Οµάδα εργασίας για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα. Σύσταση 1/99

Transcript

1 5093/98/EL/final WP 17 Οµάδα εργασίας για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδοµένων προσωπικού χαρακτήρα Σύσταση 1/99 Για τη µη αντιληπτή και αυτόµατη επεξεργασία δεδοµένων προσωπικού χαρακτήρα στο Internet που γίνεται από το λογισµικό και υλικό Εγκρίθηκε από την οµάδα εργασίας στις 23 Φεβρουαρίου 1999

2 Σύσταση 1/99 Για τη µη αντιληπτή και αυτόµατη επεξεργασία δεδοµένων προσωπικού χαρακτήρα στο Internet που γίνεται από το λογισµικό και υλικό Εγκρίθηκε από την οµάδα εργασίας στις 23 Φεβρουαρίου 1999 Η ΟΜΑ Α ΕΡΓΑΣΙΑΣ ΓΙΑ ΤΗΝ ΠΡΟΣΤΑΣΙΑ ΤΩΝ ΦΥΣΙΚΩΝ ΠΡΟΣΩΠΩΝ ΕΝΑΝΤΙ ΤΗΣ ΕΠΕΞΕΡΓΑΣΙΑΣ Ε ΟΜΕΝΩΝ ΠΡΟΣΩΠΙΚΟΥ ΧΑΡΑΚΤΗΡΑ που ιδρύθηκε µε βάση την οδηγία 95/46/EΚ του Ευρωπαϊκού Κοινβουλίου και του Συµβουλίου στις 24 Oκτωβρίου 1995, Λαµβάνοντας υπόψη: τα άρθρα 29 και 30 παράγραφος 3 της εν λόγω οδηγίας, τους κανόνες διαδικασίας και συγκεκριµένα τα άρθρα 12 και 14, ΕΞΕ ΩΣΕ ΤΗΝ ΠΑΡΟΥΣΑ ΣΥΣΤΑΣΗ: 1. Η οµάδα εργασίας ενθαρρύνει τη βιοµηχανία λογισµικού και υλικού να επεξεργάζεται προϊόντα Internet που σέβονται την ιδιωτική ζωή και προσφέρουν τα απαραίτητα µέσα για την τήρηση των ευρωπαϊκών κανόνων προστασίας δεδοµένων. Απαραίτητη προϋπόθεση για τη νόµιµη επεξεργασία των δεδοµένων προσωπικού χαρακτήρα αποτελεί η γνωστοποίησή τους στο φυσικό πρόσωπο στο οποίο αναφέρονται. Για το λόγο αυτό, η οµάδα εργασίας ασχολείται, κυρίως, µε όλες εκείνες τις µορφές επεξεργασίας που εκτελούνται προς το παρόν στο Internet από το λογισµικό και υλικό εν αγνοία των ενδιαφεροµένων και εποµένως κατά τρόπο που δεν γίνεται αντιληπτός από αυτούς. Τυπικά παραδείγµατα παρόµοιας µη αντιληπτής επεξεργασίας αποτελούν το επονοµαζόµενο chattering σε επίπεδο HTTP 1, οι αυτόµατες υπερσυνδέσεις (hyperlinks) µε τρίτους, το ενεργητικό περιεχόµενο (Java, ActiveX ή άλλες τεχνολογίες επαφής που βασίζονται στους πελάτες) και ο µηχανισµός των cookies, όπως αυτός εφαρµόζεται προς το παρόν από τους συνήθεις φυλλοµετρητές. 2. Τα προϊόντα λογισµικού και υλικού που χρησιµοποιούνται στο Internet θα πρέπει να προσφέρουν στους χρήστες του Internet πληροφορίες για τα προς συλλογή, 1 Αυτό σηµαίνει ότι οι πληροφορίες που αποστέλλονται µε τη µορφή αιτήµατος http είναι περισσότερες από εκείνες που απαιτούνται για την επαφή µε τον εξυπηρετητή. 2

