מה היא בעצם ה-EDPB Cookie Banner Taskforce

ה-Taskforce היא גוף תיאום, ולא רגולטור בפני עצמה. היא הוקמה מכוח Article 70 של ה-GDPR, המסמיך את ה-EDPB לקדם שיתוף פעולה בין רשויות הגנת המידע הלאומיות בסוגיות של עניין משותף. הטריגר היה מסע תלונות שהגיש noyb — קבוצת הסנגוריה על פרטיות של Max Schrems — נגד מאות אתרים ברחבי ה-EU. מכיוון שהתלונות הללו נגעו לרשויות כמעט בכל מדינה חברה, ה-EDPB החליט ליצור פורום אחד שבו DPAs יכולים להשוות הערות ולהגיע למסגרת אנליטית משותפת. הפלט של ה-Taskforce לובש צורה של דוחות המתעדים אילו בחירות עיצוב נחשבות להפרות של דרישות ההסכמה, מאורגנות לפי קטגוריה.

המבנה הזה חשוב בפועל. הדוחות אינם מחייבים בדרך שבה תקנה או קנס לאומי מחייבים, אך הם מתארים את עמדת הקונצנזוס של כל DPA אירופאי. כאשר רשות לאומית פותחת חקירה, היא יכולה — וכיום עושה זאת יותר ויותר — להצביע על ממצאי ה-Taskforce כראיה לכך שדפוס באנר שנוי במחלוקת כבר נשפט כלא תקין על ידי הקהילה הרגולטורית הרחבה יותר. עבור מפרסמים, ההשפעה המעשית היא שכל באנר שעומד בקריטריונים של ה-Taskforce ניתן להגנה בכל ה-EU. כל באנר שנכשל בקריטריונים אלה חשוף בכל מקום בבת אחת.

שש הקטגוריות שעליהן מתמקדת ה-Taskforce

ה-Taskforce מקבצת את ממצאיה לשישה תחומי בעיה חופפים. כל אחד מתאים לדפוס עיצוב שהופיע שוב ושוב בתלונות noyb ושה-DPAs סימנו יחד כהפרה.

1. אין כפתור דחייה בשכבה הראשונה

הממצא המצוטט ביותר בדוחות. אם מבקר רואה כפתור "קבל הכול" על הבאנר הראשוני אך אין כפתור "דחה הכול" שקול, הבחירה אינה ניתנת בחופשיות. אפשרויות הקבלה והדחייה חייבות להיות מוצגות בבולטות שווה באותה שכבה. קבירת נתיב הדחייה מאחורי קישור "ניהול העדפות" הוא הדפוס הנפוץ ביותר בפעולות אכיפה כיום.

2. תיבות סימון מסומנות מראש

בחירה מראש של הסכמה לכל קטגוריה שאינה חיונית — אפילו אחת — מבטלת את כל רשומת ההסכמה לפי Recital 32 של ה-GDPR. ה-Taskforce מתייחסת לכך כהפרה כשלעצמה. CMPs מודרניים מגיעים עם זה כבוי כברירת מחדל, אך יישומים ישנים ובאנרים תוצרת בית עדיין מסמנים לעתים קרובות קטגוריות אנליטיקה או שיווק מראש.

3. עיצוב קישור מטעה

כינוי נתיב הדחייה "מידע נוסף" או עיצובו כקישור טקסט בניגודיות נמוכה בעוד כפתור הקבלה הוא בלוק צבעוני בניגודיות גבוהה יוצר חוסר איזון שה-Taskforce רואה בו דפוס עיצוב מטעה. התרופה פשוטה: התאמת משקל גופן, ניגודיות צבע ועיצוב כפתורים בין קבלה ודחייה.

