בהחלטת הרגולטור הצרפתי נאמר כי בשני המקרים לא נמסר לגולשים המידע המחויב אודות המזהים הדיגיטליים בהם נעשה שימוש, דרך היישום שלהם, המידע הנאסף והשימושים בו. זאת כאשר משתמשים במנוע החיפוש google.fr ובאתר amazon.fr.

הרגולטור הצרפתי נימק בהחלטתו כי יש לו סמכות להטיל את הקנסות נגד שתי ענקיות האינטרנט, מאחר שמדובר במזהים דיגיטליים, המוצבים על-ידי החברות, במחשבים של משתמשים הגרים בצרפת. עוד נימקה הרשות הצרפתית כי מנגנון שיתוף הפעולה של ה-GDPR לא חל כאן, מכיוון שהפעולות הקשורות למזהים הדיגיטליים נופלות תחת הוראת הפרטיות ביחס לשימוש בכלים אלקטרוניים, שהועברה בסעיף 82 לחוק הגנת הנתונים בצרפת. נימוק נוסף לביסוס הצרפתי מבוסס על הטענה, כי השימוש ב'עוגיות' מתבצע במסגרת הפעילות של גוגל צרפת, פעילות הבאה לידי ביטוי עם הקמתן של החברות Google LLC ו- Google Ireland Ltd בשטח צרפת ואשר מקדם את המוצרים והשירותים שלהם.

הפוסט הרגולטור בצרפת: גוגל ואמזון הפרו את ההוראות ביחס למזהים דיגיטליים ('cookies') הופיע ראשון בדן חי ברשת

הרשות vרחיבה והקשיחה עוד את הדרישות השונות ביחס ל-cookies הנגזרות מהתקנות האירופיות להגנת מידע (GDPR), וזאת לאחר שורה של פרסומים שונים בשנה האחרונה מצד רגולטורים באירופה ביחס לאיסור על שימוש ב-Cookie walls (הניצנים הראשונים לזניחת גישת ה-take it or leave it אשר עודנה שכיחה במחוזות מסוימים).

כעת, מורה הרשות הצרפתית על שורה של פעולות והוראות שאתרי האינטרנט יצטרכו לבצע על-מנת לאסוף הסכמות לצורך עיבוד מידע, כך שאם עד כה אספו מידע בקלות, כעת, יצטרכו לעבור משוחות נוספות אשר יקשו ויגבילו אותן לבצע זאת.

הקושי יתבטא בעיקר בפרוצדורה החדשה הנדרשת לשם שיקוף המטרות לשמן נאסף המידע ומתן אפשרויות מודולריות לסירוב לאיסוף מידע – דבר שיובל להגנת רחבה יותר על פרטיות המשתמשים ברחבי המדיה הדיגיטלית.

להלן עיקר קובץ ההנחיות שפרסמה הרשות להגנת הפרטיות בצרפת עבור אותם אתרים האוספים והמעוניינים לאסוף מידע אודות משתמשים :

1. חובה לשלוח הודעה ביחס למטרות עיבוד המידע כבר בשכבת ה-UI (User interface) הראשונה באתר או באמצעות פלטפורמה אחרת, עם לינק נגיש וקל למדיניות מפורטת יותר.
2. טרם מתן הסכמה של גולש, חובה לשקף את כלל 'בעלי השליטה במידע' אשר עתידים לשלוט ולהשתמש במידע. קרי, ללא שיקוף של אותן ישויות השולטות במידע, ההסכמה לא תהא תקפה.
3. אם מפעיל האתר מחליט לשלב אפשרות של 'מסכים להכל' בנוסח איסוף ההסכמה הראשוני ל-cookies, אזי מורה הרשות על חובה לשלב  במקביל גם אפשרות לסמן 'מסרב להכל'.
4. בהקשר דומה לסעיף 3 לעיל, גולש יכול להסכים לאגד של מטרות בסימון יחיד, אולם חובה לאפשר למשתמשים לסרב או להסכים למטרות שונות באופן פרטני.
5. ביחס לתוקף ההסכמה – הרשות ממליצה על רענון ההסכמה שניתנה לאחר תקופה של כ- 6 חודשים, קרי – עשויות לעלות טענות כי לאחר משך זה, אם לא נתקבלה הסכמה חדשה – הקודמת איבדה מתוקפה.
6. הרחבת ההגדרה של "מיקום מדויק" – די בכך שבעל השליטה מחזיק במידע אודות העיר שבה נמצא משתמש, כדי לקבוע כי מדובר בנתוני מיקום העולים כדי 'מיקום מדויק'. נראה כי התייחסות זו נועדה להגביל את יכולת השימוש בנתוני מיקום שאינם נגזרים מ-GPS, אלא גם מנתוני מעקב והצלבות שניתן לעשות באמצעות ה-Cookies עצמן (החל מקריאת ה-IP ועד לזיהוי העדפות המעידות על עיר מגורים). הקשחה זו תחייב את בעלי האתרים לציין כי הם אוספים מיקום מדויק של גולשים, ובעת הצורך לקבל הסכמה לכך.