3 αποθήκευση ή διαβίβαση δεδοµένα καθώς και το σκοπό για τον οποίο κάτι τέτοιο είναι απαραίτητο. Τα προϊόντα λογισµικού και υλικού στο Internet θα πρέπει επίσης να επιτρέπουν στο χρήστη δεδοµένων να έχει εύκολη πρόσβαση, σε ένα µεταγενέστερο στάδιο, σε όλα τα δεδοµένα που συλλέγονται και αφορούν αυτόν τον ίδιο. Για παράδειγµα: - Στην περίπτωση του φυλλοµετρητή αυτό σηµαίνει ότι, κατά την παγίωση σύνδεσης µε ένα εξυπηρετητή web (είτε µε την αποστολή αιτήµατος είτε µε την παραλαβή µιας σελίδας Web), ο χρήστης θα ενηµερώνεται για το ποιες ακριβώς πληροφορίες πρόκειται να µεταφερθούν και για ποιούς σκοπούς. - Στην περίπτωση των υπερσυνδέσεων (hyperlinks) που αποστέλλονται από µια θέση web σε ένα χρήστη µε οποιοδήποτε τρόπο, αυτό σηµαίνει ότι ο φυλλοµετρητής του χρήστη θα τις αποκαλύπτει σε όλους τους χρήστες. - Στην περίπτωση των cookies, ο χρήστης θα πρέπει να ενηµερώνεται για το πότε πρόκειται να παραληφθεί ένα cookie, να αποθηκευθεί ή να αποσταλεί από το λογισµικό του Internet. Στο µήνυµα θα πρέπει να διευκρινίζεται, σε µια γενικά κατανοητή γλώσσα, ποιες ακριβώς πληροφορίες πρόκειται να αποθηκευθουν στο cookie, για ποιο σκοπό καθώς και για πόσο καιρό θα είναι έγκυρο το cookie. 3. Η διασύνδεση προϊόντων υλικού και λογισµικού δεν θα πρέπει, εξ ορισµού, να επιτρέπει τη συλλογή, αποθήκευση ή αποστολή µόνιµων πληροφοριών για τους πελάτες 2. Για παράδειγµα: - O φυλλοµετρητής θα πρέπει, εξ ορισµού, να διασυνδέεται κατά τρόπο ώστε να υποβάλλεται σε επεξεργασία µόνο ένα ελάχιστο ποσό πληροφοριών που είναι απαραίτητο για την παγίωση σύνδεσης µε το Internet. Τα cookies δεν θα πρέπει, εξ ορισµού, να αποστέλλονται ή να αποθηκεύονται. - Ο φυλλοµετρητής που είναι προγραµµατισµένος να αποθηκεύει και να αποστέλλει δεδοµένα για τα στοιχεία του χρήστη και την επικοινωνιακή συµπεριφορά του (profile), δεν θα πρέπει, κατά την εγκατάστασή του, να συµπληρώνεται αυτόµατα µε τα δεδοµένα που είχαν αποθηκευθεί σε ένα προηγούµενο στάδιο στον εξοπλισµό του χρήστη. 2 Μόνιµες πληροφορίες για τους πελάτες:πρόκειται για ένα τεχνικό και όχι νοµικό όρο που αφορά τις πληροφορίες που συνδέονται µε τον πελάτη (ο προσωπικός υπολογιστής του χρήστη) και παραµένουν στον εξοπλισµό του υπολογιστή περισσότερο από όσο διαρκεί µια συνεδρία. Η συνεδρία αρχίζει όταν ένας πελάτης ζητήσει µια σελίδα από µια συγκεκριµένη θέση (site) στο Web και ολοκληρώνεται όταν ο πελάτης αποφασίσει να κλείσει το φυλλοµετρητή ή τον υπολογιστή ή όταν ζητήσει µια σελίδα από µια άλλη θέση στο Web. Τα cookies αποτελούν τυπικές µορφές µόνιµων πληροφοριών για τους πελάτες, και το ίδιο ισχύει για τις προτιµήσεις που αφορούν την ιδιωτική ζωή. 3

