К основному содержанию
Paternus
Цифровой мирРазбор

Согласие по GDPR: когда «принять все» не значит согласиться

Recital 32 требует, чтобы согласие было свободным, конкретным, информированным и недвусмысленным, — и почему большинство cookie-баннеров этому не соответствуют.

Редакция Paternus11 мин чтения

Согласие — центральная фикция цифровой автономии. GDPR попытался наполнить её содержанием, а тёмные паттерны — выхолостить обратно.

Четыре условия действительного согласия

GDPR (Регламент (ЕС) 2016/679) определяет согласие через четыре признака: свободное, конкретное, информированное и недвусмысленное (Recital 32) (GDPR-info). Отсутствие любого из них делает согласие юридически ничтожным.

«Clear affirmative act»

Согласие должно выражаться чётким утвердительным действием; молчание, предзаполненные галочки и бездействие согласием не являются. «Информированность» означает, что человек как минимум уведомлён о личности контролёра и целях обработки — защита от постепенного расползания целей (function creep).

Где ломается «свободность»

На практике cookie-баннеры часто ломают именно свободность: яркая кнопка «Принять всё» против спрятанного «Отклонить», больше шагов для отзыва, чем для дачи согласия, дизайн, подталкивающий к «удобному» ответу. Формально выбор есть — фактически он предопределён.

Руководства EDPB

Европейский совет по защите данных (EDPB) в Guidelines 03/2022 показал, как обманный дизайн баннеров нарушает принцип честной обработки (ст. 5(1)(a) GDPR): неравнозначные кнопки, перегрузка выбором, асимметрия усилий (EDPB).

Правоприменение

Национальные регуляторы переходят от принципов к штрафам: французский CNIL прямо требует, чтобы отказ от cookie был так же прост, как согласие, и налагал многомиллионные штрафы за нарушение (CNIL).

Два контура: GDPR и DSA

Манипулятивное согласие оказывается на стыке двух режимов: GDPR требует его действительности, а статья 25 DSA запрещает интерфейсы, искажающие выбор. Вместе они очерчивают стандарт: согласие должно быть решением человека, а не результатом дизайна, спроектированного против него.

Первоисточники

Выдержки и даты

  1. 01к разделу «Четыре условия действительного согласия»

    Условия согласия (GDPR, Recital 32)

    «Consent should be given by a clear affirmative act establishing a freely given, specific, informed and unambiguous indication of the data subject’s agreement... Silence, pre-ticked boxes or inactivity should not therefore constitute consent.»

    Перевод: согласие должно выражаться чётким утвердительным действием, устанавливающим добровольное, конкретное, осознанное и недвусмысленное согласие субъекта данных... Молчание, предзаполненные галочки или бездействие поэтому не являются согласием.

Теги#согласие