Защо изключението има значение

Съгласно Директивата ePrivacy (член 5(3)) съхраняването или четенето на информация на устройството на потребителя обикновено изисква предварително съгласие. Има две изключения, а това, на което издателите най-често се позовават, е изключението за съхранение, което е строго необходимо за предоставянето на услуга, изрично поискана от потребителя. Всичко, което не е обхванато от това изключение, стои зад вашия банер за съгласие.

Много сайтове разтягат това изключение, за да покрие анализ, A/B тестване, ограничаване на честотата на показване на реклами и персонализация. Регулаторите многократно са възразявали срещу такова тълкуване, затова си струва да разберете точно къде минава границата.

Тестът от две части

Изключението не е за това, което е удобно за вас. То задава два въпроса:

1. Потребителят изрично ли е поискал услугата? Зареждането на статия е искане. Добавянето на артикул в количката е искане. Отварянето на чат уиджет, който сте наложили на всяка страница, не е.
2. Съхранението строго необходимо ли е за предоставянето точно на тази услуга? Ако услугата би работила и без бисквитката или идентификатора, макар и по-неудобно, съхранението вероятно не е строго необходимо.

Имайте предвид, че „необходимо за нашия бизнес модел“ не е същото като „необходимо за услугата, която потребителят е поискал“. Приходите от реклама поддържат безплатния сайт жив, но рекламните идентификатори за таргетиране не са нужни, за да се покаже статия.

Обичайно приемани примери

• Сесийни бисквитки и бисквитки за удостоверяване, които поддържат влизането на потребителя по време на сесията.
• Бисквитки на количката, които запомнят артикулите, докато потребителят финализира поръчката.
• Идентификатори за балансиране на натоварването, които насочват заявката към правилния сървър.
• Бисквитки за сигурност, използвани за откриване на повторни неуспешни влизания или за защита срещу фалшифицирани заявки.
• Самият запис на съгласието, защото запомнянето на избора на потребителя е необходимо, за да бъде той спазен.
• Предпочитания за интерфейса, зададени съзнателно от потребителя, например език, когато се съхраняват за сесията или защото потребителят ги е избрал.

Често погрешно класифицирани примери

• Аналитични бисквитки. Някои органи допускат ограничено измерване на аудиторията със запазване на поверителността при тесни условия, но стандартните аналитични тагове по принцип изискват съгласие. Проверете указанията на органа, който е приложим за вашата аудитория.
• Рекламни идентификатори и идентификатори за ретаргетиране. Те никога не са необходими за доставянето на самото съдържание.
• Бутони за споделяне в социални мрежи и вградени уиджети, които задават бисквитки от трети страни при зареждане на страницата.
• A/B тестване и персонализация, които не са поискани от потребителя.
• Ограничаване на честотата на рекламите. То подобрява потребителското изживяване, но не е съществено за доставянето на страницата.

Срокът и обхватът все още имат значение

Бисквитка, която наистина е съществена, пак може да стане проблем, ако живее по-дълго или събира повече, отколкото функцията изисква. Сесийна бисквитка, която се запазва година, или бисквитка за сигурност, която същевременно записва маркетингов профил, губи своята защита. Поддържайте кратък срок на живот и минимално съдържание.

Документирайте обосновката си

За всяка бисквитка или единица съхранение, която класифицирате като строго необходима, запишете три неща: потребителската функция, която тя поддържа, защо тази функция би се повредила без нея и срока ѝ на живот. Достатъчна е кратка таблица, поддържана заедно с инвентара на бисквитките ви. Когато преглеждате списъка, поставяйте под въпрос всеки запис: ако единственият аргумент е „винаги сме го правили така“, преместете го зад съгласие.

Изключението се отнася не само за бисквитките. Local storage, session storage, снемането на отпечатък на устройството и идентификаторите на SDK в приложенията попадат под същата логика на член 5(3), затова ги включете в прегледа.

Къде се вписва FlexyConsent

FlexyConsent е CMP, сертифицирана от Google (CMP ID 317), сертифицирана от IAB Europe и IAB Canada, с банер на 57 езика. CMP ви позволява да задържате несъществените тагове, докато потребителят не направи избор, докато наистина съществените елементи продължават да се зареждат. Решението към коя категория принадлежи всяка бисквитка остава ваше, затова поддържайте документираната си обосновка актуална.

Ключови изводи

• Изключението обхваща съхранение, строго необходимо за услуга, изрично поискана от потребителя, а не съхранение, необходимо за вашите приходи.
• Сесийните бисквитки и тези за количката, балансирането на натоварването, сигурността и записа на съгласието са типичните примери, които отговарят на условията.
• Анализът, рекламата, социалните уиджети и персонализацията по принцип изискват съгласие.
• Срокът и съдържанието имат значение: поддържайте съществените бисквитки краткотрайни и минимални.
• Прилагайте същия тест към local storage, session storage и идентификаторите в приложенията.
• Документирайте обосновката за всеки елемент, който класифицирате като строго необходим, и я преглеждайте редовно.