Por que importa a exención

Segundo a Directiva ePrivacy (artigo 5, apartado 3), almacenar ou ler información no dispositivo do usuario require normalmente consentimento previo. Hai dúas excepcións, e a que máis empregan os editores é a exención para o almacenamento estritamente necesario para prestar un servizo que o usuario solicitou explicitamente. Todo o que non cobre esa exención queda detrás do seu banner de consentimento.

Moitos sitios estiran esta exención para cubrir a analítica, as probas A/B, o límite de frecuencia de anuncios e a personalización. Os reguladores rexeitaron reiteradamente esa lectura, polo que convén entender exactamente onde está o límite.

A proba en dúas partes

A exención non trata do que lle resulta cómodo a vostede. Formula dúas preguntas:

1. Solicitou o usuario explicitamente o servizo? Cargar un artigo é unha solicitude. Engadir un produto á cesta é unha solicitude. Abrir un widget de chat que vostede lle impuxo en todas as páxinas non o é.
2. É o almacenamento estritamente necesario para prestar exactamente ese servizo? Se o servizo seguise funcionando sen a cookie ou o identificador, aínda que fose de forma menos cómoda, o almacenamento probablemente non é estritamente necesario.

Teña en conta que «necesario para o noso modelo de negocio» non é o mesmo que «necesario para o servizo que pediu o usuario». Os ingresos publicitarios manteñen vivo un sitio gratuíto, pero os identificadores de segmentación publicitaria non fan falta para amosar un artigo.

Exemplos comunmente aceptados

• Cookies de sesión e de autenticación que manteñen conectado ao usuario durante unha sesión.
• Cookies da cesta da compra que lembran os produtos mentres o usuario finaliza a compra.
• Identificadores de equilibrado de carga que dirixen unha solicitude ao servidor correcto.
• Cookies de seguridade empregadas para detectar inicios de sesión fallidos repetidos ou para defenderse de solicitudes falsificadas.
• O propio rexistro de consentimento, porque lembrar a elección do usuario é necesario para respectala.
• Preferencias de interface que o usuario estableceu deliberadamente, como o idioma, cando se almacenan para a sesión ou porque o usuario as escolleu.

Exemplos comunmente mal clasificados

• Cookies de analítica. Algunhas autoridades permiten unha medición de audiencia limitada e respectuosa coa privacidade en condicións estreitas, pero as etiquetas de analítica estándar xeralmente precisan consentimento. Consulte a orientación da autoridade que se aplica á súa audiencia.
• Identificadores publicitarios e de retargeting. Nunca fan falta para entregar o contido en si.
• Botóns de compartir en redes sociais e widgets incrustados que establecen cookies de terceiros ao cargar a páxina.
• Probas A/B e personalización que o usuario non solicitou.
• Límite de frecuencia para anuncios. Axuda á experiencia do usuario, pero non é esencial para entregar a páxina.

A duración e o alcance seguen importando

Unha cookie que é realmente esencial pode converterse en problemática se vive máis tempo ou recolle máis do que necesita a función. Unha cookie de sesión que persiste un ano, ou unha cookie de seguridade que tamén escribe un perfil de mercadotecnia, perde a súa protección. Manteña a vida útil curta e o contido mínimo.

Documente o seu razoamento

Para cada cookie ou elemento de almacenamento que clasifique como estritamente necesario, anote tres cousas: a función solicitada polo usuario á que dá soporte, por que esa función deixaría de funcionar sen el e a súa vida útil. Abonda cunha táboa curta mantida xunto ao seu inventario de cookies. Ao revisar a lista, cuestione cada entrada: se o único argumento é «sempre o fixemos así», móvaa detrás do consentimento.

A exención tamén se aplica a algo máis que cookies. O almacenamento local, o almacenamento de sesión, a pegada dixital do dispositivo e os identificadores de SDK nas aplicacións caen baixo a mesma lóxica do artigo 5, apartado 3, así que inclúaos na súa revisión.

Onde encaixa FlexyConsent

FlexyConsent é un CMP certificado por Google (CMP ID 317), certificado por IAB Europe e IAB Canada, cun banner dispoñible en 57 idiomas. Un CMP permite reter as etiquetas non esenciais ata que o usuario elixa, mentres os seus elementos realmente esenciais seguen cargando. Decidir a que categoría pertence cada cookie segue sendo cousa súa, así que manteña actualizado o seu razoamento documentado.

Conclusións clave

• A exención cobre o almacenamento estritamente necesario para un servizo que o usuario solicitou explicitamente, non o almacenamento necesario para os seus ingresos.
• As cookies de sesión, cesta, equilibrado de carga, seguridade e rexistro de consentimento son os exemplos típicos que cumpren.
• A analítica, a publicidade, os widgets sociais e a personalización xeralmente precisan consentimento.
• A duración e o contido importan: manteña as cookies esenciais de vida curta e mínimas.
• Aplique a mesma proba ao almacenamento local, ao almacenamento de sesión e aos identificadores de aplicacións.
• Documente o razoamento de cada elemento que clasifique como estritamente necesario e revíseo con regularidade.