Slo-Tech - Kot smo že pisali pred dvema tednoma, se je v Sloveniji pred kratkim izteklo petmesečno prehodno obdobje za zagotovitev skladnosti z novo ureditvijo piškotkov, ki ga je ob decembrski noveli Zakona o elektronskih komunikacijah predvidel zakonodajalec.
Zadnjič smo si ogledali (ne)skladnost spletnih strani najbolj eminentnih institucij slovenske države. Po dveh tednih je čas, da si ogledamo napredek.
Državni zbor nam še vedno takoj ob obisku postreže s štirimi piškotki, katerih namen ni pojasnjen, niti nismo o njih obveščeni, kaj šele, da bi za njihovo namestitev podali soglasje (na strani ni najti niti osnovne politike zasebnosti). V zadnjih štirinajstih dnevih niso naredili popolnoma nič.
Državni svet ima še vedno težave z izklopom privzetih sejnih piškotkov osnovne namestitve PHPja. Tudi v tem primeru namen ni pojasnjen, obvestila ni, soglasja ni, spremembe (oz. napredka) prav tako ne.
Tretje v vrsti je ustavno sodišče, ki spremembe zakona ravno tako ne priznava. Stran nas ob obisku počasti s privzetim PHP sejnim piškotkom. Google Analytics piškotke so v zadnjih štirinajstih dnevih izklopili. Če izberemo, da piškotkov ne želimo, nas stran obvesti, da [nas bodo] po dovoljenju povprašali pri vsakem nadaljnjem obisku spletnega mesta – vaše odločitve si brez piškotka spletno mesto žal ne more zapomniti. In seveda odločitev brez oklevanja zapiše v piškotek "scc-declined" v nasprotju z našo jasno izraženo voljo.
Če si za konec pogledamo še Uradni list, opazimo, da so v tem primeru upravljavci pokazali nekaj interesa po skladnosti z novo zakonodajo. Kljub temu nas takoj ob obisku stran počasti s piškotkom "i=OPT+OUT" ter privzetim PHP sejnim piškotkom PHPSESSID za katerega v svoji politiki zasebnosti trdijo, da ga uporabljajo za "začasno shranjevanje podatkov o prijavljenem uporabniku". V zadnjih štirinajstih dnevih tako niso spremenili ničesar.
Iz povedanega sledi, da očitno zakoni veljajo samo za nekatere. Medtem, ko vas večina slovenskih spletnih strani zadnje čase nadleguje z zelo nadležnimi opozorili, ki s svojim zanič oblikovanjem kazijo uporabniško izkušnjo, hrama slovenske demokracije tovrstni predpisi očitno ne ganejo.
Kdo ve, kako priti na seznam oseb, za katere slovenska zakonodaja ne velja?
Tudi druge strani kršijo zakon. Dejansko večina. Sicer na veliko sprašujejo če se strinjaš, ampak piškotke ti naložijo tudi če ne klikneš da se strinjaš.
Kaj ko bi si vi zakon prebrali? Sejni piškotki so dovoljeni brez privolitve. Prav tako so dovoljeni piškotki, ki so potrebni za delovanje obvestila o uporabi piškotkov. Pa še precej primerov uporabe je dovoljenih.
dotomaz - bravo točno to sem želel tudi sam povedati. Na spletni strani informacijske pooblaščenke je PDF dokument v katerem piše kateri piškotki so dovoljeni brez privolitve, za katere je potrebno samo obvestilo ter kateri niso dovoljeni brez privolitve.
Ta PDF... raje nebom reko kaj. Bi pa vaju LEPO prosil če mi napišeta kje v 157. členu ZEKom-1:
157. člen
(piškotki)
(1) Shranjevanje podatkov ali pridobivanje dostopa do podatkov, shranjenih v terminalski opremi naročnika ali uporabnika, je dovoljeno samo pod pogojem, da je naročnik ali uporabnik v to privolil potem, ko je bil predhodno jasno in izčrpno obveščen o upravljavcu in namenih obdelave teh podatkov v skladu z zakonom, ki ureja varstvo osebnih podatkov.
(2) Ne glede na določbe prejšnjega odstavka je dovoljeno tehnično shranjevanje podatkov ali dostop do njih izključno zaradi prenosa sporočila po elektronskem komunikacijskem omrežju, ali če je to nujno potrebno za zagotovitev storitve informacijske družbe, ki jo naročnik ali uporabnik izrecno zahtevata.
(3) Če je tehnično izvedljivo in učinkovito ter v skladu z zakonom, ki ureja varstvo osebnih podatkov, se šteje, da uporabnik lahko izrazi svojo privolitev iz prvega odstavka tega člena tudi z uporabo ustreznih nastavitev v brskalniku ali drugih aplikacijah. Privolitev uporabnika ali naročnika pomeni osebno privolitev v skladu z zakonom, ki ureja varstvo osebnih podatkov.
(4) Kadar gre za kršitev pravil o obveščanju in privolitvi posameznika iz prvega odstavka tega člena ter hkrati za kršitev zakona, ki ureja varstvo osebnih podatkov, se uporabljajo določbe tega zakona.
