Szükséges-e hozzájárulás a kosár-sütikhez?
Technikai alapok
A kosár-sütik akkor kerülnek alkalmazásra, ha a felhasználó termékeket helyez a webáruház kosarába. Ez a felhasználó munkameneteken átívelő azonosítását szolgálja a szerver, illetve a webáruház által.
Azonosítási lehetőség hiányában a webáruház már nem tudná a kosarat a felhasználóhoz rendelni, ha a felhasználó a kosár feltöltése után, a vásárlás befejezése előtt bezárja a böngészőjét, vagy ha a munkamenet más okokból ér véget (pl. időtúllépés a felhasználó hosszabb inaktivitása miatt).
Ezért a szerver, illetve a webáruház a felhasználó végberendezésén egy sütit tárol, amely azonosítja a felhasználót. Így a webáruház, amikor egy felhasználó felkeresi a webáruházat, a süti kiolvasásával megállapíthatja, hogy a felhasználó rendelkezik-e már nem befejezett kosárral, és újra előhívhatja a kosár tartalmát az adatbázisból.
A kosár-süti felhasználó végberendezésén történő tárolásával és a kosár-süti szerver / webáruház általi későbbi kiolvasásával a webáruház tehát a munkamenet vége után is azonosíthatja a felhasználót, és hozzárendelheti a kosár tartalmát.
Technikai szükségesség / Hozzájárulás
Ésszerűen feltételezhető, hogy a felhasználó működő kosármegoldást vár el, és hogy a kosár tartalma ne vesszen el pusztán a böngésző bezárásával vagy hosszabb inaktivitás miatt. Kinek van kedve újra összeszedni az összes terméket, csak azért, mert közben telefonált, vagy ár-összehasonlítást végzett más üzletekben?
Ennek megfelelően a kosár-sütik a 2002/58/EK irányelv 5. cikk (3) bekezdése (illetve Ausztriában a TKG 96. § (3) bekezdése) szerint olyan sütiknek minősülnének, amelyek feltétlenül szükségesek a felhasználó által kifejezetten kért szolgáltatás nyújtásához.
Ezzel a kosár-sütik tárolásához és kiolvasásához nem lenne szükség hozzájárulásra.
„Kosár” feldolgozási folyamat
A kosár-süti elhelyezése azonban nem önálló feldolgozási folyamat, hanem csak a „Kosár” előzetes szerződéses feldolgozási folyamatának része. A kosár egy előzetes szerződéses feldolgozási folyamat, amely akkor indul el, amikor egy felhasználó termékeket helyez a kosárba. A „Kosár” feldolgozási folyamat tehát az Általános Adatvédelmi Rendelet (GDPR) 6. cikk (1) bekezdés b) pontja szerint szükséges az érintett személy kérésére történő szerződéskötést megelőző intézkedések végrehajtásához.
Ezzel a teljes „Kosár” előzetes szerződéses feldolgozási folyamathoz nem lenne szükség hozzájárulásra.
Jogszabályoknak megfelelő megvalósítás
Eddig rendben. Mint oly sokszor, a kosár esetében is a helyes implementáción múlik a dolog.
Munkamenet-sütik
Teljesen problémamentesek lennének a munkamenet-sütik, azaz olyan sütik, amelyek a munkamenet végén, a böngészőablak bezárásakor törlődnek. A kosár tartalma ekkor ugyan még esetleg meglenne az adatbázisban, de a megfelelő kosár-süti hiányában már nem lehetne felhasználóhoz rendelni.
A munkamenet-sütik azonban nem optimálisak a kosármegoldásokhoz. Az ügyfelek gyakran helyeznek termékeket a kosárba, de különböző okokból nem vásárolnak azonnal. Ha azonban az ügyfél bezárja a böngészőablakot, hogy a vásárlás előtt további ár-összehasonlításokat végezzen, vagy még gondolkodjon, akkor egy munkamenet-süti esetén a kosár tartalma az oldal újbóli megnyitásakor eltűnne.
Ez sem a webáruház üzemeltetője számára nem optimális, mert az jelentősen csökkentené a vásárlási arányt, sem az ügyfelek számára nem ésszerű, mert nekik újra össze kellene szedniük a termékeiket.
Állandó sütik
Ezért a kosárnál állandó sütiket használnak, azaz olyan sütiket, amelyek túlélik a munkamenet végét. Szigorúan véve az „állandó” megnevezés pontatlan, mert az állandó kosár-sütik is lejárnak. Hogy pontosan mikor jár le a süti, azt a süti Expiry vagy Max-Age attribútuma határozza meg.
Jogszabályoknak megfelelő lejárati dátum
Elméletileg tehát egy kosár-sütit úgy lehetne kialakítani, hogy az csak 10 év múlva járjon le. Ez azonban egy értelmes kosármegoldás céljának eléréséhez technikailag nem lenne szükséges, mert ez túl hosszú idő. Egyetlen ügyfél sem tér vissza 10 év múlva azzal, hogy „na, ma megveszem”. Ezért egy ilyen hosszú lejárati dátum technikai szükségesség hiányában csak az ügyfél hozzájárulásával lenne megengedett. Mivel azonban egy ilyen hosszú lejárati dátum amúgy is értelmetlen, a hozzájárulás beszerzése természetesen nem opció.
Helyesen a kosár-süti lejárati dátumát az aktuális ügyfél-igényekhez kell igazítani. Ez egyszerű, ha tapasztalatokra lehet támaszkodni, illetve a szükséges információkat ki lehet olvasni a webstatisztikákból. A tökéletes lejárati dátum úgy van beállítva, hogy az ügyfelek többsége, akik később visszatérnek és vásárolnak, még tele kosarat találjon.
Valószínűleg problémamentes a 7-14 nap. Minden, ami ennél hosszabb, statisztikával jól indokolható kell, hogy legyen. Az olyan egzotikus kivételeket, mint „volt egy, aki hetekkel később visszatért és vásárolt”, nem szabad figyelembe venni a lejárati dátum meghatározásakor.
Nincs szükség hozzájárulásra
Ha a lejárati dátum értelmesen van konfigurálva, technikailag szükségesnek minősül, hogy a vevő által kívánt kosár funkciót biztosítsa . Ezért ebben az esetben nincs szükség a vevő hozzájárulására a süti tárolásához és kiolvasásához.
Tájékoztatási kötelezettség
Ettől függetlenül fennáll a tájékoztatási kötelezettség, amely mindig érvényes. A kosár funkciót ezért ennek ellenére is fel kell venni az adatvédelmi nyilatkozatba.