4. סיווג שגוי של עוגיות כ"חיוניות"

חלק מהמפעילים ניסו להתחמק מדרישת ההסכמה לחלוטין על ידי תיוג מחדש של עוגיות אנליטיקה, פרסום או מדיה חברתית כנחוצות בהחלט. ה-Taskforce הייתה מפורשת: עוגייה היא חיונית רק אם האתר אינו יכול לפעול בלעדיה מנקודת המבט של המשתמש. עוגיות אנליטיקה, A/B testing, פרסום והתאמה אישית אינן מתאימות. תיוגן השגוי הוא עצמו הפרה בלתי תלויה במעקב הבסיסי.

5. אין מנגנון לביטול הסכמה

ביטול ההסכמה חייב להיות קל כמו מתן ההסכמה. באנר שמקבל הסכמה בלחיצה אחת אך מכריח משתמשים לעבור דרך תפריט הגדרות רב-שלבי כדי לבטלה אינו עומד במבחן זה. ה-Taskforce קוראת במפורש לפקד עקבי — בדרך כלל אייקון צף או קישור בכותרת תחתונה — שמחזיר את המבקר לפני השטח המקורי של ההסכמה.

6. עיצוב באנר שמסתיר את הבחירה

זוהי הקטגוריה הרחבה והסובייקטיבית ביותר. היא כוללת שכבות-על החוסמות את תוכן הדף עד שניתנת הסכמה, באנרים שכפתור הדחייה שלהם נמצא מתחת לקו הגלילה, ערכות צבעים שהופכות את נתיב הדחייה לכמעט בלתי נראה, ואנימציות המסיטות את תשומת הלב מהבחירה. הנחוט המשותף הוא שהעיצוב לוחץ על המשתמש לכיוון קבלה במקום להציג בחירה ניטרלית.

המשמעות לאכיפה

ה-Taskforce אינה מטילה קנסות. DPAs לאומיים עושים זאת. אך מכיוון שכל רשות אירופאית חתמה על ניתוח ה-Taskforce, סיכון האכיפה על דפוסים ספציפיים אלה הוא כעת אחיד ברחבי ה-EU. ה-CNIL בצרפת הוציאה את סדרת הקנסות הגדולה ביותר הקשורה לעוגיות עד כה, אך ה-Garante האיטלקי, ה-AEPD הספרדי, הרשויות ברמת המדינה הגרמנית וה-DPC האירי כולם פתחו חקירות תוך ציון נימוקים מיושרים עם ה-Taskforce. אפילו ה-ICO הבריטי, שנמצא מחוץ להיקף הרגולטורי של ה-EU, פרסם הנחיות המשקפות מקרוב את קטגוריות ה-Taskforce.

המשמעות של התכנסות זו בפועל היא שמפרסמים אינם יכולים עוד להתייחס לציות כתרגיל מדינה-מדינה. ביקורת באנר צריכה להימדד מול קטגוריות ה-Taskforce כרשימת תיוג מאוחדת. אם הבאנר נכשל בכל אחת משש, הסיכון אינו DPA אחד אלא כל הרשת הפיקוחית האירופאית.

רשימת תיוג לביקורת מעשית

הדרך המהירה ביותר להביא באנר קיים לעמידה בדרישות היא להריץ אותו מול הקטגוריות לעיל ולענות על כל פריט עם כן או לא מתועד. השאלות הן קונקרטיות בכוונה.

• איזון שכבה ראשונה. האם הבאנר הראשוני מציע כפתור מפורש "דחה הכול" או "המשך ללא קבלה" על אותו פני שטח כמו "קבל הכול", עם עיצוב דומה?
• מצב ברירת מחדל. האם כל מתגי הקטגוריות הלא-חיוניות מוגדרים לכבוי כברירת מחדל בתצוגת ההעדפות?
• בהירות קישור. האם נתיב הדחייה מתויג בפועל המתאר את הפעולה (למשל, "דחה הכול", "סרב ללא-חיוניים"), ולא בביטוי עמום כמו "אפשרויות נוספות" או "הגדרות"?
• סיווג עוגיות. האם וידאת שכל עוגייה המסווגת כ"נחוצה בהחלט" נדרשת באמת לפעולת האתר, ולא לצורכי אנליטיקה, פרסום או נוחות?
• גישה לביטול הסכמה. האם קיים אלמנט UI עקבי בכל דף הפותח מחדש את באנר ההסכמה, בלא יותר קליקים ממה שדרשה הקבלה המקורית?
• ללא דפוסים אפלים. האם הבאנר נמנע מבחירות צבע, גודל או אנימציה היוצרות חוסר איזון חזותי משמעותי בין קבלה ודחייה?

