Proč na této výjimce záleží

Podle směrnice ePrivacy (čl. 5 odst. 3) vyžaduje ukládání informací do zařízení uživatele nebo jejich čtení z něj zpravidla předchozí souhlas. Existují dvě výjimky a ta, na kterou se vydavatelé spoléhají nejčastěji, se týká úložiště nezbytně nutného k poskytnutí služby, o kterou uživatel výslovně požádal. Vše, co tato výjimka nepokrývá, patří za váš banner souhlasu.

Mnoho webů tuto výjimku rozšiřuje i na analytiku, A/B testování, omezování frekvence zobrazení reklam a personalizaci. Regulátoři se proti takovému výkladu opakovaně ohradili, proto se vyplatí přesně vědět, kde hranice leží.

Dvoudílný test

Výjimka se netýká toho, co je pohodlné pro vás. Klade dvě otázky:

1. Požádal uživatel o službu výslovně? Načtení článku je žádost. Přidání položky do košíku je žádost. Otevření chatovacího widgetu, který jste vnutili na každé stránce, žádostí není.
2. Je úložiště nezbytně nutné k poskytnutí právě této služby? Pokud by služba fungovala i bez cookie nebo identifikátoru, byť v méně pohodlné podobě, úložiště pravděpodobně není nezbytně nutné.

Všimněte si, že „nezbytné pro náš obchodní model“ není totéž co „nezbytné pro službu, o kterou uživatel požádal“. Reklamní příjmy udržují bezplatný web při životě, ale identifikátory pro cílení reklam nejsou k zobrazení článku potřeba.

Běžně přijímané příklady

• Relační a autentizační cookies, které udržují přihlášeného uživatele přihlášeného během relace.
• Cookies nákupního košíku, které si pamatují položky, zatímco uživatel dokončuje objednávku.
• Identifikátory vyvažování zátěže, které směrují požadavek na správný server.
• Bezpečnostní cookies používané k odhalení opakovaných neúspěšných přihlášení nebo k obraně proti padělaným požadavkům.
• Samotný záznam o souhlasu, protože zapamatování volby uživatele je nutné k jejímu respektování.
• Předvolby rozhraní, které uživatel nastavil záměrně, například jazyk, pokud jsou uloženy pro relaci nebo proto, že je uživatel zvolil.

Běžně chybně zařazované příklady

• Analytické cookies. Někteří regulátoři za úzkých podmínek povolují omezené měření publika šetrné k soukromí, ale standardní analytické tagy obecně souhlas vyžadují. Zkontrolujte pokyny úřadu, který se vztahuje na vaše publikum.
• Reklamní a retargetingové identifikátory. K doručení samotného obsahu nejsou nikdy potřeba.
• Tlačítka pro sdílení na sociálních sítích a vložené widgety, které při načtení stránky nastavují cookies třetích stran.
• A/B testování a personalizace, o které uživatel nepožádal.
• Omezení frekvence zobrazení reklam. Zlepšuje uživatelský zážitek, ale k doručení stránky není nezbytné.

Doba platnosti a rozsah stále hrají roli

Cookie, které je skutečně nezbytné, se může stát problematickým, pokud žije déle nebo shromažďuje více, než funkce vyžaduje. Relační cookie, které přetrvává rok, nebo bezpečnostní cookie, které zároveň zapisuje marketingový profil, ztrácí svou ochranu. Udržujte krátkou životnost a minimální obsah.

Zdokumentujte své zdůvodnění

U každého cookie nebo položky úložiště, kterou zařadíte jako nezbytně nutnou, zapište tři věci: funkci požadovanou uživatelem, kterou podporuje, proč by tato funkce bez něj přestala fungovat, a jeho životnost. Stačí krátká tabulka vedená vedle inventáře cookies. Při kontrole seznamu každou položku zpochybňujte: pokud je jediným argumentem „vždycky jsme to tak dělali“, přesuňte ji za souhlas.

Výjimka se netýká jen cookies. Local storage, session storage, fingerprinting zařízení a identifikátory SDK v aplikacích spadají pod stejnou logiku čl. 5 odst. 3, proto je do kontroly zahrňte.

Kde zapadá FlexyConsent

FlexyConsent je CMP certifikovaná společností Google (CMP ID 317), certifikovaná IAB Europe a IAB Canada, s bannerem dostupným v 57 jazycích. CMP umožňuje podržet nepodstatné tagy, dokud uživatel nezvolí, zatímco vaše skutečně nezbytné položky se dál načítají. O tom, do které kategorie které cookie patří, stále rozhodujete vy, proto své zdokumentované zdůvodnění udržujte aktuální.

Klíčové poznatky

• Výjimka pokrývá úložiště nezbytně nutné pro službu, o kterou uživatel výslovně požádal, nikoli úložiště potřebné pro vaše příjmy.
• Relační, košíkové, vyvažovací, bezpečnostní cookies a záznam o souhlasu jsou typické kvalifikující příklady.
• Analytika, reklama, sociální widgety a personalizace obecně vyžadují souhlas.
• Záleží na životnosti a obsahu: nezbytná cookies držte krátkodobá a minimální.
• Stejný test použijte na local storage, session storage a identifikátory v aplikacích.
• Zdokumentujte zdůvodnění každé položky, kterou označíte za nezbytně nutnou, a pravidelně ho přezkoumávejte.