(5) Inšpekcijski nadzor nad izvajanjem določb tega člena opravlja informacijski pooblaščenec.
piše, da so sejni piškotki dovoljeni? Ne samo jaz, verjetno vama bo še marsikdo drug hvaležen!
To ne, piše pa, da je Informacijski urad tisti, ki je zadolžen za izvajanje zakona in da je IP inšpekcijski organ. Torej je zakon potrebno upoštevat točno v takšni meri, kot to pravi informacijski pooblaščenec. ZEKom-1 pa je katastrofa od zakona, vsaj 157. člen. Tisti, ki ga je pisal ni znal niti dobro prevajati, kaj da bi šele vedel o čem piše.
Sodišča, ki poznajo pravo, so se v drugo celo pokorila zakonodaji (seveda, ne v roku, ko je zakon pričel veljati).
Osebno mi je zanimiva tudi praksa IP RS, ki na prvo žogo (beri: bowling kroglo) skoraj praviloma ne oglobi pri sprejetju nove zakonodaje, za določene prekrške pa tudi na podlagi stare ne. Morda je tudi takšna permisivnost kriva, da jo poznamo bolj po komentarjih v raznih odmevnih aferah ter opletamo z njenim likom in delom.
Na slotechu dobim vsake toliko opozorilo za sprejem "zunanjega" piškotka. Ne vedno, ampak očitno zadostuje že link na kakšno drugo stran.
Implementacija cookie zakona na spletu pa je obupna in je imo posledica pujsaste interpretacije. Implementacija bi morala vsebovati zgolj (ne pop up) natančno predpisan disclaimer (obrazec), medtem ko bi za piškotke poenotili browserje - npr. po principu IE-ja. Predpisan disclaimer bi moral zgolj jasno opisovati namen strani (dejavnost) in pridobivanje podatkov. Uporabniki pa bi ob uporabi browserja lahko nastavljali kako se hendlajo piškotki:
@JohanP: Link prosim (do kjerkoli se ti to slučajno zgodi).
@DarkoB: A lahko to "mnenje" dobimo v obliki nečesa, na kar se bom lahko skliceval (en tak lep mnenjski PDF z glavo na vaši strani bi bil super, če že ne moremo dobit avtentične razlage). Večina slovenskih medijskih portalov ti bo hvaležna.
There can be no real freedom without the freedom to fail.
Meni se zdi, da bi Informacijski pooblaščenec RS potreboval nov logotip, ki bi bolje predstavljal njegovo delo in poslanstvo. Stari je dolgočasen in neinformativen, moj predlog ohranja barvno shemo in po mojem mnenju bistveno bolje ujame način dela, duha in poslanstvo tega urada:
Da ne govorimo o tem, da v ZEKom-1 nič ne piše kakšno privoljenje uporabnika bi moral pridobiti, če je vedno dovolj domnevno ali ne, izrecno privoljenje pa je tako ali tako njihova pogruntavščina, ker tudi tega ni v ZEKom-1.
Mislim, da bo potrebno počakati na prakso IP. Predvidevam pa, da se IP ne bo ukvarjal s primeri kjer upravljavec spletne strani sicer uporablja "piškotke", toda že iz samih piškotkov je razvidno, da gre za "sejne piškotke".
@DarkoB: če pogledaš njihove kuharske knjige vidiš, da se ne strinjajo s tabo. Avtentična razlaga bi bila super (da se vsi skupaj nehamo sekirat glede te neumnost). Boš zrihtal?
There can be no real freedom without the freedom to fail.
Avtentično razlago daje DZ, toda pri prenosu EU direktiv šteje tudi besedilo člena EU direktive + ustrezni recital direktive (v konkretnem primeru gre za recital (66) direktive 2009/136/ES). Še vedno sem prepričan, da je tako direktiva, (člen + recital), kot ZEKom-1 dovolj jasno napisan, da so "sejni piškoti" vključeni v izjemo po 2. odstavku 157. člena.
@DarkoB: žal to ni res - sejni piškotki so nujni za storitev samo v redkih primerih. Sejo je namreč možno vzdrževati tudi brez njih, torej sami po sebi definitivno ne spadajo med izjeme.
@DarkoB: žal to ni res - sejni piškotki so nujni za storitev samo v redkih primerih. Sejo je namreč možno vzdrževati tudi brez njih, torej sami po sebi definitivno ne spadajo med izjeme.
Povej kako bi vzdrzeval sejo brez piskotka?
Spomnim se samo enega alternativnega nacina: ID v URLju, kar je security vulnerability in AFAIK se vseeno spada pod zakon piskotkov
Drugace pa so za veliko sejnih kukijev, kjer seja ni potrebno, odgovorni programerji ker hranijo stvari ki jih naceloma ne potrebujejo. Po drugi strani pa je tudi krivda npr. PHPja, ker ti ob session_start() vrze kuki, pa ce bos uporabljal sejo ali pa ne. (ceprav to je zaradi tega da lahko podatke v seji popravljas po tem ko si ze zacel pisat html odjemalcu)
Ma sej zakon ni bil nikol o piškotkih ampak ne vem zdej točn kako. Tud če bi v naslovu strani pač dodal neki zravn za sledenje tebi brez strinjanja bi bilo to kršenje. Ni zakon sploh o piškotkih čeprav zadeva tud njih.
