تحلیل بدون کوکی: آیا هنوز به رضایت نیاز دارید؟
وعده «بنر لازم نیست»
ابزارهای تحلیلی متمرکز بر حریم خصوصی اغلب خود را بدون کوکی معرفی می‌کنند و برخی فراتر می‌روند و القا می‌کنند که دیگر به بنر رضایت نیاز ندارید. برای ناشری با پشته سبک، این ایده جذابی است. واقعیت ظریف‌تر است. اینکه رضایت لازم است یا نه به این بستگی دارد که ابزار واقعاً روی دستگاه چه می‌کند، چه داده‌هایی پردازش می‌کند، کاربران شما کجا هستند و چه چیز دیگری روی صفحه‌هایتان اجرا می‌شود.
این مقاله پرسش‌هایی را توضیح می‌دهد که پیش از حذف تحلیل از پیکربندی رضایت باید بپرسید. این راهنمایی عمومی است، نه مشاوره حقوقی.
کوکی‌ها تنها محرک نیستند
در اتحادیه اروپا، قاعده رضایت برای دستگاه‌ها از ماده ۵(۳) دستورالعمل ePrivacy می‌آید. این ماده ذخیره اطلاعات روی دستگاه کاربر یا دسترسی به اطلاعات از آن را پوشش می‌دهد — نه فقط کوکی‌ها. حافظه محلی، حافظه نشست، پیکسل‌هایی که باعث خوانده شدن اطلاعات می‌شوند و تکنیک‌هایی که از ویژگی‌های دستگاه شناسه استخراج می‌کنند همگی می‌توانند در آن بگنجند. هیئت حفاظت از داده اروپا این برداشت گسترده را در رهنمودهای ۲/۲۰۲۳ درباره دامنه فنی ماده ۵(۳) بیان کرده است.
بنابراین «ما کوکی تنظیم نمی‌کنیم» آغاز تحلیل است، نه پایان آن. باید بدانید ابزار اصلاً چیزی روی دستگاه ذخیره یا از آن می‌خواند یا نه.
چهار پرسش درباره هر ابزار تحلیلی
۱. آیا چیزی روی دستگاه ذخیره یا از آن خوانده می‌شود؟
پس از بارگذاری صفحه، پانل‌های ذخیره‌سازی مرورگر را بررسی کنید: کوکی‌ها، حافظه محلی، حافظه نشست، IndexedDB. اسکریپت را برای کدی که ویژگی‌های دستگاه را برای ساخت شناسه جمع می‌کند بررسی کنید. اگر چیزی برای اهداف تحلیلی ذخیره یا خوانده شود، قاعده ePrivacy درگیر است مگر اینکه استثنایی اعمال شود.
۲. آیا داده شخصی پردازش می‌کند؟
حتی بدون ذخیره‌سازی روی دستگاه، تحلیل معمولاً نشانی‌های IP، user agent و نشانی صفحه‌ها را پردازش می‌کند. بر اساس GDPR این‌ها می‌توانند داده شخصی باشند. این به مبنای قانونی نیاز دارد — که می‌تواند منفعت مشروع باشد نه رضایت — به‌علاوه شفافیت در اطلاعیه حریم خصوصی، کمینه‌سازی داده و نگهداری مناسب. «بدون بنر» هرگز به معنای «بدون تعهد» نیست.
۳. آیا در کشورهای کاربران شما استثنایی اعمال می‌شود؟
برخی نهادهای نظارتی می‌پذیرند که سنجش محدود مخاطب در صورت رعایت شرایط سخت‌گیرانه می‌تواند از رضایت معاف باشد. CNIL فرانسه شرایطی برای معافیت ردیاب‌های سنجش مخاطب منتشر کرده و برنامه‌ای دارد که ابزارهایی را که می‌توان برای رعایت آن‌ها پیکربندی کرد شناسایی می‌کند. شرایط معمولاً شامل استفاده صرفاً اول‌شخص، فقط آمار تجمیعی، بدون ردیابی میان‌سایتی و نگهداری محدود است. قانون داده (استفاده و دسترسی) ۲۰۲۵ بریتانیا استثناهای تازه‌ای برای الزام رضایت PECR معرفی کرد، از جمله برای برخی اهداف آماری، با شرایطی مانند اطلاعات روشن و راهی برای اعتراض. هر کشوری دیدگاه یکسانی ندارد، پس وضعیت را در هر بازاری که به آن خدمت می‌کنید و اینکه کدام مفاد لازم‌الاجرا هستند بررسی کنید.
