Γιατί έχει σημασία η εξαίρεση

Σύμφωνα με την Οδηγία ePrivacy (άρθρο 5 παρ. 3), η αποθήκευση ή η ανάγνωση πληροφοριών στη συσκευή του χρήστη απαιτεί κανονικά προηγούμενη συναίνεση. Υπάρχουν δύο εξαιρέσεις, και εκείνη στην οποία στηρίζονται συχνότερα οι εκδότες αφορά την αποθήκευση που είναι απολύτως απαραίτητη για την παροχή μιας υπηρεσίας που ο χρήστης έχει ζητήσει ρητά. Ό,τι δεν καλύπτεται από αυτή την εξαίρεση βρίσκεται πίσω από το banner συναίνεσής σας.

Πολλοί ιστότοποι διευρύνουν την εξαίρεση ώστε να περιλαμβάνει analytics, δοκιμές A/B, περιορισμό συχνότητας διαφημίσεων και εξατομίκευση. Οι ρυθμιστικές αρχές έχουν επανειλημμένα απορρίψει αυτή την ερμηνεία, γι' αυτό αξίζει να κατανοήσετε ακριβώς πού βρίσκεται το όριο.

Το τεστ των δύο σκελών

Η εξαίρεση δεν αφορά το τι σας διευκολύνει. Θέτει δύο ερωτήματα:

1. Ζήτησε ο χρήστης ρητά την υπηρεσία; Η φόρτωση ενός άρθρου είναι αίτημα. Η προσθήκη προϊόντος στο καλάθι είναι αίτημα. Το άνοιγμα ενός widget συνομιλίας που εμφανίσατε σε κάθε σελίδα δεν είναι.
2. Είναι η αποθήκευση απολύτως απαραίτητη για την παροχή ακριβώς αυτής της υπηρεσίας; Αν η υπηρεσία θα λειτουργούσε και χωρίς το cookie ή το αναγνωριστικό, έστω και με λιγότερο βολικό τρόπο, η αποθήκευση πιθανότατα δεν είναι απολύτως απαραίτητη.

Σημειώστε ότι το «απαραίτητο για το επιχειρηματικό μας μοντέλο» δεν ταυτίζεται με το «απαραίτητο για την υπηρεσία που ζήτησε ο χρήστης». Τα διαφημιστικά έσοδα κρατούν ζωντανό έναν δωρεάν ιστότοπο, αλλά τα αναγνωριστικά στόχευσης διαφημίσεων δεν χρειάζονται για να εμφανιστεί ένα άρθρο.

Συνήθη αποδεκτά παραδείγματα

• Cookies συνεδρίας και ταυτοποίησης που διατηρούν τον συνδεδεμένο χρήστη συνδεδεμένο κατά τη διάρκεια μιας συνεδρίας.
• Cookies καλαθιού αγορών που θυμούνται τα προϊόντα όσο ο χρήστης ολοκληρώνει την αγορά.
• Αναγνωριστικά εξισορρόπησης φορτίου που δρομολογούν ένα αίτημα στον σωστό διακομιστή.
• Cookies ασφαλείας που χρησιμοποιούνται για τον εντοπισμό επαναλαμβανόμενων αποτυχημένων συνδέσεων ή για την προστασία από πλαστά αιτήματα.
• Η ίδια η εγγραφή συναίνεσης, επειδή η απομνημόνευση της επιλογής του χρήστη είναι απαραίτητη για να γίνει σεβαστή.
• Προτιμήσεις διεπαφής που όρισε συνειδητά ο χρήστης, όπως η γλώσσα, όταν αποθηκεύονται για τη συνεδρία ή επειδή τις επέλεξε ο ίδιος ο χρήστης.

