Мало какое судебное решение так непосредственно изменило практику работы баннеров cookie в Европе, как решение Суда Европейского Союза (Суда ЕС) от 1 октября 2019 года по делу против компании Planet49 (дело C-673/17). То, что поначалу выглядело второстепенным вопросом из онлайн-розыгрыша, превратилось в принципиальное решение о том, что вообще делает согласие на cookie действительным.
Обстоятельства дела были непримечательными: Planet49 проводила онлайн-розыгрыш призов и показывала участникам два флажка. Один из них — уже заранее отмеченный — касался согласия на установку рекламными партнёрами cookie в маркетинговых целях. Другой, который нужно было отметить отдельно, касался передачи персональных данных спонсорам для маркетинга по телефону или электронной почте. Тот, кто хотел участвовать в розыгрыше, должен был активно отметить второй флажок, а первый — уже отмеченный — мог просто оставить как есть, даже не заметив его сознательно.
Федеральная судебная палата Германии (BGH) направила этот вопрос в Суд ЕС: достаточно ли уже отмеченного флажка, чтобы считаться согласием по смыслу Директивы ePrivacy? Ответ суда был однозначным: нет. Согласие предполагает активное, осознанное действие пользователя — флажок, который пользователь должен отметить сам, чтобы согласиться, а не такой, который ему пришлось бы снять, чтобы НЕ согласиться. Различие между «активно согласиться» и «не возразить» — это как раз то различие, вокруг которого строилась история Директивы ePrivacy начиная с 2009 года, и Суд ЕС подтвердил тем самым, что это ужесточение действительно предполагалось воспринимать всерьёз.
Примечательным был второй момент решения: Суд ЕС разъяснил, что для самого требования о согласии не имеет значения, представляет ли информация, сохранённая в cookie, персональные данные по смыслу GDPR. Директива ePrivacy защищает уже сам доступ к конечному устройству как таковой — независимо от того, что именно в итоге сохраняется по содержанию. Это было важным разъяснением, поскольку некоторые поставщики услуг ранее утверждали, что псевдонимные или чисто технические идентификаторы вообще не подпадают под требование о согласии.
В-третьих, суд потребовал, чтобы пользователи перед дачей согласия конкретно информировались о сроке действия cookie и о том, получают ли к ним доступ третьи лица. Общая, расплывчато сформулированная информация с тех пор недостаточна — описания cookie должны быть настолько конкретными, чтобы пользователь действительно мог оценить, на что он соглашается.
Практические последствия решения ощущались немедленно: заранее отмеченные флажки исчезли из европейских баннеров cookie, кнопки «Принять» должны были активироваться настоящим, осознанным кликом, а категоризация cookie с точными указаниями цели и срока хранения стала стандартом. Органы по защите данных в нескольких государствах-членах пересмотрели собственные рекомендации сразу вслед за этим решением, и с тех пор оно служит ориентиром в многочисленных последующих делах — например, при рассмотрении вопроса о том, нарушает ли баннер, в котором кнопку «Отклонить» намеренно сделать труднее найти, чем «Принять», то же требование свободного, недвусмысленного решения.
Дело Planet49 наглядно показывает, как одно судебное разбирательство переводит абстрактные требования текста закона в конкретные технические требования — и почему баннер cookie сегодня выглядит именно так, а не так, как это было принято до 2019 года.
Примечательно также, насколько быстро эффект решения распространился далеко за пределы самого спора: хотя формально оно лишь разъясняло толкование Директивы ePrivacy применительно к конкретному немецкому судебному делу, надзорные органы по всей Европе стали ориентироваться на ту же линию — свидетельство того, насколько сильно одно-единственное решение Суда ЕС способно повлиять на практику далеко за пределами исходного разбирательства.