Mislim da piškotki so dovoljeni dokler ti ne sledijo al neki tazga. Vem da eni piškoti so dovoljeni sam nism tok na tekočm da bi vedu kako točn je s tem.
Odvisno od uporabljene tehnologije, tu je še en alternativen način (ki ga isti zakon omejujeje, nisem pa videl v praksi, da bi upravljalci spletišč to upoštevali): http://www.macromedia.com/support/docum...
Zakaj bi bila krivda PHP-ja? PHP ti omogoča, kar pač omgoča. Tvoja izbira je, če boš to tudi uporabil. In nenazadnje je bila ta funkcionalnost zasnovana v neki drugi eri.
Flash bos uporabljal za sejo? Torej edina sansa za to je ce preko javascripta/Flasha loadas vsebino in tako prenasas session ID. Neuporabno, in se vseeno s strani zakona enako kot kukiji.
Nikjer nisem citiral Primoza, se pa vsekakor strinjam z njim. Brez prijave je seja smiselna samo za vzdrzevanje kosarice pri spletni trgovini oz. kaj podobnega.
techfreak :), zakaj je potrebno ponavljati kot papiga? Zapisal sem:
(ki ga isti zakon omejujeje, nisem pa videl v praksi, da bi upravljalci spletišč to upoštevali)
Je res nerodno, da pa se.
In nenazadnje sem izpostavil povsem drug problem! Upravljalci, ki shranjujejo podatke na ta načini, so enako zavezani s strani zakona, spoštujejo ga pa ne ...
Naša interpretacija EU odredbe je preveč ortodoksna. Dejansko bi bilo dovolj dodati link na stran, kjer so stvari razložene.
V bistvu... to je celo bolje kot stavek dva in gumb "SPREJMEM"... kaj ni namen informiranje?
Po nekem naključju smo spet eni redkih v EU, ki se držimo tega načina implementacije... je pa res da tako pada kak dobrodošel evro za naše "oblikovalce strani".
Avtentično razlago daje DZ, toda pri prenosu EU direktiv šteje tudi besedilo člena EU direktive + ustrezni recital direktive (v konkretnem primeru gre za recital (66) direktive 2009/136/ES). Še vedno sem prepričan, da je tako direktiva, (člen + recital), kot ZEKom-1 dovolj jasno napisan, da so "sejni piškoti" vključeni v izjemo po 2. odstavku 157. člena.
Daj ta tekst na papir z glavo in mi pošlji PDF. Lahko ga tudi objaviš. Hvala.
There can be no real freedom without the freedom to fail.
Povej kako bi vzdrzeval sejo brez piskotka? Spomnim se samo enega alternativnega nacina: ID v URLju, kar je security vulnerability in AFAIK se vseeno spada pod zakon piskotkov
POST parametri mogoče? Se nikamor ne shranijo in jih torej zakon ne zajema. Piškotki so nujni za vzdrževanje seje samo če mora biti seja aktivna tudi po zaprtju brskalnika.
Če preberem jezik browserja in na osnovi tega prikažem vsebino, relevantno za ta jezik, je to sprejemljiv način uporabe brez privolitve, ali moram funkcionalnost strani pohabiti do te mere, da postane nepraktična za uporabo?
+ še vedno ne razumem, zakaj odstavek ki obravnava nastavitve brskalnika ne zadostuje, ko pa vsak moderni brskalnik ponuja možnost privatnega browsanja?
@nsignific: dvomim da so omejitve glede branja jezika brskalnika.
In pa ... tudi vsi moderni brskalniki imajo možnost izklapljanja piškotkov samo za izbrane domene. To bi bilo sprejemljivo, če bi brskalniki imeli že v štartu piškotke izklopljene in bi jih uporabniki za vsako stran po želji vklopili (torej ravno obratno od trenutnega stanja).
POST parametri mogoče? Se nikamor ne shranijo in jih torej zakon ne zajema. Piškotki so nujni za vzdrževanje seje samo če mora biti seja aktivna tudi po zaprtju brskalnika.
Odpri stran v novem tabu. Drugace pa POST je po standardu namenjen prenasanju podatkov in ima za posledico spremembo podatkov na strezniku, medtem ko je GET namenjen pridobivanju vsebine. Uporaba POST za stvari kjer je namenjen GET je neprimerna iz vecih razlogov, vkljucno s tem, da je cachiranje pri brskalniku slabo ter da te Google ne bo imel rad.
Ce imas video embeddan iz youtube.com ti Youtube nastavi piskotek. Ocitno so se zavarovali tako, da moras potrditi sprejem teh piskotkov, potem pa sele lahko gledas.
Alternativa je uporaba youtube-nocookie.com domene iz njihove strani, ali pa uporaba konkurencnega ponudnika video vsebin.
, drugače pa kolikor meni to deluje na "uradu za cookije" ne delajo ravno s svetlobno hitrostjo... 