۴. آیا داده با دیگری به اشتراک گذاشته می‌شود؟
اگر ابزار داده را به فروشنده‌ای بفرستد که از آن برای اهداف خودش استفاده می‌کند یا آن را میان مشتریان ترکیب می‌کند، معافیت‌ها عموماً ساقط می‌شوند. شرایط پردازش را بخوانید، نه فقط صفحه بازاریابی را.
چه چیزی معمولاً هنوز به رضایت نیاز دارد
- تگ‌های تبلیغاتی. ناشران متکی بر تبلیغات برای تبلیغات شخصی‌سازی‌شده و ذخیره‌سازی روی دستگاه توسط فروشندگان تبلیغاتی به رضایت نیاز دارند، ابزار تحلیلی‌شان هر کاری که بکند.
- ابزارهای دارای شناسه در طول نشست‌ها. شناسه‌های ماندگار بازدیدکننده، حتی اول‌شخص، ابزار را از بیشتر معافیت‌ها خارج می‌کنند.
- بازپخش نشست و نقشه‌های حرارتی. این‌ها رفتار تفصیلی را ثبت می‌کنند و به‌ندرت سنجش معاف تلقی می‌شوند.
- محتوای تعبیه‌شده و ابزارک‌های اجتماعی. این‌ها کوکی‌ها و شناسه‌های خودشان را تنظیم می‌کنند.
- پیکسل‌های تبدیل و بازاریابی مجدد. این‌ها برای پیوند دادن رفتار به تبلیغات وجود دارند.
برای بیشتر سایت‌های متکی بر تبلیغات، بنر به هر حال برای پشته تبلیغاتی لازم است. پرسش واقعی این است که آیا تحلیل باید یکی از دسته‌های مشروط باشد یا می‌تواند مستقل و تحت یک معافیت محدود اجرا شود.
روشی عملی برای تصمیم‌گیری
- هر اسکریپت تحلیلی و آنچه ذخیره، می‌خواند و می‌فرستد را فهرست کنید.
- کشورهایی را که بیشتر کاربرانتان در آن‌اند مشخص کنید.
- برای هر ابزار بررسی کنید آیا پیکربندی‌اش یک معافیت شناخته‌شده در آن کشورها را برآورده می‌کند.
- ابزار را به سخت‌گیرانه‌ترین نسخه مورد نیاز پیکربندی کنید: کوتاه‌سازی IP، بدون شناسه ماندگار، نگهداری کوتاه، بدون اشتراک داده.
- استدلال را مستند کنید و ابزار تحلیلی را در هر دو حالت در سیاست کوکی و اطلاعیه حریم خصوصی فهرست نگه دارید.
- وقتی فروشنده محصولش را تغییر می‌دهد یا بازارهای شما عوض می‌شوند دوباره بررسی کنید.
اجرای تحلیل معاف در کنار CMP
اگر تصمیم گرفتید ابزاری واجد شرایط است، آن را در CMP خود به‌عنوان کاملاً ضروری یا معاف فهرست کنید تا افشا شود اما مشروط نشود و مطمئن شوید پیکربندی‌اش در محدوده معافیت می‌ماند. بسیاری از ناشران همچنین برای سنجش غنی‌تر یک پیکربندی تحلیل وابسته به رضایت نگه می‌دارند و از Google Consent Mode v2 یا سیگنال‌های مشابه برای تنظیم آن بر اساس انتخاب کاربر استفاده می‌کنند. FlexyConsent در کنار IAB TCF 2.4 و IAB GPP v1.1 از Google Consent Mode v2 پشتیبانی می‌کند.
نکات کلیدی
- «بدون کوکی» خودبه‌خود به معنای «رضایت لازم نیست» نیست؛ ماده ۵(۳) هر ذخیره‌سازی یا دسترسی روی دستگاه را پوشش می‌دهد.
- تحلیل بدون ذخیره‌سازی روی دستگاه همچنان می‌تواند داده شخصی پردازش کند و به مبنای قانونی و شفافیت نیاز دارد.
- معافیت برای سنجش مخاطب در برخی کشورها وجود دارد اما با شرایط سخت‌گیرانه همراه است.
- تگ‌های تبلیغاتی، بازپخش نشست و بازاریابی مجدد همچنان به رضایت نیاز دارند.
- مستند کنید چرا ابزاری معاف تلقی می‌شود و مرتب دوباره بررسی کنید.