Συνήθη παραδείγματα λανθασμένης κατηγοριοποίησης

• Cookies analytics. Ορισμένες αρχές επιτρέπουν περιορισμένη μέτρηση κοινού με σεβασμό στην ιδιωτικότητα υπό στενές προϋποθέσεις, αλλά οι τυπικές ετικέτες analytics απαιτούν γενικά συναίνεση. Ελέγξτε τις οδηγίες της αρχής που ισχύει για το κοινό σας.
• Διαφημιστικά αναγνωριστικά και αναγνωριστικά retargeting. Δεν χρειάζονται ποτέ για την παροχή του ίδιου του περιεχομένου.
• Κουμπιά κοινοποίησης στα social και ενσωματωμένα widgets που ορίζουν cookies τρίτων κατά τη φόρτωση της σελίδας.
• Δοκιμές A/B και εξατομίκευση που δεν έχουν ζητηθεί από τον χρήστη.
• Περιορισμός συχνότητας διαφημίσεων. Βελτιώνει την εμπειρία του χρήστη, αλλά δεν είναι ουσιώδης για την παράδοση της σελίδας.

Η διάρκεια και το εύρος εξακολουθούν να μετρούν

Ένα cookie που είναι πραγματικά απαραίτητο μπορεί να καταστεί προβληματικό αν ζει περισσότερο ή συλλέγει περισσότερα απ' όσα χρειάζεται η λειτουργία του. Ένα cookie συνεδρίας που διατηρείται για ένα έτος, ή ένα cookie ασφαλείας που γράφει και προφίλ μάρκετινγκ, χάνει την προστασία της εξαίρεσης. Κρατήστε τη διάρκεια ζωής σύντομη και το περιεχόμενο ελάχιστο.

Τεκμηριώστε το σκεπτικό σας

Για κάθε cookie ή στοιχείο αποθήκευσης που κατατάσσετε ως απολύτως απαραίτητο, καταγράψτε τρία πράγματα: τη λειτουργία που ζήτησε ο χρήστης και στην οποία συμβάλλει, γιατί αυτή η λειτουργία θα χαλούσε χωρίς αυτό, και τη διάρκεια ζωής του. Ένας σύντομος πίνακας που τηρείται δίπλα στην απογραφή των cookies σας αρκεί. Όταν ελέγχετε τη λίστα, αμφισβητήστε κάθε καταχώριση: αν το μοναδικό επιχείρημα είναι «πάντα έτσι το κάναμε», μεταφέρετέ την πίσω από τη συναίνεση.

Η εξαίρεση ισχύει και πέρα από τα cookies. Το local storage, το session storage, το device fingerprinting και τα αναγνωριστικά SDK σε εφαρμογές υπάγονται στην ίδια λογική του άρθρου 5 παρ. 3, γι' αυτό συμπεριλάβετέ τα στον έλεγχό σας.

Πού εντάσσεται το FlexyConsent

Το FlexyConsent είναι CMP πιστοποιημένο από τη Google (CMP ID 317), πιστοποιημένο από την IAB Europe και την IAB Canada, με banner διαθέσιμο σε 57 γλώσσες. Ένα CMP σάς επιτρέπει να κρατάτε τις μη απαραίτητες ετικέτες σε αναμονή μέχρι να επιλέξει ο χρήστης, ενώ τα πραγματικά απαραίτητα στοιχεία σας συνεχίζουν να φορτώνουν. Το σε ποια κατηγορία ανήκει κάθε cookie παραμένει δική σας απόφαση, γι' αυτό κρατήστε ενημερωμένο το τεκμηριωμένο σκεπτικό σας.

Βασικά συμπεράσματα

• Η εξαίρεση καλύπτει την αποθήκευση που χρειάζεται απολύτως για μια υπηρεσία που ο χρήστης ζήτησε ρητά, όχι την αποθήκευση που χρειάζεται για τα έσοδά σας.
• Τα cookies συνεδρίας, καλαθιού, εξισορρόπησης φορτίου, ασφαλείας και εγγραφής συναίνεσης είναι τα τυπικά παραδείγματα που εμπίπτουν.
• Τα analytics, οι διαφημίσεις, τα social widgets και η εξατομίκευση απαιτούν γενικά συναίνεση.
• Η διάρκεια και το περιεχόμενο μετράνε: κρατήστε τα απαραίτητα cookies βραχύβια και ελάχιστα.
• Εφαρμόστε το ίδιο τεστ στο local storage, στο session storage και στα αναγνωριστικά εφαρμογών.
• Τεκμηριώστε το σκεπτικό για κάθε στοιχείο που κατατάσσετε ως απολύτως απαραίτητο και επανεξετάζετέ το τακτικά.