Per què importa l’exempció

Segons la Directiva ePrivacy (article 5, apartat 3), emmagatzemar o llegir informació al dispositiu d’un usuari normalment requereix consentiment previ. Hi ha dues excepcions, i la que més fan servir els editors és la de l’emmagatzematge estrictament necessari per prestar un servei que l’usuari ha sol·licitat explícitament. Tot el que no cobreix aquesta exempció queda darrere del teu bàner de consentiment.

Molts llocs amplien aquesta exempció per cobrir analítica, proves A/B, limitació de freqüència d’anuncis i personalització. Els reguladors han rebutjat repetidament aquesta interpretació, així que val la pena entendre exactament on és el límit.

La prova en dues parts

L’exempció no tracta del que et resulta còmode. Planteja dues preguntes:

1. Ha sol·licitat l’usuari explícitament el servei? Carregar un article és una sol·licitud. Afegir un producte a la cistella és una sol·licitud. Obrir un giny de xat que imposes a totes les pàgines no ho és.
2. És l’emmagatzematge estrictament necessari per prestar exactament aquest servei? Si el servei continuaria funcionant, encara que d’una manera menys còmoda, sense la cookie o l’identificador, probablement l’emmagatzematge no és estrictament necessari.

Tingues en compte que «necessari per al nostre model de negoci» no és el mateix que «necessari per al servei que l’usuari ha demanat». Els ingressos publicitaris mantenen viu un lloc gratuït, però els identificadors de segmentació publicitària no calen per mostrar un article.

Exemples comunament acceptats

• Cookies de sessió i d’autenticació que mantenen connectat un usuari durant una sessió.
• Cookies de la cistella de la compra que recorden els articles mentre l’usuari finalitza la comanda.
• Identificadors d’equilibri de càrrega que dirigeixen una sol·licitud al servidor correcte.
• Cookies de seguretat utilitzades per detectar inicis de sessió fallits repetits o defensar-se de sol·licituds falsificades.
• El mateix registre de consentiment, perquè recordar l’elecció de l’usuari és necessari per respectar-la.
• Preferències d’interfície que l’usuari ha establert deliberadament, com l’idioma, quan s’emmagatzemen per a la sessió o perquè l’usuari les ha triat.

Exemples comunament mal classificats

• Cookies d’analítica. Algunes autoritats permeten un mesurament d’audiència limitat i respectuós amb la privacitat en condicions estrictes, però les etiquetes d’analítica estàndard generalment requereixen consentiment. Consulta les directrius de l’autoritat que s’apliqui a la teva audiència.
• Identificadors de publicitat i retargeting. Mai no calen per lliurar el contingut en si.
• Botons per compartir a xarxes socials i ginys incrustats que estableixen cookies de tercers en carregar la pàgina.
• Proves A/B i personalització que l’usuari no ha sol·licitat.
• Limitació de freqüència d’anuncis. Millora l’experiència de l’usuari, però no és essencial per lliurar la pàgina.

La durada i l’abast continuen comptant

Una cookie realment essencial pot esdevenir problemàtica si dura més o recull més del que necessita la funció. Una cookie de sessió que persisteix un any, o una cookie de seguretat que també escriu un perfil de màrqueting, perd la seva protecció. Mantén la vida útil curta i el contingut mínim.

Documenta el teu raonament

Per a cada cookie o element d’emmagatzematge que classifiquis com a estrictament necessari, anota tres coses: la funció sol·licitada per l’usuari que dona suport, per què aquesta funció deixaria de funcionar sense ell i la seva durada. N’hi ha prou amb una taula breu mantinguda al costat del teu inventari de cookies. Quan revisis la llista, qüestiona cada entrada: si l’únic argument és «sempre ho hem fet així», passa-la darrere del consentiment.

L’exempció també s’aplica a més que cookies. L’emmagatzematge local, l’emmagatzematge de sessió, el fingerprinting de dispositius i els identificadors d’SDK a les apps cauen sota la mateixa lògica de l’article 5, apartat 3, així que inclou-los a la teva revisió.

On encaixa FlexyConsent

FlexyConsent és una CMP certificada per Google (CMP ID 317), certificada per IAB Europe i IAB Canada, amb un bàner disponible en 57 idiomes. Una CMP et permet retenir les etiquetes no essencials fins que l’usuari hagi triat, mentre els teus elements realment essencials continuen carregant-se. Decidir a quina categoria pertany cada cookie continua sent cosa teva, així que mantén actualitzat el teu raonament documentat.

Conclusions clau

• L’exempció cobreix l’emmagatzematge estrictament necessari per a un servei sol·licitat explícitament per l’usuari, no el necessari per als teus ingressos.
• Les cookies de sessió, cistella, equilibri de càrrega, seguretat i registre de consentiment són els exemples típics que hi entren.
• L’analítica, la publicitat, els ginys socials i la personalització generalment requereixen consentiment.
• La durada i el contingut compten: mantén les cookies essencials de vida curta i mínimes.
• Aplica la mateixa prova a l’emmagatzematge local, a l’emmagatzematge de sessió i als identificadors d’apps.
• Documenta el raonament de cada element que classifiquis com a estrictament necessari i revisa’l regularment.