4 4. Τα προϊόντα λογισµικού και υλικού του Internet θα πρέπει να επιτρέπουν στο πρόσωπο στο οποίο αναφέρονται τα δεδοµένα προσωπικού χαρακτήρα να αποφασίζει ελεύθερα για την επεξεργασία τους, προσφέροντάς του µέσα φιλικά στο χρήστη προκειµένου να φιλτράρει (πχ να διαγράψει ή να τροποποιήσει) την παραλαβή, την αποθήκευση ή την αποστολή µόνιµων πληροφοριών για τους πελάτες, µε βάση ορισµένα κριτήρια (συµπεριλαµβανοµένων των profiles, του τοµέα ή των στοιχείων του εξυπηρετητή στο Internet, το είδος και τη διάρκεια των συλλεγόµενων, αποθηκευόµενων ή αποστελλόµενων πληροφοριών και ούτω καθεξής). Ο χρήστης θα πρέπει να έχει σαφείς οδηγίες όσον αφορά τη χρήση του λογισµικού και υλικού για την εφαρµογή αυτών των εναλλακτικών δυνατοτήτων και µέσων. Για παράδειγµα: - Αυτό σηµαίνει ότι φυλλοµετρητής θα πρέπει να προσφέρει εναλλακτικές δυνατότητες ούτως ώστε ο χρήστης να µπορεί να διασυνδέσει κατάλληλα το φυλλοµετρητή, διευκρινίζοντας ποιες ακριβώς πληροφορίες θα πρέπει ή δεν θα πρέπει να συλλέγονται και διαβιβάζονται από το φυλλοµετρητή. - Στην περίπτωση των cookies αυτό σηµαίνει ότι ο χρήστης θα πρέπει να έχει σε µόνιµη βάση τη δυνατότητα να αποδέχεται ή να απορρίπτει την αποστολή ή αποθήκευση ενός cookie συνολικά. Επίσης, ο χρήστης θα πρέπει να έχει εναλλακτικές δυνατότητες προκειµένου να καθορίζει ποιες πληροφορίες θα πρέπει να διατηρούνται ή να αποµακρύνονται από ένα cookie, σε συνάρτηση για παράδειγµα µε την περίοδο ισχύος του cookie ή την αποστολή και παραλαβή θέσεων (sites) στο Web. 5. Τα προϊόντα λογισµικού και υλικού του Internet θα πρέπει να επιτρέπουν στους χρήστες να αποµακρύνουν τις µόνιµες πληροφορίες για τους πελάτες µε έναν απλό τρόπο και χωρίς να εµπλέκεται ο αποστολέας. Ο χρήστης θα πρέπει να λαµβάνει σαφείς οδηγίες για το πώς να κάνει κάτι τέτοιο. Εαν οι πληροφορίες δεν µπορούν να αποµακρυνθούν, τότε θα πρέπει να υπάρχει ένας αξιόπιστος τρόπος παρεµπόδισης της µεταφοράς ή της ανάγνωσής τους. - Τα cookies και άλλες µόνιµες πληροφορίες θα πρέπει να αποθηκεύονται κατά ένα τυποποιηµένο τρόπο και να µπορούν εύκολα και επιλεκτικά να διαγραφούν από τον υπολογιστή του χρήστη. ΓΕΝΙΚΟ ΠΛΑΙΣΙΟ Προς το παρόν είναι σχεδόν αδύνατο να χρησιµοποιήσει κάποιος το Internet χωρίς να έρθει αντιµέτωπος µε τα στοιχεία εκείνα που παραβιάζουν την ιδιωτική ζωή µια και η διεξαγωγή όλων των µορφών επεξεργασίας δεδοµένων προσωπικού χαρακτήρα γίνεται εν αγνοία του φυσικού προσώπου στο οποίο αυτά αναφέρονται. Με άλλα λόγια, ο χρήστης του Internet δεν γνωρίζει ότι έχουν συγκεντρωθεί στοιχεία που τον/την αφορούν, τα οποία υποβάλλονται σε περαιτέρω επεξεργασία και πιθανώς να 4