אמנם, בקריאה ראשונה נדמה כי ההיגיון הבריא שזור כחוט השני בהנחיית הרשות הצרפתית. אולם – ההנחיה מדגישה את המתח התמידי הקיים בין הקשחה רגולטורית להגבלת תפעולו של השוק החופשי.

כן, כפי שכבר נוכחנו לראות בהנחיות קודמות הנוגעות בעולם הפרטיות, נראה כי הקווים המנחים שפרסמה הרשות הצרפתית עשויים לחלחל כסטנדרט ולהשפיע על יתר מדינות האיחוד האירופי, וגם על אלו הרוצות בהשוואת הסטנדרט לזה האירופי.

הפוסט צרפת: הרשות להגנת הפרטיות מפרסמת קובץ הנחיות המקשה על פעולת איסוף המידע ברחבי המדיה הופיע ראשון בדן חי ברשת

קביעה זו הגיעה בסופו של מאבק משפטי ממושך, אשר החל בעקבות סירובה של גוגל ליישם הוראה של הרגולטור הצרפתי להגנה על מידע (CNIL), לפיה על גוגל להסיר לינקים מתוצאות החיפוש בכל גרסאות מנועי החיפוש בעולם, ולא רק באלה האירופיות. בעקבות הסירוב, הרשות קנסה את גוגל בכ-100,000 אירו, וזו ערערה לבית הדין האירופי לצדק, אותו גוף שהחיל את הזכות להישכח ברחבי האיחוד לפני כחמש שנים.

בתחילת ההליך המשפטי ניסו הצדדים לברר האם ניתן לפרש את כוונת חוקי האיחוד האירופי ככאלה המחייבים כל מפעיל מנוע חיפוש ליישם בקשה להישכח בכל מדינות העולם, בכל מדינות האיחוד האירופי או רק במדינה שבה מתגורר המבקש להישכח. לטענת גוגל, הזכות להישכח לא בהכרח דורשת שקישורים אלה יוסרו בלי הגבלה גיאוגרפית מכל מנועי החיפוש שלה, כשמנגד הטענה הבולטת היא כי כל אדם באירופה נגיש לשימוש ב-VPN המאפשר גישה למידע הזמין במדינות אחרות.

בית הדין ציין כי מדינות רבות אינן מכירות בזכות להישכח ואינן נוקטות גישה למימוש זכות זו. עוד ציין כי הזכות להגנה על נתונים אישיים היא לא זכות אבסולוטית, וכי יש לשקול אותה ביחס לתפקידה בחברה כך שיווצר איזון בינה לבין זכויות בסיסיות אחרות.

לבסוף הוכרע כי לא ניתן ללמוד מהחוק האירופי על כוונתו למימוש הזכות להישכח מחוץ לגבולות האיחוד האירופי, וכן לא נראה שהוא התכוון לכפות על מפעיל כמו גוגל, לחייב את מימושה של הזכות להישכח בגרסאות חוץ-אירופיות של מנוע החיפוש שלו. יתרה מזו, צוין כי החוק באיחוד האירופי לא מספק התייחסות לכל הקשור ביישום הזכות להישכח מחוץ לאיחוד האירופי.

הפוסט ניצחון לגוגל: "הזכות להישכח" לא תיושם מחוץ לאירופה הופיע ראשון בדן חי ברשת

מדובר בעדכון הנחיה צרפתית ישנה (מס' 2013-378) הקיימת משנת 2013, והמיועדת, כאמור לאחר העדכון, לעמוד בקנה אחד עם הוראות תקנות הגנת המידע האירפאיות החדשות (להלן "GDPR").

ההנחיות החדשות חלות על כל סוגי הפעולות הכרוכות בשימוש בקבצי קוקיז ודומיהם, בכל סוג של מכשיר טכנולוגי, לרבות סמארטפונים, מחשבים, כלי רכב וכל מכשיר טכנולוגי אחר המחובר לרשת אינטרנט הפתוחה לקהל הרחב.

על פי ההנחיות הצרפתיות החדשות, המשך גלישה באתר אינטרנט, לאחר שהאתר הציג 'באנר' או 'הודעה דביקה' (המשמשים לצורך יידוע המשתמשים בדבר השימוש הנעשה באמצעות קבצי קוקיז) – לא תחשב עוד כהסכמה תקפה. מפעילי אתרים/אפליקציות אשר משתמשים בקבצי קוקיז לצורך איסוף דאטה, יצטרכו להוכיח שהם קיבלו לכך הסכמה מפורשת מהמשתמש.

