Відстеження або веб-відстеження – це термін, який не має більш детального визначення. Юридичне визначення може бути виведене з поточної правової ситуації та підкріплене технічним визначенням. Моє визначення спрямоване на зобов'язання отримати згоду.
При понятті терміну "Trackings" головна ідея полягає в тому, чи існує обов'язок щодо згідності.
Є звичайна технічна визначення поняття Web Tracking, яке виглядає так:
Web Tracking – це ідентифікація та слідкування за користувачами в мережах, з метою експлуатації даних користувачів поза обґрунтованим інтересом.
Визначення відстеження з технічної точки зору.
З юридичної точки зору визначення згідно поточної законодавчої ситуації, яка м.о. досить добре закріплена в правовому полі, можна вивести із наступних питань:
- Чи використовуються сервісом файли cookie, які не є технічно необхідними, або чи не є сервіс функціонально необхідним?
- Чи передаються персональні дані третім особам без законного інтересу та без будь-якої іншої правової підстави?
- Чи передаються персональні дані в ненадійні треті країни, такі як США?
Перша запитання регулюється статтею 5, абз. 3 директиви про приватність. Вона говорить про те, що згодом повинна бути отримана згода, коли відбувається доступ до інформації, яка зберігається на кінцевому пристрої користувача. Це стосується лише тих випадків, коли такий процес не обов'язковий технічними засобами, як вказує директива далі. З грудня 2021 року для Німеччини діє § 25 TTDSG. До цього часу діяла § 15 абз. 3 TMG (за рішенням Верховного суду Німеччини щодо Planet49 подібно до директиви про приватність). З середини 2024 року TTDSG було змінено на TDDDG.
Друга питання регулюється статтею 5 ДЗПВ (економія даних), статтею 25 ДЗПВ (захист даних шляхом технічної розробки), статтею 32 ДЗПВ (безпека обробки даних) та статтею 6 ДЗПВ (правові підстави). Третім є будь-яка інша організація, з якою не було укладено угоди про захист даних. При відвідуванні вебсторінки завжди обробляються особисті дані, оскільки адреса IP (адреса мережі) є особистим даними. Коли вебсторінка інтегрує послугу третього боку, наприклад, відео-ігровий гравець YouTube, адреса мережі користувача передається до третього боку. Також можна посилатися на § 15 Abs. 3 TMG, де розглядається питання про формування користувацького профілю. Дані про профіль користувача є особистими, тобто особистими. Як альтернативу міг бути використаний Device Fingerprint як особиста інформація.
Третя питання підкреслюється в Статті 44 (Правила передачі даних).
Виходячи з цього, я вважаю корисним наступне юридичне визначення відстеження (сформульоване лінгвістичною мовою комп'ютерних наук):
Трекінг в інтернеті є передаванням даних, яке повинно бути підтверджено згодою, оскільки без правомірного інтересу (та ще більше без додаткової правової підстави) воно either доступує інформацію на кінцевому пристрої користувача, або тому що воно ненужне або випадає під заборону, або тому що відповідальність приймача не забезпечує достатніх гарантій дотримання ДЗП.
Визначення відстеження з юридичної точки зору.
Під час технічної визначення трекінгу увагу звертається на обробку даних, тоді як за законодавчою визначенням вже відбувається передача даних. Звідси виникає розрив, який я розглядаю у іншому статті. У визначенні не грає жодної ролі формування користувацького профілю, але воно відбувається непрямо через ненавмисні або уникнення передачі даних, оскільки IP-адреса вже є особистим даними, який майже повністю покриває розширений процес передачі даних при формуванні користувацького профілю. ([1])
Трекінг згідно з ДЗП?
Web Tracking, рівний, чи з або без Cookies, є незаконним без згоди. Згода часто (щоб мене дуже шкодить) отримується за допомогою консент-інструментів , яких я вважаю непридатними. ([1])
В Google Умови використання вимагають згоди перед завантаженням відео YouTube. За ці умови, згідно з умовами використання, раніше необхідно отримати згоду на збір даних для рекламних цілей. На жаль, скрипт YouTube завжди завантажує рекламний трекер DoubleClick (станом на 30.12.2020).
Для Google reCAPTCHA в умовах використання вказується, що необхідно дотримуватися Регламенту щодо згоди користувача ЄС. ([1])
Довідник Google Tag Manager та інші послуги, такі як Google Maps, належать до Google Marketing Platform (дивіться наприклад тут).
Thesen
Включення множини інструментів для статистичної аналізу користувачів варто розцінювати як трекінг.
Рішення щодо отримання згоди за допомогою файлів cookie здебільшого є правопорушеними за своїм змістом та не працюють технічно без глибокої налаштування вебсторінки користувача. Я показав це шляхом проведення детального дослідження і встановив об'єктивні та практичні підстави для цього.
Опти-аут куки_, які призводять до того, що аналітичні інструменти третіх осіб ще завантажуються, щоб запобігти збір даних через такі куки (надії), є незаконними_
Використання послуг, які їхні провайдери невідомі або не мають або мають непрозору політику конфіденційності та не дають жодних гарантій, є порушенням права і навіть після згоди має юридичні ризики.
Включення будь-яких файлів третіх осіб на вебсторінках без підтвердженої гарантії, що ці треті особи обробляють отримані ними дані про особистості відповідно до ДЗЗ, (тобто не здійснюють моніторингу), не відповідає ДЗЗ.
