جریمههای نقض قوانین کوکی: کسبوکارها واقعاً با چه خطری روبهرو هستند
نقض الزام رضایت کوکی یک خطر نظری نیست — نهادهای حفاظت از داده در چند کشور اتحادیه اروپا در سالهای اخیر بارها و با مبالغی قابلتوجه جریمه صادر کردهاند. چارچوب حقوقی این کار از ماده 83(5) GDPR ناشی میشود: در نقضهای جدی، جریمههایی تا 20 میلیون یورو یا تا 4 درصد از گردش مالی سالانه جهانی، هرکدام که بیشتر باشد، ممکن است — حتی اگر عامل اصلی، همانطور که در مقالههای پیشین گفته شد، رسماً از دستورالعمل ePrivacy یا پیادهسازی ملی آن ناشی شود.
یکی از شناختهشدهترین نمونهها از سوی نهاد فرانسوی حفاظت از داده، CNIL، است: در دسامبر 2020، این نهاد جریمهای مجموعاً €100 میلیون برای گوگل و €35 میلیون برای آمازون وضع کرد، چون هر دو شرکت پیش از آنکه کاربران رضایت خود را اعلام کنند، کوکیهای تبلیغاتی را قرار داده بودند. در ژانویه 2022، جریمه دیگری علیه گوگل — به مبلغ €150 میلیون — و جریمهای علیه فیسبوک (که اکنون متا نام دارد) به مبلغ €60 میلیون صادر شد، این بار به این دلیل که رد کردن کوکی در وبسایتهای آنها بهطور محسوسی دشوارتر از پذیرفتن آن طراحی شده بود: پذیرفتن به یک کلیک نیاز داشت، در حالی که رد کردن مستلزم عبور از چند منو بود. CNIL این کار را نقض الزام برابری میان سهولت رد و سهولت پذیرش رضایت دانست.
سایر نهادهای حفاظت از داده نیز وارد عمل شدند، هرچند معمولاً با مبالغی کوچکتر علیه کسبوکارهای کوچک و متوسط: نبود دستهبندی کوکی، اسکریپتهای شخص ثالث که پیش از هرگونه تعامل با بنر بارگذاری میشدند، یا دکمه «رد» که اصلاً وجود نداشت و بازدیدکنندگان را بهدلیل نبود جایگزینی واقعی به پذیرش وادار میکرد. همین نکته آخر — بنری بدون گزینه ردی که از نظر وزن برابر باشد — از رایجترین یافتهها در بازرسیهاست، زیرا مستقیماً با الزام تصمیم آزادی که رأی Planet49 تأیید کرد در تضاد است.
آنچه نهادهای حفاظت از داده واقعاً میخواهند در یک بازرسی بررسی کنند را میتوان از این پروندهها و از دستورالعملهای منتشرشده نهادهای نظارتی استنباط کرد: آیا کوکیهای غیرضروری تنها پس از رضایت فعال قرار داده شدهاند، نه پیش از آن؟ آیا امکانی واقعی و با ارائه برابر برای رد وجود داشته؟ آیا دستهها و اهداف بهقدر کافی مشخص توصیف شدهاند؟ و — که اغلب نکته تعیینکننده در یک اختلاف واقعی است — آیا گرداننده وبسایت میتواند پس از واقعه هم ثابت کند که رضایتی مشخص در زمانی مشخص واقعاً داده شده است؟
دقیقاً همین نکته آخر در عمل اغلب دستکم گرفته میشود. یک بنر بینقص از نظر فنی فایده چندانی ندارد اگر در صورت اختلاف — مثلاً پس از یک شکایت یا یک بازرسی نمونهای — دیگر هیچ سندی باقی نمانده باشد که نشان دهد رضایت داده شده و دقیقاً چگونه داده شده است. تعهد پاسخگویی مندرج در ماده 5(2) GDPR بر عهده گرداننده وبسایت است، نه بازدیدکننده: در صورت تردید، این اوست که باید اثبات کند، نه کاربر که باید خلاف آن را ثابت کند.
برای اغلب وبسایتهای کوچک و متوسط، جریمههایی در مقیاس پروندههای یادشده بعید است — نهادهای نظارتی در عمل بیشتر بر بازیگرانی با دامنه گسترده، نقضهای تکرارشونده یا شکایات هدفمند تمرکز میکنند. اما این چیزی از اصل بنیادین تغییر نمیدهد: رضایتی آگاهانه، فعال و ثبتشده صرفاً یک تشریفات نیست، بلکه تنها مبنایی است که بر اساس آن یک بنر کوکی اصلاً هدف خود را برآورده میکند.