استثنای کوکی‌های «کاملاً ضروری»: چه چیزی شامل می‌شود و چه چیزی نه
چرا این استثنا اهمیت دارد
بر اساس دستورالعمل ePrivacy (ماده 5(3))، ذخیره یا خواندن اطلاعات روی دستگاه کاربر معمولاً به رضایت قبلی نیاز دارد. دو استثنا وجود دارد و استثنایی که ناشران بیش از همه به آن تکیه می‌کنند، ذخیره‌سازی‌ای است که برای ارائه سرویسی که کاربر صراحتاً درخواست کرده کاملاً ضروری باشد. هر چیزی که زیر پوشش این استثنا نباشد، پشت بنر رضایت شما قرار می‌گیرد.
بسیاری از سایت‌ها این استثنا را به تحلیل‌ها، آزمون A/B، محدودسازی تکرار تبلیغات و شخصی‌سازی هم تعمیم می‌دهند. نهادهای نظارتی بارها با این برداشت مخالفت کرده‌اند، پس بهتر است دقیقاً بدانید مرز کجاست.
آزمون دوبخشی
این استثنا درباره آنچه برای شما راحت است نیست. دو پرسش مطرح می‌کند:
- آیا کاربر سرویس را صراحتاً درخواست کرده است؟ بارگذاری یک مقاله درخواست است. افزودن یک کالا به سبد خرید درخواست است. باز کردن ویجت چتی که خودتان در همه صفحات نمایش داده‌اید درخواست نیست.
- آیا ذخیره‌سازی برای ارائه دقیقاً همان سرویس کاملاً ضروری است؟ اگر سرویس بدون آن کوکی یا شناسه هم، حتی به شکلی کم‌راحت‌تر، کار کند، ذخیره‌سازی احتمالاً کاملاً ضروری نیست.
توجه کنید که «ضروری برای مدل کسب‌وکار ما» با «ضروری برای سرویسی که کاربر خواسته» یکی نیست. درآمد تبلیغات یک سایت رایگان را سرپا نگه می‌دارد، اما برای نمایش یک مقاله به شناسه‌های هدف‌گیری تبلیغات نیازی نیست.
نمونه‌هایی که معمولاً پذیرفته می‌شوند
- کوکی‌های نشست و احراز هویت که کاربر واردشده را در طول نشست واردشده نگه می‌دارند.
- کوکی‌های سبد خرید که هنگام تسویه حساب کاربر، کالاها را به خاطر می‌سپارند.
- شناسه‌های توزیع بار که درخواست را به سرور درست هدایت می‌کنند.
- کوکی‌های امنیتی که برای تشخیص ورودهای ناموفق مکرر یا دفاع در برابر درخواست‌های جعلی به کار می‌روند.
- خود سابقه رضایت، چون برای احترام به انتخاب کاربر باید آن را به خاطر سپرد.
- ترجیحات رابط کاربری که کاربر عمداً تعیین کرده است، مانند زبان، وقتی برای همان نشست ذخیره شوند یا چون کاربر خودش آن را انتخاب کرده است.
نمونه‌هایی که معمولاً اشتباه طبقه‌بندی می‌شوند
- کوکی‌های تحلیلی. برخی مراجع در شرایط محدود اجازه اندازه‌گیری محدود مخاطب با حفظ حریم خصوصی را می‌دهند، اما تگ‌های تحلیلی استاندارد عموماً به رضایت نیاز دارند. راهنمای مرجعی را که برای مخاطبان شما اعمال می‌شود بررسی کنید.
- شناسه‌های تبلیغاتی و بازهدف‌گیری. این‌ها هرگز برای ارائه خود محتوا لازم نیستند.
- دکمه‌های اشتراک‌گذاری اجتماعی و ویجت‌های جاسازی‌شده که هنگام بارگذاری صفحه کوکی‌های شخص ثالث تنظیم می‌کنند.
- آزمون A/B و شخصی‌سازی که کاربر آن‌ها را درخواست نکرده است.
- محدودسازی تکرار تبلیغات. به تجربه کاربری کمک می‌کند، اما برای ارائه صفحه ضروری نیست.
مدت و دامنه همچنان اهمیت دارند
کوکی‌ای که واقعاً ضروری است هم اگر بیش از نیاز آن کارکرد عمر کند یا داده بیشتری جمع کند، می‌تواند مسئله‌ساز شود. کوکی نشستی که یک سال باقی می‌ماند، یا کوکی امنیتی‌ای که یک پروفایل بازاریابی هم می‌نویسد، حمایت خود را از دست می‌دهد. عمر را کوتاه و محتوا را حداقلی نگه دارید.
استدلال خود را مستند کنید
برای هر کوکی یا مورد ذخیره‌سازی که کاملاً ضروری طبقه‌بندی می‌کنید، سه چیز را بنویسید: کارکردی که کاربر درخواست کرده و این مورد از آن پشتیبانی می‌کند، اینکه چرا آن کارکرد بدون آن از کار می‌افتد، و مدت ماندگاری آن. یک جدول کوتاه در کنار فهرست کوکی‌هایتان کافی است. هنگام بازبینی فهرست، هر مورد را به چالش بکشید: اگر تنها دلیل این است که «همیشه همین‌طور کرده‌ایم»، آن را به پشت رضایت منتقل کنید.
این استثنا فقط شامل کوکی‌ها نمی‌شود. حافظه محلی، حافظه نشست، اثر انگشت دستگاه و شناسه‌های SDK در اپلیکیشن‌ها هم تحت همان منطق ماده 5(3) قرار می‌گیرند، پس آن‌ها را هم در بازبینی خود بگنجانید.
جایگاه FlexyConsent
FlexyConsent یک CMP تأییدشده توسط Google است (CMP ID 317)، از سوی IAB Europe و IAB Canada تأیید شده و بنر آن به 57 زبان در دسترس است. یک CMP به شما امکان می‌دهد تگ‌های غیرضروری را تا زمان انتخاب کاربر نگه دارید، در حالی که موارد واقعاً ضروری همچنان بارگذاری می‌شوند. تصمیم درباره اینکه هر کوکی به کدام دسته تعلق دارد همچنان با شماست، پس استدلال مستندشده خود را به‌روز نگه دارید.
نکات کلیدی
- این استثنا ذخیره‌سازی کاملاً لازم برای سرویسی را پوشش می‌دهد که کاربر صراحتاً درخواست کرده، نه ذخیره‌سازی‌ای که درآمد شما به آن نیاز دارد.
- کوکی‌های نشست، سبد خرید، توزیع بار، امنیت و سابقه رضایت نمونه‌های معمول واجد شرایط هستند.
- تحلیل‌ها، تبلیغات، ویجت‌های اجتماعی و شخصی‌سازی عموماً به رضایت نیاز دارند.
- مدت و محتوا مهم‌اند: کوکی‌های ضروری را کوتاه‌عمر و حداقلی نگه دارید.
- همین آزمون را درباره حافظه محلی، حافظه نشست و شناسه‌های اپلیکیشن هم به کار ببرید.
- استدلال هر موردی را که کاملاً ضروری طبقه‌بندی می‌کنید مستند کنید و مرتب بازبینی کنید.