La promesa de “no cal bàner”

Les eines d'analítica centrades en la privacitat sovint es presenten com a lliures de cookies, i algunes van més enllà i suggereixen que ja no necessites un bàner de consentiment. Per a un editor amb una pila lleugera, és una idea atractiva. La realitat és més matisada. Que calgui consentiment depèn del que l'eina fa realment al dispositiu, de quines dades tracta, d'on són els teus usuaris i de què més s'executa a les teves pàgines.

Aquest article explica les preguntes que cal fer-se abans de treure l'analítica de la teva configuració de consentiment. És una orientació general, no assessorament jurídic.

Les cookies no són l'únic desencadenant

A la UE, la norma de consentiment per als dispositius prové de l'article 5, apartat 3, de la Directiva ePrivacy. Cobreix l'emmagatzematge d'informació al dispositiu d'un usuari, o l'accés a aquesta informació — no només les cookies. L'emmagatzematge local, l'emmagatzematge de sessió, els píxels que fan que es llegeixi informació i les tècniques que deriven identificadors de les característiques del dispositiu hi poden quedar tots inclosos. El Comitè Europeu de Protecció de Dades va exposar aquesta lectura àmplia a les seves Directrius 2/2023 sobre l'àmbit tècnic de l'article 5, apartat 3.

Per tant, “nosaltres no instal·lem cookies” és el començament de l'anàlisi, no el final. Cal saber si l'eina emmagatzema o llegeix res al dispositiu.

Quatre preguntes que cal fer sobre qualsevol eina d'analítica

1. Emmagatzema o llegeix res al dispositiu?

Comprova els panells d'emmagatzematge del navegador després de carregar una pàgina: cookies, emmagatzematge local, emmagatzematge de sessió, IndexedDB. Comprova si l'script té codi que recull característiques del dispositiu per construir un identificador. Si s'emmagatzema o es llegeix res amb finalitats d'analítica, s'activa la norma d'ePrivacy tret que s'apliqui una excepció.

2. Tracta dades personals?

Fins i tot sense emmagatzematge al dispositiu, l'analítica sol tractar adreces IP, agents d'usuari i URL de pàgines. Segons el RGPD, poden ser dades personals. Això requereix una base jurídica — que pot ser l'interès legítim en lloc del consentiment — a més de transparència a l'avís de privacitat, minimització de dades i una conservació adequada. “Sense bàner” mai no vol dir “sense obligacions”.

3. S'aplica una excepció als països dels teus usuaris?

Alguns reguladors reconeixen que la mesura d'audiència limitada pot quedar exempta de consentiment si es compleixen condicions estrictes. La CNIL de França ha publicat condicions per eximir els rastrejadors de mesura d'audiència i manté un programa que identifica les eines que es poden configurar per complir-les. Les condicions solen incloure un ús estrictament propi (first-party), només estadístiques agregades, cap seguiment entre llocs i una conservació limitada. La Data (Use and Access) Act 2025 del Regne Unit va introduir noves excepcions al requisit de consentiment de la PECR, també per a certes finalitats estadístiques, subjectes a condicions com una informació clara i una manera d'oposar-s'hi. No tots els països adopten el mateix criteri, així que comprova la situació a cada mercat que serveixes i quines disposicions són en vigor.

4. Es comparteixen les dades amb algú més?

Si l'eina envia dades a un proveïdor que les fa servir per a les seves pròpies finalitats, o les combina entre clients, les excepcions en general deixen d'aplicar-se. Llegeix les condicions de tractament, no només la pàgina de màrqueting.

Què continua requerint consentiment normalment

• Etiquetes publicitàries. Els editors que viuen de la publicitat necessiten consentiment per a la publicitat personalitzada i per a l'emmagatzematge al dispositiu per part dels proveïdors d'anuncis, faci el que faci la seva eina d'analítica.
• Eines amb identificadors entre sessions. Els identificadors de visitant persistents, fins i tot propis, solen deixar una eina fora de la majoria d'excepcions.
• Reproducció de sessions i mapes de calor. Capturen un comportament detallat i rarament es tracten com a mesura exempta.
• Contingut incrustat i ginys socials. Instal·len les seves pròpies cookies i identificadors.
• Píxels de conversió i de remàrqueting. Existeixen per vincular el comportament amb la publicitat.

Per a la majoria de llocs que viuen de la publicitat, el bàner és necessari igualment per a la pila publicitària. La pregunta real és si l'analítica ha de ser una de les categories condicionades o pot funcionar de manera independent amb una excepció estreta.

Una manera pràctica de decidir

1. Fes una llista de tots els scripts d'analítica i del que emmagatzemen, llegeixen i envien.
2. Identifica els països on són la majoria dels teus usuaris.
3. Per a cada eina, comprova si la seva configuració compleix una excepció reconeguda en aquests països.
4. Configura l'eina amb la versió més estricta que necessitis: truncament d'IP, sense identificadors persistents, conservació curta, sense compartició de dades.
5. Documenta el raonament i manté l'eina d'analítica llistada a la teva política de cookies i a l'avís de privacitat en qualsevol cas.
6. Torna-ho a comprovar quan el proveïdor canviï el producte o canviïn els teus mercats.

Fer funcionar analítica exempta al costat d'un CMP

Si decideixes que una eina compleix els requisits, llista-la al teu CMP com a estrictament necessària o exempta perquè es divulgui però no estigui condicionada, i assegura't que la seva configuració es manté dins de l'excepció. Molts editors mantenen també una configuració d'analítica dependent del consentiment per a una mesura més rica i fan servir Google Consent Mode v2 o senyals similars per ajustar-la segons l'elecció de l'usuari. FlexyConsent admet Google Consent Mode v2 juntament amb l'IAB TCF 2.4 i l'IAB GPP v1.1.

Idees clau

• “Sense cookies” no vol dir automàticament “no cal consentiment”; l'article 5, apartat 3, cobreix qualsevol emmagatzematge o accés al dispositiu.
• L'analítica sense emmagatzematge al dispositiu pot continuar tractant dades personals i necessita una base jurídica i transparència.
• Hi ha excepcions per a la mesura d'audiència en alguns països, però amb condicions estrictes.
• Les etiquetes de publicitat, de reproducció de sessions i de remàrqueting continuen requerint consentiment.
• Documenta per què una eina es tracta com a exempta i torna-ho a comprovar regularment.