube Video Script: Lädt DoubleClick nach
• Google reCAPTCHA: Siehe Google Maps
• Microsoft Forms: Ładuje skrypt z Binga do (należy również do Microsoft, ale dla Formów wydaje się niepotrzebny)

Śledzenie za pomocą Narzędzi Google

Zakładam, że grupa firm Google analizuje dane połączenia generowane podczas korzystania z następujących usług, między innymi, do własnych celów lub udostępnia je stronom trzecim:

• Google Tag Manager: Google używa danych użytkowników do własnych celów, m.in. aby zoptymalizować reklamę
• Czcionki Google: zobacz Google Tag Manager
• Wszelkie inne pliki, które są pobierane z serwera Google ([1]) ([2])
• Serwer DNS Google (8.8.8.8 = Serwer DNS Publiczny Google). To jest domysł bez głębszych dowodów. Kto może dostarczyć konkretnych dowodów, otrzyma od mnie nagrodę! W każdym razie potwierdza Google jedynie, że dane osobowe uzyskane za pomocą serwera DNS (tylko) nie są wykorzystywane do celu celowego wyświetlania reklam. Zatem jest możliwe śledzenie użytkowników i przekazywanie tych informacji trzecim stronom, które na podstawie tego (samodzielnie) dostosowują swoje reklamy.

Google przyznaje nawet, że wykorzystuje dane zebrane gdzie indziej. Oto dwa źródła Google:

Operatorzy stron internetowych i aplikacji przekazują zatem dane do Google, aby Google mógł wyświetlać spersonalizowane reklamy na swoich stronach internetowych i stronach internetowych osób trzecich. Spersonalizowana reklama wymaga zidentyfikowania osoby lub powiązania jej z osobą.

Moim zdaniem Google, a także operatorzy stron internetowych, którzy korzystają z usług Google bez zgody, działają tutaj niezgodnie z prawem, ponieważ ścieżka wygląda następująco:

1. Użytkownik A odwiedza dowolną stronę internetową X
2. Usługi Google są zintegrowane z witryną X
3. W ten sposób Google otrzymuje dane o użytkowniku A z witryny X
4. Jeśli użytkownik A wyraził zgodę na wykorzystanie swoich danych w zupełnie innym miejscu niż na stronie internetowej X, a mianowicie w Google (patrz zrzuty ekranu), Google wykorzystuje dane uzyskane o użytkowniku A za pośrednictwem strony internetowej X do innych celów, które niekoniecznie odpowiadają celom strony internetowej X
5. Strona internetowa X (zazwyczaj) nie uzyskała na to zgody lub nigdzie nie zauważyłem, aby integracja Google Maps lub Google Fonts na stronach internetowych była tłumaczona faktem, że dane są przekazywane do Google w celu wykorzystania ich do spersonalizowanych reklam.
6. Przynajmniej operator strony internetowej X jest odpowiedzialny, ponieważ przekazuje dane osobowe od użytkownika A. Google prawdopodobnie również ponosi odpowiedzialność. Na przykład Google Signals łączy dane z różnych źródeł w celu tworzenia profili użytkowników.

Obowiązek wyrażenia zgody w związku z przekazywaniem danych

Możliwe, że poniższe narzędzia nie śledzą użytkownika (podano przykłady). Wydaje się jednak, że przekazywanie danych do niebezpiecznych krajów trzecich, takich jak USA, wymaga zgody (i moim zdaniem wyraźnie tak jest):

• Czcionki Font Awesome
• Fast Fonts (Fonts.com): Wykorzystanie piksela śledzącego głównie do celów rozliczeniowych (limit użytkowania)
• MailChimp
• MyFonts
• MapBox (korzysta z OpenStreetMap)
• SoundCloud Audio Player
• CloudFlare (sieć dostarczania treści dla plików)

W przypadku wątpliwości osoba odpowiedzialna za gromadzenie danych musi przedstawić dowód prawidłowości. Zwykle odpowiedzialny jest za stronę internetową jej administrator, chyba że udało mu się przerzucić odpowiedzialność na inną osobę lub instytucję. W przypadku firm działających globalnie odpowiedzialność często przypisuje się firmie z odpowiednim siedzibą.

Nie jest również możliwe bez ryzyka załadowanie obrazu z zewnętrznego serwera strony trzeciej zamiast bezpośredniego osadzenia obrazu. Z reguły strona trzecia nie analizuje użytkowników na podstawie otrzymanych danych o ruchu, ale może to zrobić.