אנליטיקה ללא עוגיות: האם עדיין צריך הסכמה?
ההבטחה של “אין צורך בבאנר”
כלי אנליטיקה שמתמקדים בפרטיות משווקים את עצמם לעיתים קרובות כנטולי עוגיות, וחלקם הולכים רחוק יותר ורומזים שכבר אין צורך בבאנר הסכמה. עבור מפרסם עם מערך רזה, זה רעיון מושך. המציאות מורכבת יותר. האם נדרשת הסכמה תלוי במה שהכלי עושה בפועל במכשיר, אילו נתונים הוא מעבד, איפה המשתמשים שלכם נמצאים, ומה עוד רץ בעמודים שלכם.
מאמר זה מסביר אילו שאלות כדאי לשאול לפני שמסירים אנליטיקה מהגדרת ההסכמה שלכם. זוהי הנחיה כללית, לא ייעוץ משפטי.
עוגיות אינן הטריגר היחיד
באיחוד האירופי, כלל ההסכמה למכשירים נובע מסעיף 5(3) להוראת ePrivacy. הוא חל על אחסון מידע במכשיר המשתמש או גישה למידע ממנו — לא רק עוגיות. אחסון מקומי, אחסון סשן, פיקסלים שגורמים לקריאת מידע וטכניקות שמפיקות מזהים ממאפייני המכשיר, כולם עשויים להיכלל בו. מועצת הגנת המידע האירופית פרטה קריאה רחבה זו בהנחיות 2/2023 בדבר ההיקף הטכני של סעיף 5(3).
לכן “אנחנו לא קובעים עוגיות” הוא תחילת הניתוח, לא סופו. צריך לדעת אם הכלי מאחסן או קורא משהו במכשיר בכלל.
ארבע שאלות על כל כלי אנליטיקה
1. האם הוא מאחסן או קורא משהו במכשיר?
בדקו את לוחות האחסון של הדפדפן לאחר טעינת עמוד: עוגיות, אחסון מקומי, אחסון סשן, IndexedDB. בדקו בסקריפט קוד שאוסף מאפייני מכשיר כדי לבנות מזהה. אם משהו מאוחסן או נקרא לצורכי אנליטיקה, כלל ה-ePrivacy חל אלא אם חל פטור.
2. האם הוא מעבד מידע אישי?
גם בלי אחסון במכשיר, אנליטיקה בדרך כלל מעבדת כתובות IP, user agents וכתובות URL של עמודים. לפי ה-GDPR אלה עשויים להיות מידע אישי. הדבר דורש עילה משפטית — שיכולה להיות אינטרס לגיטימי ולא הסכמה — וכן שקיפות בהודעת הפרטיות, מזעור נתונים ושמירה מתאימה. “בלי באנר” אף פעם לא אומר “בלי חובות”.
3. האם חל פטור במדינות המשתמשים שלכם?
חלק מהרגולטורים מכירים בכך שמדידת קהל מוגבלת עשויה להיות פטורה מהסכמה אם מתקיימים תנאים מחמירים. ה-CNIL הצרפתית פרסמה תנאים לפטור למעקבי מדידת קהל ומנהלת תוכנית שמזהה כלים שאפשר להגדיר כך שיעמדו בהם. התנאים כוללים בדרך כלל שימוש צד ראשון בלבד, סטטיסטיקות מצטברות בלבד, אי מעקב בין אתרים ושמירה מוגבלת. חוק הנתונים (שימוש וגישה) 2025 של בריטניה הכניס חריגים חדשים לדרישת ההסכמה של PECR, כולל למטרות סטטיסטיות מסוימות, בכפוף לתנאים כמו מידע ברור ודרך להתנגד. לא כל מדינה נוקטת אותה עמדה, ולכן בדקו את המצב בכל שוק שאתם משרתים ואילו הוראות בתוקף.
4. האם המידע משותף עם גורם אחר?
אם הכלי שולח מידע לספק שמשתמש בו למטרותיו שלו, או משלב אותו בין לקוחות, פטורים בדרך כלל נופלים. קראו את תנאי העיבוד, לא רק את דף השיווק.
מה בדרך כלל עדיין דורש הסכמה
- תגי פרסום. מפרסמים שמבוססים על פרסום צריכים הסכמה לפרסום מותאם אישית ולאחסון במכשיר על ידי ספקי פרסום, לא משנה מה כלי האנליטיקה שלהם עושה.
- כלים עם מזהים בין סשנים. מזהי מבקר מתמשכים, אפילו צד ראשון, נוטים להוציא כלי מרוב הפטורים.
- הפעלה חוזרת של סשנים ומפות חום. אלה לוכדים התנהגות מפורטת וממעטים להיחשב מדידה פטורה.
- תוכן מוטמע וווידג׳טים חברתיים. אלה קובעים עוגיות ומזהים משלהם.
- פיקסלי המרה ורימרקטינג. אלה קיימים כדי לקשר התנהגות לפרסום.
ברוב האתרים שמבוססים על פרסום, הבאנר נדרש בכל מקרה למערך הפרסום. השאלה האמיתית היא אם אנליטיקה צריכה להיות אחת מהקטגוריות המותנות או יכולה לפעול באופן עצמאי תחת פטור צר.
דרך מעשית להחליט
- רשמו כל סקריפט אנליטיקה ומה הוא מאחסן, קורא ושולח.
- זהו את המדינות שבהן נמצאים רוב המשתמשים שלכם.
- לכל כלי, בדקו אם התצורה שלו עומדת בפטור מוכר באותן מדינות.
- הגדירו את הכלי לגרסה המחמירה ביותר שאתם צריכים: קטימת IP, בלי מזהים מתמשכים, שמירה קצרה, בלי שיתוף נתונים.
- תעדו את הנימוק ושמרו את כלי האנליטיקה רשום במדיניות העוגיות ובהודעת הפרטיות בכל מקרה.
- בדקו שוב כשהספק משנה את המוצר שלו או כשהשווקים שלכם משתנים.
הרצת אנליטיקה פטורה לצד CMP
אם החלטתם שכלי עומד בתנאים, רשמו אותו ב-CMP שלכם כהכרחי לחלוטין או פטור כך שיוצהר עליו אך לא יותנה, ווודאו שהתצורה שלו נשארת במסגרת הפטור. מפרסמים רבים גם שומרים הגדרת אנליטיקה התלויה בהסכמה למדידה עשירה יותר, ומשתמשים ב-Google Consent Mode v2 או באותות דומים כדי להתאים אותה לבחירת המשתמש. FlexyConsent תומך ב-Google Consent Mode v2 לצד IAB TCF 2.4 ו-IAB GPP v1.1.
עיקרי הדברים
- “ללא עוגיות” אינו אומר אוטומטית “אין צורך בהסכמה”; סעיף 5(3) חל על כל אחסון או גישה במכשיר.
- אנליטיקה ללא אחסון במכשיר עדיין יכולה לעבד מידע אישי ודורשת עילה משפטית ושקיפות.
- פטורים למדידת קהל קיימים בחלק מהמדינות אך מגיעים עם תנאים מחמירים.
- תגי פרסום, הפעלה חוזרת של סשנים ורימרקטינג עדיין דורשים הסכמה.
- תעדו מדוע כלי נחשב פטור ובדקו שוב באופן קבוע.