Ciężar spoczywa na Tobie
Art. 7 ust. 1 RODO to jedno zdanie: jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę. Kładzie ciężar dowodu na stronę, nie na odwiedzającego i nie na organ. W praktyce organ nadzorczy zadaje proste pytanie, „pokaż mi zgodę tej osoby z tego dnia”, a uczciwe odpowiedzi to albo rekord, albo wzruszenie ramion. Baner, który wyświetlił wybór, ale niczego nie zapisał, to wzruszenie ramion.
Wytyczne EROD dotyczące zgody (05/2020) opisują, jak wygląda wykazanie w kontekście online. Administrator powinien przechowywać informacje o sesji, w której udzielono zgody, dokumentację ówczesnego procesu zgody oraz kopię informacji pokazanych osobie. Trzy rzeczy: zdarzenie, proces, słowa. Większość logów zgód przechowuje pierwsze, niektóre drugie, prawie żaden trzeciego, a właśnie na trzecim rekord rozsypuje się przy przesłuchaniu: „co dokładnie im powiedzieliście?”
Pięć pytań, na które odpowiada rekord
Sprowadź wytyczne do sedna, a obronny rekord odpowiada na pięć pytań: kto wyraził zgodę, kiedy, co mu powiedziano, jak to zasygnalizował i czy później wycofał zgodę. Oto rzeczywisty kształt rekordu, pole po polu.
- Kto. Pseudonimowy identyfikator, który łączy rekord z przeglądarką, z której pochodzi, i z późniejszymi wycofaniami. Nie adres IP, nie user agent, nie nazwisko: żadne z nich nie jest potrzebne do udowodnienia zgody, a każde zamienia log w drugi zbiór danych osobowych, który musisz teraz chronić.
- Kiedy. Znacznik czasu ze strefą czasową, z serwera, nie z zegara przeglądarki.
- Co im powiedziano. Wersja banera i hash dokładnych pokazanych tekstów, w pokazanym języku. Przy niezmiennej wersji hash wystarcza, by odtworzyć ekran rok później.
- Jak to zasygnalizowali. Akceptuj wszystko, odrzuć wszystko albo własny wybór, z wynikającymi kategoriami. Obowiązujący reżim (opt-in w UE, opt-out w USA) i kraj, bo to samo kliknięcie znaczy co innego pod różnymi regułami.
- Czy wycofali zgodę. Wycofanie to osobny rekord, powiązany łańcuchem ze zgodą, którą uchyla, więc historia wyborów danej osoby czyta się po kolei.
Jak długo przechowywać
Stanowisko EROD jest takie, że obowiązek wykazania zgody trwa tak długo, jak przetwarzanie, które obejmuje, a potem dowód nie powinien być przechowywany dłużej, niż jest to potrzebne do wypełnienia obowiązku prawnego albo do ustalenia, dochodzenia lub obrony roszczeń. W RODO nie ma stałej liczby. W praktyce oznacza to: przechowuj rekord, dopóki opierasz się na zgodzie, a potem przez okres przedawnienia w Twoim kraju, który w Niemczech wynosi trzy lata od końca roku, w którym powstało roszczenie, a we Francji pięć lat. Dlatego log „12 miesięcy” jest cienki dla strony firmowej i dlatego płatne plany CookieCrumbs przechowują rekordy przez 60 miesięcy. Free przechowuje 12, a każdy rekord można wyeksportować, zanim wygaśnie.
Dlaczego rekord musi być odporny na manipulację
Log, który jego właściciel może edytować, dowodzi tylko tego, że właściciel jest uczciwy. Nie o to pyta organ nadzoru ani strona sporu. Dwa mechanizmy, które czynią log zgód dowodem, a nie twierdzeniem, są tanie i stare: połączyć rekordy w łańcuch i podpisać eksport.
Łańcuch oznacza, że każdy rekord niesie hash poprzedniego rekordu. Zmień lub usuń dowolny rekord, a każdy kolejny hash przestaje się zgadzać, co wykryje każdy, kto ma plik. Podpis oznacza, że eksportowi towarzyszy sygnatura jego zawartości, wykonana kluczem, którego publiczna połowa jest opublikowana, więc strona trzecia może zweryfikować, że plik opuścił nasze systemy dokładnie w tej postaci, nie ufając ani Tobie, ani nam. Razem zamieniają „mamy logi” w „oto plik, który możesz sprawdzić”.
Co CookieCrumbs przechowuje, a czego odmawia
Każda decyzja na banerze CookieCrumbs staje się rekordem z powyższymi polami, połączonym łańcuchem z poprzednim, we Frankfurcie. Eksporty są podpisane i dostępne jako CSV lub JSON, per strona lub per osoba, z panelu, CLI (cookiecrumbs logs export) lub API. Żądania usunięcia są realizowane przez tombstone’y: dane osoby są usuwane, a łańcuch pozostaje weryfikowalny.
To, czego odmawiamy przechowywać, jest równie ważne. Żadnego adresu IP obok rekordu, żadnego user agenta, żadnego nazwiska. Identyfikator zgody jest pseudonimowy i mieszka w przeglądarce odwiedzającego. Dzięki temu sam log nie staje się obciążeniem i to ta decyzja projektowa pozwala nam mówić, że rekordy nigdy nie muszą opuszczać UE: nie ma w nich niczego, o co warto byłoby się spierać przy transferze. Przewodnik po rekordach zgód zawiera listę pól i kroki weryfikacji.