5 χρησιµοποιηθούν για σκοπούς άγνωστους σ αυτόν/αυτήν. Το πρόσωπο στο οποίο αναφέρονται αυτά τα δεδοµένα δεν έχει γνώση της πραγµατοποιούµενης επεξεργασίας και δεν έχει την ελευθερία να αποφασίσει γι αυτήν. Ένα παράδειγµα αυτού του είδους τεχνικής είναι το επονοµαζόµενο cookie, το οποίο µπορεί να χαρακτηριστεί ως µια καταγραφή των πληροφοριών που αποστέλλονται από έναν εξυπηρετητή web στον υπολογιστή ενός χρήστη µε σκοπό τη µελλοντική αναγνώριση του εν λόγω υπολογιστή όταν θα επισκεφθεί ξανά την ίδια θέση στο web. Οι φυλλοµετρητές είναι προγράµµατα λογισµικού ειδικά σχεδιασµένα, µεταξύ άλλων, προκειµένου να παρουσιάζουν υλικό που είναι διαθέσιµο στο Internet. Οι φυλλοµετρητές εξασφαλίζουν την επικοινωνία µεταξύ του υπολογιστή του χρήστη (πελάτης) και του αποµακρυσµένου υπολογιστή στον οποίο βρίσκεται αποθηκευµένη η πληροφορία (εξυπηρετητής Web). Οι φυλλοµετρητές συχνά αποστέλλουν περισσότερες πληροφορίες στον εξυπηρετητή Web από ό,τι είναι απαραίτητο για την παγίωση της επικοινωνίας. Οι κλασικοί φυλλοµετρητές αποστέλλουν αυτόµατα στον εξυπηρετητή Web που επισκέπτονται, τον τύπο και τη γλώσσα του φυλλοµετρητή, το όνοµα των άλλων προγραµµάτων λογισµικού που είναι εγκαταστηµένα στον προσωπικό υπολογιστή του χρήστη και το λειτουργικό σύστηµα, τη σελίδα αναφοράς, τα cookies κλπ. Παρόµοια δεδοµένα µπορούν επίσης να διαβιβάζονται συστηµατικά σε τρίτους από το φυλλοµετρητή, χωρίς αυτό να γίνεται αντιληπτό. Οι εν λόγω τεχνικές επιτρέπουν τη δηµιουργία "clicktrails" για το χρήστη του Internet. Τα "clicktrails" αποτελούνται από πληροφορίες που αφορούν τη συµπεριφορά ενός φυσικού προσώπου, την αναγνώριση της ταυτότητάς του, την πορεία ή τις επιλογές του όταν επισκέπτεται µια θέση στο web. Περιέχουν τις συνδέσεις που έχει ακολουθήσει ένας χρήστης και οι οποίες έχουν καταγραφεί στον εξυπηρετητή web. Οι ευρωπαϊκές οδηγίες για την προστασία των δεδοµένων προσωπικού χαρακτήρα 95/46/EΚ και 97/66/EΚ περιέχουν αναλυτικές διατάξεις για την προστασία των φυσικών προσώπων οσον αφορά την προστασία των δεδοµένων προσωπικού χαρακτήρα. Και οι δυο οδηγίες αφορούν τα θέµατα που θίγονται στην παρούσα σύσταση επειδή τα δεδοµένα προσωπικού χαρακτήρα που αφορούν τους χρήστες του Internet υποβάλλονται σε επεξεργασία στο πλαίσιο αυτό. Τα cookies ή οι φυλλοµετρητές µπορούν να περιέχουν ή να επεξεργάζονται περαιτέρω δεδοµένα τα οποία επιτρέπουν την άµεση ή έµµεση αναγνώριση του επιµέρους χρήστη του Internet. Η εφαρµογή των διατάξεων για τη δίκαιη και ισότιµη επεξεργασία, την ύπαρξη βάσιµων λόγων για την επεξεργασία των δεδοµένων προσωπικού χαρακτήρα και το δικαίωµα του φυσικού προσώπου στο οποίο αναφέρονται τα δεδοµένα αυτά να αποφασίζει για την επεξεργασία τους, οδήγησαν στην έκδοση της παραπάνω σύστασης. Η οµάδα εργασίας ασχολείται ειδικά µε τους εγγενείς κινδύνους που συνεπάγεται η επεξεργασία των δεδοµένων προσωπικού χαρακτήρα για τα πρόσωπα στα οποία τα δεδοµένα αυτά αναφέρονται και τα οποία αγνοούν εντελώς την ύπαρξη αυτής της επεξεργασίας. Οι σχεδιαστές λογισµικού και υλικού καλούνται, εποµένως, να 5

6 λαµβάνουν υπόψη τους και να τηρούν τις αρχές των εν λόγω οδηγιών προκειµένου να ενισχυθεί η προστασία της προσωπικής ζωής των χρηστών του Internet. Βρυξέλλες, 23 Φεβρουαρίου 1999 Για την οµάδα εργασίας Ο Πρόεδρος Peter HUSTINX 6