Lubadus “bännerit pole vaja”

Privaatsusele keskendunud analüütikatööriistad turundavad end sageli küpsisteta tööriistadena ja mõned lähevad kaugemale ning vihjavad, et nõusolekubännerit pole enam vaja. Kitsa virnaga avaldaja jaoks on see ahvatlev mõte. Tegelikkus on nüansirikkam. Kas nõusolekut on vaja, sõltub sellest, mida tööriist seadmes tegelikult teeb, milliseid andmeid ta töötleb, kus sinu kasutajad asuvad ja mis veel sinu lehtedel töötab.

See artikkel selgitab küsimusi, mida esitada enne, kui eemaldad analüütika oma nõusolekuseadistusest. See on üldine juhis, mitte õigusnõu.

Küpsised ei ole ainus päästik

ELis tuleneb seadmeid puudutav nõusolekureegel ePrivacy direktiivi artikli 5 lõikest 3. See hõlmab teabe salvestamist kasutaja seadmesse või sealt teabele juurdepääsu — mitte ainult küpsiseid. Siia võivad kuuluda kohalik salvestus, sessioonisalvestus, pikslid, mis põhjustavad teabe lugemist, ja tehnikad, mis tuletavad identifikaatoreid seadme omadustest. Euroopa Andmekaitsenõukogu esitas selle laia tõlgenduse oma suunistes 2/2023 artikli 5 lõike 3 tehnilise kohaldamisala kohta.

Seega on “me ei sea küpsiseid” analüüsi algus, mitte lõpp. Pead teadma, kas tööriist salvestab või loeb seadmes üldse midagi.

Neli küsimust mis tahes analüütikatööriista kohta

1. Kas see salvestab või loeb seadmes midagi?

Kontrolli pärast lehe laadimist brauseri salvestuspaneele: küpsised, kohalik salvestus, sessioonisalvestus, IndexedDB. Kontrolli skriptist koodi, mis kogub seadme omadusi identifikaatori loomiseks. Kui analüütika eesmärgil midagi salvestatakse või loetakse, kehtib ePrivacy reegel, kui ei kehti erand.

2. Kas see töötleb isikuandmeid?

Isegi ilma seadmesse salvestamiseta töötleb analüütika tavaliselt IP-aadresse, user agent'e ja lehe URL-e. GDPR-i kohaselt võivad need olla isikuandmed. See nõuab õiguslikku alust — mis võib olla õigustatud huvi, mitte nõusolek — pluss läbipaistvust sinu privaatsusteates, andmete minimeerimist ja asjakohast säilitamist. “Bännerit pole” ei tähenda kunagi “kohustusi pole”.

3. Kas sinu kasutajate riikides kehtib erand?

Mõned reguleerijad tunnistavad, et piiratud vaatajaskonna mõõtmine võib olla nõusolekust vabastatud, kui range tingimused on täidetud. Prantsusmaa CNIL on avaldanud tingimused vaatajaskonna mõõtmise jälgijate vabastamiseks ja haldab programmi, mis tuvastab tööriistad, mida saab nendele vastavaks seadistada. Tingimused hõlmavad tavaliselt rangelt esimese osapoole kasutust, ainult koondstatistikat, saitideülese jälgimise puudumist ja piiratud säilitamist. Ühendkuningriigi Data (Use and Access) Act 2025 võttis kasutusele uued erandid PECR-i nõusolekunõudest, sealhulgas teatud statistiliste eesmärkide jaoks, tingimusel et on täidetud sellised tingimused nagu selge teave ja vastuväite esitamise võimalus. Kõik riigid ei võta sama seisukohta, seega kontrolli olukorda igal teenindataval turul ja seda, millised sätted on jõus.

4. Kas andmeid jagatakse kellegi teisega?

Kui tööriist saadab andmeid pakkujale, kes kasutab neid oma eesmärkidel või kombineerib neid klientide vahel, langevad erandid üldiselt ära. Loe töötlemistingimusi, mitte ainult turunduslehte.

Mis tavaliselt ikka nõusolekut vajab

• Reklaamimärgendid. Reklaamirahastusega avaldajad vajavad nõusolekut isikupärastatud reklaamiks ja reklaamipakkujate tehtavaks seadmesse salvestamiseks, olenemata sellest, mida sinu analüütikatööriist teeb.
• Sessioonideülese identifikaatoriga tööriistad. Püsivad külastaja ID-d, isegi esimese osapoole omad, viivad tööriista tavaliselt enamiku erandite alt välja.
• Sessiooni taasesitus ja soojuskaardid. Need jäädvustavad üksikasjalikku käitumist ning neid peetakse harva vabastatud mõõtmiseks.
• Põimitud sisu ja sotsiaalmeedia vidinad. Need seavad oma küpsised ja identifikaatorid.
• Konversiooni- ja remarketing-pikslid. Need on olemas käitumise sidumiseks reklaamiga.

Enamiku reklaamirahastusega saitide puhul on bänner reklaamivirna jaoks nii või naa nõutav. Tegelik küsimus on, kas analüütika peaks olema üks blokeeritud kategooriatest või saab see töötada iseseisvalt kitsa erandi alusel.

Praktiline viis otsustamiseks

1. Loetle iga analüütikaskript ning mida see salvestab, loeb ja saadab.
2. Tuvasta riigid, kus asub enamik su kasutajatest.
3. Kontrolli iga tööriista puhul, kas selle konfiguratsioon vastab nendes riikides tunnustatud erandile.
4. Seadista tööriist rangeimale vajalikule versioonile: IP lühendamine, püsivaid ID-sid pole, lühike säilitus, andmeid ei jagata.
5. Dokumenteeri põhjendus ja hoia analüütikatööriist mõlemal juhul loetletuna oma küpsisepoliitikas ja privaatsusteates.
6. Kontrolli uuesti, kui pakkuja muudab oma toodet või sinu turud muutuvad.

Vabastatud analüütika kasutamine koos CMP-ga

Kui otsustad, et tööriist vastab nõuetele, märgi see oma CMP-s rangelt vajalikuks või vabastatuks, nii et see avalikustatakse, kuid ei blokeerita, ning veendu, et selle konfiguratsioon jääb erandi piiresse. Paljud avaldajad hoiavad ka nõusolekust sõltuvat analüütikaseadistust rikkamaks mõõtmiseks ja kasutavad Google Consent Mode v2 või sarnaseid signaale, et kohandada seda kasutaja valiku põhjal. FlexyConsent toetab Google Consent Mode v2 koos IAB TCF 2.4 ja IAB GPP v1.1-ga.

Peamised järeldused

• “Küpsisteta” ei tähenda automaatselt “nõusolekut pole vaja”; artikli 5 lõige 3 hõlmab mis tahes seadmesse salvestamist või sellele juurdepääsu.
• Analüütika ilma seadmesse salvestamiseta võib siiski töödelda isikuandmeid ning vajab õiguslikku alust ja läbipaistvust.
• Vaatajaskonna mõõtmise erandid on mõnes riigis olemas, kuid neil on ranged tingimused.
• Reklaami-, sessiooni taasesituse ja remarketingi märgendid vajavad endiselt nõusolekut.
• Dokumenteeri, miks tööriista peetakse vabastatuks, ja kontrolli seda regulaarselt uuesti.