Австрийският орган за защита на личните данни (DPA) публикува решение, с което отхвърля жалба към уебсайт на австрийски вестник (името на вестника е заличено в решението). С това той възприема по-либерален подход в сравнение с влиятелния офис на британския комисар по информацията, който започна разследване срещу „Вашингтон Поуст“.

Австрийският вестник предлага три варианта на посетителите на сайта: (1) да приемат използването на бисквитки за целите на анализа и рекламата и да получат пълен и безплатен достъп до уебсайта; (2) да откажат бисквитките и да получат достъп до ограничено съдържание на уебсайта; или (3) да заплатят месечен абонамент от 6 евро, за да получат пълен достъп до уебсайта, без да приемат използването на бисквитки и подобни технологии за проследяване.
Според жалбоподателя този подход не отговаря на изискванията за валидно съгласие съгласно Общия регламент за защита на данните („GDPR“), тъй като достъпът до услугата се поставя в зависимост от съгласието. Така излиза, че запазването на поверителността може да се „купи“. Надзорният орган обаче не подкрепя това.

Австрийският орган за защита на личните данни отхвърля жалбата, като твърди, че получаването на съгласие от вестника, покрива условията за свободно дадено, валидно съгласие в съответствие с GDPR. За да достигне до това заключение, DPA се позовава на насоките за съгласие на Работната група по член 29, в които се посочва, че съгласието не е валидно, ако е налице риск от измама, сплашване, принуда или значителни отрицателни последици. DPA обосновава, че в този случай потребителите не са изправени пред значителни отрицателни последици, тъй като могат да изберат да се абонират за сайта срещу малка такса или просто да изберат друг онлайн вестник като източник на информация.

Това решение е важна насока за медиите и други доставчици на услуги на информационното общество. Офисът на британския комисар по информацията (ICO) наскоро започна разследване на „Вашингтон Поуст“ (Washington Post), при което възприе различно становище за получаване на съгласие за достъп до услугата.

„Вашингтон Поуст“ предоставя на читателите три възможности за достъп до услугите: (1) свободен достъп до ограничен брой статии (metered access), зависещи от съгласяването с използване на „бисквитки“ и проследяващи технологии с цел показване на персонализирани реклами; (2) основен абонамент, състоящ се от платен достъп до неограничен брой статии, който също предполага съгласие за използване на бисквитки и проследяващи технологии; (3) премиен абонамент срещу по-висока такса, който включва платен достъп до неограничен брой статии, без показване на реклами и без проследяващи технологии.

В отговор на жалба, подадена от читател, ICO смята, че тъй като „Вашингтон Поуст“ не предлага безплатна алтернатива на приемането на бисквитки, съгласието не може да бъде дадено свободно и вестникът е в нарушение на член 7, параграф 4 от GDPR. Член 7, параграф 4 предвижда, че „когато се преценява дали съгласието е дадено свободно, се взема предвид дали, наред с другите фактори, изпълнението на договора, включително предоставянето на услуга, е поставено в зависимост от съгласието за обработване на лични данни, които не са необходими за изпълнението на този договор. (курсивът наш) “

ICO е поискала вестникът да осигури достъп до всичките три нива на абонамент, без потребителите да се съгласяват с използването на бисквитки. Въпреки че „Вашингтон Поуст“ е със седалище в САЩ, член 3, параграф 2 от GDPR предвижда, че регламентът се прилага за обработката на лични данни на граждани от ЕС от администратор или обработващ лични данни, установен извън ЕС, когато дейностите по обработката са свързани предлагане на стоки или услуги на тези лица в рамките на ЕС. Но продължава да съществува несигурност по отношение на екстериториалната приложимост на GDPR и нейната приложимост спрямо организации извън ЕС.