ההנחיות החדשות עוד מבהירות, כי מפעילי אתרים/אפליקציות אינם רשאים עוד להשתמש בקבצי קוקיז ודומיהם לצורכי מעקב, עד אשר המשתמש הביע הסכמתו באופן חופשי, ספציפי וחד משמעי. כך, ועל מנת שההסכמה תהא חוקית ותקפה, על מפעילי האתרים/אפליקציות למלא, בזהירות רבה, את התנאים הבאים:

1. הסכמה מרצון – אסור לגרום למשתמשים לאי נוחות ביחס לגלישה באתר או לשימוש באפליקציה, כאשר הם מסרבים לתת את הסכמתם. הנוהג הקיים של חסימת הגישה להמשך גלישה באתר ו/או לשימוש באפליקציה, כל זמן שלא ניתנה הסכמה לשימוש בקבצי הקוקיז – אינו תואם את הוראות ה-GDPR;
2. הסכמה ספציפית – על המשתמש לתת את הסכמתו באופן פרטני עבור כל מטרה בנפרד. הסכמה כללית לתנאי שימוש כלליים איננה מקובלת עוד;
3. הסכמה חד משמעית – ההסכמה צריכה להינתן בכפוף לפעולה אקטיבית של המשתמש. מצבים של המשך גלישה באתר ו/או שימוש באפליקציה ו/או גלילה מטה, לצד הודעה של מפעיל האתר אודות השימוש הנעשה בקבצי קוקיז – לא יהוו עוד הסכמות תקפות;
4. זכות ביטול – למשתמשים צריכה להיות האפשרות לבטל את הסכמתם בכל עת שיחפצו. לפיכך, יש ליישם פתרונות פרקטיים ופשוטים בכדי לאפשר זאת;
5. יידוע משתמשים – מידע אשר נמסר למשתמשים חייב להיות כתוב בצורה ברורה ופשוטה, וזאת כדי לאפשר למשתמשים לקבל מידע מלא ומקיף על המטרות השונות, ביחס לשימוש הנעשה באמצעות השימוש בקבצי קוקיז. בתוך כך, המידע נדרש להופיע בצורה מלאה, גלויה וברורה בעת קבלת ההסכמה;
6. ניהול הסכמות – כל הארגונים/חברות אשר מפעילים קבצי קוקיז, ידרשו להראות, בכל עת, את הסכמת המשתמשים לפעולות איסוף המידע.

יחד עם זאת, ההנחיות החדשות אינן דורשות קבלת הסכמה ספציפית וחד משמעית, כפי שפרטנו בסעיפים 1-6 דלעיל, וזאת במצבים הבאים:

1. כאשר מפרסם של אתר או אפליקציה משתמש בקבצי קוקיז כדי למדוד תנועת גולשים אקראית או כדי לבדוק גרסאות שונות של האתר/אפליקציה;
2. כאשר משתמשים בקבצי קוקיז באופן בלעדי במטרה להקל על התקשורת המתבצעת באמצעים אלקטרוניים;
3. כאשר השימוש בקבצי קוקיז נדרש לספק שירות תקשורת אלקטרוני המתבקש על-ידי המשתמש.

למפעילי האתרים/אפליקציות יהיו שישה חודשים ליישום ההוראות, וזאת מרגע שיפורסמו ההנחיות הסופיות של ה-CNIL. כל שנותר כעת הוא להמתין לגרסה הסופית של ההנחיות לשימוש נכון בקבצי קוקיז, שככל הנראה ייכנסו לתוקף בראשית שנת 2020.

כל האמור לעיל מעלה תהיות רבות בדבר המידע הרב שכבר נאסף ונאגר אודות המשתמשים השונים. האם ניתן יהיה להמשיך לעשות שימוש במידע שנאסף בניגוד להוראות ההנחיה? האם ארגונים יאלצו לאסוף הסכמות חדשות? ומה תהיה ההשפעה על עולם השיווק?

פרשנות סבירה תאמר כי ההנחיה תחול באופן פרוספקטיבי ולא באופן רטרואקטיבי. כך או אחרת, תקנות ה-GDPR נכנסו לתוקף במאי 2018, כך שגם בפרשנות בה כן תהא תחולה רטרואקטיבית – היא תחול על השנה האחרונה ותו לא.

דבר אחד כן בטוח – כל עיבוד מידע הכולל מעקב (Trackers), ובכלל זה איסוף מידע אישי בדרך הניתנת לזיהוי, בין אם באופן ישיר (כתובת דוא"ל) או עקיף (קבצי קוקיז, כתובת IP, או מזהה אחר הנוצר על-ידי תוכנה או מערכת הפעלה) – מחייב עמידה בהוראות ה-GDPR.

הפוסט CNIL: הנחיה חדשה לשימוש בקבצי קוקיז הופיע ראשון בדן חי ברשת