Ali so piškotki nakupovalne košarice predmet soglasja?
Tehnične osnove
Piškotki nakupovalne košarice se uporabljajo, ko uporabnik doda izdelke v nakupovalno košarico spletne trgovine. To služi za identifikacijo uporabnika med sejami s strani strežnika oziroma spletne trgovine.
Brez možnosti identifikacije spletna trgovina ne bi mogla več dodeliti nakupovalne košarice uporabniku, če uporabnik po polnjenju košarice pred zaključkom nakupa zapre brskalnik ali če se seja konča iz drugih razlogov (npr. časovna omejitev zaradi daljše neaktivnosti uporabnika).
Zato strežnik oziroma spletna trgovina na končni napravi uporabnika shrani piškotek, ki identificira uporabnika. Tako lahko spletna trgovina, ko uporabnik obišče spletno trgovino, z branjem piškotka ugotovi, ali ima uporabnik že neizkoriščeno nakupovalno košarico, in ponovno prikliče vsebino košarice iz baze podatkov.
S shranjevanjem piškotka nakupovalne košarice na končni napravi uporabnika in kasnejšim branjem piškotka nakupovalne košarice s strani strežnika / spletne trgovine lahko spletna trgovina uporabnika identificira tudi po koncu seje in mu dodeli vsebino njegove nakupovalne košarice.
Tehnična nujnost / Soglasje
Razumno je predpostaviti, da uporabnik pričakuje delujočo rešitev nakupovalne košarice, da se vsebina košarice ne izgubi zgolj z zaprtjem brskalnika ali daljšo neaktivnostjo. Kdo si želi ponovno zbirati vse izdelke, samo zato, ker je medtem opravil telefonski klic ali primerjal cene v drugih trgovinah?
V skladu s tem bi bili piškotki nakupovalne košarice v skladu s členom 5(3) Direktive 2002/58/ES (oziroma v Avstriji § 96(3) TKG) razvrščeni kot piškotki, ki so nujno potrebni za zagotavljanje storitve, ki jo uporabnik izrecno zahteva.
S tem za shranjevanje in branje piškotkov nakupovalne košarice ne bi bilo potrebno soglasje.
Postopek obdelave „Nakupovalna košarica“
Nastavitev piškotka nakupovalne košarice pa ni samostojen postopek obdelave, temveč le del predpogodbenega postopka obdelave „Nakupovalna košarica“. Nakupovalna košarica je predpogodbeni postopek obdelave, ki se sproži, ko uporabnik doda izdelke v nakupovalno košarico. Postopek obdelave „Nakupovalna košarica“ je torej v skladu s členom 6(1)(b) GDPR potreben za izvajanje predpogodbenih ukrepov, ki se izvedejo na zahtevo zadevne osebe.
S tem za celoten predpogodbeni postopek obdelave „Nakupovalna košarica“ ne bi bilo potrebno soglasje.
Pravno skladna izvedba
Tako daleč, tako dobro. Toda kot pogosto, je tudi pri nakupovalni košarici pomembna pravilna implementacija.
Sejni piškotki
Popolnoma neproblematični bi bili sejni piškotki, torej piškotki, ki se izbrišejo ob koncu seje, ko se zapre okno brskalnika. Vsebina nakupovalne košarice bi bila sicer morda še vedno prisotna v bazi podatkov, vendar je zaradi pomanjkanja ustreznega piškotka nakupovalne košarice ne bi bilo mogoče več dodeliti nobenemu uporabniku.
Sejni piškotki pa niso optimalni za rešitve nakupovalnih košaric. Stranke pogosto dodajo izdelke v košarico, vendar iz različnih razlogov ne kupijo takoj. Če pa stranka zapre okno brskalnika, da bi pred nakupom opravila dodatne primerjave cen ali da bi še malo razmislila, bi v primeru sejnega piškotka vsebina košarice ob ponovnem obisku strani izginila.
To ni optimalno niti za upravljavca trgovine, saj bi to znatno zmanjšalo stopnjo dokončanih nakupov, niti smiselno za stranke, saj bi morale ponovno zbirati svoje izdelke.
Trajni piškotki
Zato se pri nakupovalni košarici uporabljajo trajni piškotki, torej piškotki, ki preživijo konec seje. Strogo gledano je izraz trajni nenatančen, saj tudi trajni piškotki nakupovalne košarice potečejo. Kdaj točno piškotek poteče, je določeno z atributom Expiry ali Max-Age piškotka.
Pravno skladen datum poteka
Teoretično bi torej lahko piškotek nakupovalne košarice oblikovali tako, da bi potekel šele čez 10 let. Vendar to tehnično ne bi bilo potrebno za dosego namena smiselne rešitve nakupovalne košarice, saj je to preveč dolgo. Nobena stranka se ne vrne po 10 letih in reče: „danes bom to kupil“. Zato bi bil tako dolg datum poteka zaradi pomanjkanja tehnične nujnosti dovoljen le s soglasjem stranke. Ker pa je tako dolg datum poteka itak nesmiseln, pridobitev soglasja seveda ni možnost.
Pravilno je, da se datum poteka piškotka nakupovalne košarice prilagodi dejanskim potrebam strank. To je enostavno, če se lahko opremo na izkušnje oziroma potrebne informacije razberemo iz spletne statistike. Popoln datum poteka je določen tako, da večina strank, ki se kasneje vrnejo in kupijo, še vedno najde polno nakupovalno košarico.
Neproblematičnih je verjetno 7 do 14 dni. Vse, kar je daljše, bi morali dobro utemeljiti s statistiko. Eksotičnih odstopanj, kot je „imeli smo nekoga, ki se je vrnil tedne kasneje in kupil“, pri določanju datuma poteka ni treba upoštevati.
Soglasje ni potrebno
Če je datum poteka smiselno konfiguriran, se šteje za tehnično nujnega, da se zagotovi funkcija nakupovalne košarice, ki jo želi stranka. Zato v tem primeru soglasje stranke za shranjevanje in branje piškotka ni potrebno.
Obveznost obveščanja
Neodvisno od tega obstaja obveznost obveščanja, ki vedno velja. Funkcija nakupovalne košarice mora biti zato kljub temu vključena v izjavo o varovanju podatkov.
