Miksi poikkeuksella on merkitystä

ePrivacy-direktiivin (5 artiklan 3 kohta) mukaan tietojen tallentaminen käyttäjän laitteelle tai lukeminen sieltä edellyttää yleensä ennakkosuostumusta. Poikkeuksia on kaksi, ja julkaisijat nojaavat useimmin poikkeukseen, joka koskee tallennusta, joka on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämän palvelun tarjoamiseksi. Kaikki, mitä tämä poikkeus ei kata, kuuluu suostumusbannerisi taakse.

Monet sivustot venyttävät poikkeusta kattamaan analytiikan, A/B-testauksen, mainosten näyttökertojen rajoituksen ja personoinnin. Viranomaiset ovat toistuvasti torjuneet tämän tulkinnan, joten on kannattavaa ymmärtää tarkasti, mihin raja menee.

Kaksiosainen testi

Poikkeus ei koske sitä, mikä on sinulle kätevää. Se esittää kaksi kysymystä:

1. Onko käyttäjä nimenomaisesti pyytänyt palvelua? Artikkelin lataaminen on pyyntö. Tuotteen lisääminen ostoskoriin on pyyntö. Jokaiselle sivulle tyrkyttämäsi chat-widgetin avaaminen ei ole.
2. Onko tallennus ehdottoman välttämätöntä juuri sen palvelun tarjoamiseksi? Jos palvelu toimisi ilman evästettä tai tunnistetta, vaikka vähemmän kätevässä muodossa, tallennus ei todennäköisesti ole ehdottoman välttämätöntä.

Huomaa, että ”välttämätön liiketoimintamallillemme” ei ole sama asia kuin ”välttämätön palvelulle, jota käyttäjä pyysi”. Mainostulot pitävät ilmaisen sivuston hengissä, mutta mainoskohdennuksen tunnisteita ei tarvita artikkelin näyttämiseen.

Yleisesti hyväksytyt esimerkit

• Istunto- ja todennusevästeet, jotka pitävät kirjautuneen käyttäjän kirjautuneena istunnon ajan.
• Ostoskorievästeet, jotka muistavat tuotteet käyttäjän kassalle siirtyessä.
• Kuormantasaustunnisteet, jotka ohjaavat pyynnön oikealle palvelimelle.
• Tietoturvaevästeet, joita käytetään toistuvien epäonnistuneiden kirjautumisyritysten havaitsemiseen tai väärennettyjen pyyntöjen torjuntaan.
• Itse suostumustallenne, koska käyttäjän valinnan muistaminen on välttämätöntä sen noudattamiseksi.
• Käyttöliittymäasetukset, jotka käyttäjä on asettanut tarkoituksella, kuten kieli, kun ne tallennetaan istunnoksi tai koska käyttäjä on ne valinnut.

Yleisesti väärin luokitellut esimerkit

• Analytiikkaevästeet. Jotkin viranomaiset sallivat rajoitetun, yksityisyyttä suojaavan yleisömittauksen kapein edellytyksin, mutta tavalliset analytiikkatagit vaativat yleensä suostumuksen. Tarkista yleisöösi sovellettavan viranomaisen ohjeistus.
• Mainonnan ja uudelleenkohdennuksen tunnisteet. Niitä ei koskaan tarvita itse sisällön toimittamiseen.
• Sosiaalisen median jakopainikkeet ja upotetut widgetit, jotka asettavat kolmannen osapuolen evästeitä sivun latautuessa.
• A/B-testaus ja personointi, jota käyttäjä ei ole pyytänyt.
• Näyttökertojen rajoitus mainoksille. Se parantaa käyttökokemusta, mutta ei ole välttämätöntä sivun toimittamiseksi.

Kestolla ja laajuudella on yhä merkitystä

Eväste, joka on aidosti välttämätön, voi silti muuttua ongelmalliseksi, jos se säilyy pidempään tai kerää enemmän kuin toiminto vaatii. Istuntoeväste, joka säilyy vuoden, tai tietoturvaeväste, joka kirjoittaa myös markkinointiprofiilin, menettää suojansa. Pidä käyttöikä lyhyenä ja sisältö minimaalisena.

Dokumentoi perustelusi

Kirjaa jokaisesta evästeestä tai tallennuskohteesta, jonka luokittelet ehdottoman välttämättömäksi, kolme asiaa: käyttäjän pyytämä toiminto, jota se tukee, miksi toiminto lakkaisi toimimasta ilman sitä, ja sen käyttöikä. Lyhyt taulukko evästeluettelosi rinnalla riittää. Kun käyt listaa läpi, haasta jokainen kohta: jos ainoa peruste on ”olemme aina tehneet näin”, siirrä se suostumuksen taakse.

Poikkeus ei koske vain evästeitä. Local storage, session storage, laitteen sormenjälkien tunnistus ja sovellusten SDK-tunnisteet kuuluvat samaan 5 artiklan 3 kohdan logiikkaan, joten sisällytä ne tarkasteluun.

Missä FlexyConsent on mukana

FlexyConsent on Googlen sertifioima CMP (CMP ID 317), IAB Europen ja IAB Canadan sertifioima, ja sen banneri on saatavilla 57 kielellä. CMP:n avulla voit pidättää ei-välttämättömät tagit, kunnes käyttäjä on valinnut, kun taas aidosti välttämättömät osat latautuvat edelleen. Se, mihin luokkaan kukin eväste kuuluu, on edelleen sinun päätettävissäsi, joten pidä dokumentoidut perustelusi ajan tasalla.

Keskeiset huomiot

• Poikkeus kattaa tallennuksen, joka on ehdottoman välttämätöntä käyttäjän nimenomaisesti pyytämälle palvelulle, ei tulojesi kannalta välttämätöntä tallennusta.
• Istunto-, ostoskori-, kuormantasaus-, tietoturva- ja suostumustallenne-evästeet ovat tyypilliset ehdot täyttävät esimerkit.
• Analytiikka, mainonta, sosiaaliset widgetit ja personointi vaativat yleensä suostumuksen.
• Käyttöiällä ja sisällöllä on merkitystä: pidä välttämättömät evästeet lyhytikäisinä ja minimaalisina.
• Käytä samaa testiä local storageen, session storageen ja sovellustunnisteisiin.
• Dokumentoi perustelut jokaiselle kohteelle, jonka luokittelet ehdottoman välttämättömäksi, ja tarkista ne säännöllisesti.