Популярні інструменти для відстеження
За умови визначення Tracking залежно від того, яким чином його визначають, послуги потрапляють або ні до цієї категорії. Нижче наведено декілька категорій інструментів tracking. У звичайному розумінні під Tracking розуміється спостереження за користувачами для підвищення їхньої конверсійної здатності та краще пізнання цих осіб.
Вибірка віддалено розповсюджених інструментів слідкування, призначених для спостереження за користувачами:
- Google Analytics
- Facebook Pixel
- _DoubleClick, DoubleClick Remarketing для Google Analytics ; DoubleClick використовується зокрема у відеоплеєрі YouTube
- Google Ads Conversion Tracking
- Соціальні мережеві плагіни від Фейсбука, Твіттера тощо.
- Google +1 (без функції для оператора сайту)
- Omniture Analytics (Adobe Analytics)
- Salesviewer
- Xiti Monitoring Traffic (AT Internet)
- Matomo (у певних конфігураціях і для роботи в хмарі, а не для локального встановлення)
Приховані інструменти відстеження
Я називаю їх так саме, оскільки основна функція не повинна бути Tracking, але відповідні розробники цих інструментів роблять це насправді (і також) тому, щоб здійснювати Tracking.
- Google Maps: Використовує, зокрема, файл cookie NID, який встановлюється при вході до облікового запису Google. Завантажує Google Fonts
- YouTube Video Script: Ладить DoubleClick після
- Google reCAPTCHA: Дивіться Google Maps
- Microsoft Forms: Завантажує скрипт від Bing після (також належить до Microsoft, але для Forms явно не потрібен)
Відстеження за допомогою інструментів Google
Я припускаю, що група компаній Google аналізує дані про з'єднання, які генеруються при використанні наведених нижче сервісів, серед іншого, для власних цілей або робить їх доступними третім особам:
- Google Tag Manager: Google використовує збережені дані користувачів для власних цілей, зокрема для оптимізації реклами
- Google Веб-Шрифти: дивіться Google Тег Менеджер ([1])
- Всі інші файли, що завантажуються з Сервера Google ([1]) ([2])
- DNS-сервер Google (8.8.8.8 = Google Public DNS Server). Це лише підозра без глибоких доказів. Хто зможе надати справжні докази, отримає від мене винагороду! У будь-якому разі підтверджує Google лише, що дані, отримані через сервер DNS (лише особисті дані), не будуть використовуватися для цілеспрямованого показу реклами. Тому можливе стеження за користувачами та передавання цих даних третім особам, які на основі цього (самовідповідно) оптимізують їх рекламу.
Google навіть визнає, що використовує дані, зібрані в інших місцях. Ось два джерела Google:
Таким чином, оператори веб-сайтів і додатків передають дані в Google, щоб Google міг показувати персоналізовану рекламу на своїх і сторонніх веб-сайтах. Персоналізована реклама вимагає, щоб особа була ідентифікована або щоб її можна було пов'язати з особою.
На мою думку, Google, а також оператори веб-сайтів, які використовують сервіси Google без згоди, діють тут незаконно, оскільки шлях, як мені здається, виглядає наступним чином:
- Користувач A відвідує будь-який сайт X
- Сервіси Google інтегровані на сайті X
- Таким чином, Google отримує дані про користувача A з веб-сайту X
- Якщо користувач A дав згоду на використання своїх даних в зовсім іншому місці, ніж на веб-сайті X, а саме в Google (див. скріншоти), Google використовує дані, отримані про користувача A через веб-сайт X, в інших цілях, які не обов'язково відповідають цілям веб-сайту X
- Веб-сайт X (зазвичай) не отримував на це згоди, або я ніде не помічав, щоб інтеграція Google Maps або Google Fonts на веб-сайтах пояснювалася тим, що дані передаються в Google для використання в персоналізованій рекламі.
- Як мінімум, відповідальність несе оператор веб-сайту Х, оскільки він передає персональні дані користувача А. Google, ймовірно, також несе відповідальність. Google Signals, наприклад, об'єднує дані з різних джерел для створення профілів користувачів.
Зобов'язання щодо згоди у зв'язку з передачею даних
Цілком можливо, що за допомогою наведених нижче інструментів не здійснюється жодного відстеження (наведені приклади). Однак передача даних до небезпечних третіх країн, таких як США, здається, вимагає згоди (і, на мою думку, однозначно вимагає):
- Font Awesome шрифти
- Швидкі шрифти (Fonts.com): Використання пікселя відстеження переважно для виставлення рахунків (квота використання)
- MailChimp
- MyFonts
- MapBox (використовує OpenStreetMap)
- SoundCloud Audio Player
- CloudFlare (мережа доставки контенту для файлів)
У разі сумніву відповідальний за збір даних повинен привести доказ офіційності. Відповідальним за вебсторінку, як правило, є власник сторінки, якщо він не зміг успішно передати відповідальність іншій організації. При діяльності підприємств на світовому рівні відповідальність часто віддається компанії з підходящим місцем розташування підприємства.
Також не можна без ризику завантажувати зображення із зовнішнього сервера третьої сторони замість того, щоб вбудовувати зображення безпосередньо. Як правило, третя сторона не буде аналізувати користувачів на основі отриманих даних про трафік, але може це робити.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