באנר שמחזיר שישה "כן" ברורים לרשימת התיוג הזו ניתן להגנה מפני אכיפה מיושרת עם ה-Taskforce הנוכחית. באנר שמחזיר אפילו "לא" אחד צריך להיחשב כפרויקט תיקון ולא כמשימת תחזוקה.

לאן פניה של ה-Taskforce בהמשך

הדוחות שפורסמו מכסים את הדפוסים שהצית את גל התלונות המקורי. עבודת ה-Taskforce המתמשכת — גלויה דרך העדכונים התקופתיים שמפרסם ה-EDPB — דוחפת כעת לשטח קשה וסבוך יותר. שלושה תחומים צפויים להגדיר את סבב ההנחיות הבא.

מודלים של תשלום-או-הסכמה

ההחלטה של מספר מפרסמים אירופאיים גדולים להציע למבקרים בחירה בינארית בין תשלום מנוי להסכמה למעקב משכה ביקורת מפורשת. ה-EDPB הוציא חוות דעת ב-2024 המפקפקת האם ניתן לראות בחירה כזו כחופשית כאשר החלופה היא חומת תשלום. ה-Taskforce צפויה לפרסם קריטריונים מתואמים מתי תשלום-או-הסכמה מותר ומתי הוא הופך לכפייה.

עייפות הסכמה ופירוט

פני שטח הסכמה מפורטים מאוד לפי ספק, כמו אלה שנוצרים על ידי ה-IAB TCF, ספגו ביקורת על כך שהם מייצרים עייפות הסכמה ובסופו של דבר אינם "מדוועים" במשמעות ה-GDPR. הנחיות ה-Taskforce העתידיות צפויות לדחוף לפקדי ברמת קטגוריה ולא ברמת ספק בשכבה הראשונה, כאשר גילוי ברמת ספק זמין אך אינו נדרש להסכמה ראשונית תקינה.

פני שטח לנייד וטלוויזיה מחוברת

רוב עבודת ה-Taskforce המוקדמת התמקדה בבאנרים לאינטרנט. זרימות הסכמה ב-in-app לנייד וממשקי טלוויזיה מחוברת כפופים לאילוצי עיצוב שונים ועדיין לא היו נושא לממצאים מפורטים. מפרסמים הפועלים על פני שטחים אלה צריכים לצפות להנחיות מתואמות בתוך 12 עד 18 החודשים הקרובים, ולא להניח שדפוס באנר אינטרנט תקין מתורגם אוטומטית.

סיכום

ה-Taskforce עשתה משהו שה-GDPR לבדו לא יכול היה: היא הפיקה פרשנות תפעולית אחת למה שנראית הסכמה בפועל ברחבי האיחוד האירופי. עבור מפרסמים, הלקח הוא שעידן ה-jurisdiction-shopping או ההסתמכות על אכיפה לאומית רופפת תם. התגובה הנכונה היא להתייחס לקטגוריות ה-Taskforce כסטנדרט פנימי מחייב, לבצע ביקורת על באנרים קיימים מולם, ולהגדיר את תשתית ניהול ההסכמה כך שהקטגוריות ייאכפו ברמת הפלטפורמה ולא יישארו ליישום לפי דף. CMP מודרני הממפה בצורה נקייה על שש הקטגוריות — כפתורי שכבה ראשונה מאוזנים, מתגי ברירת מחדל כבויים, תוויות דחייה בשפה פשוטה, סיווג עוגיות מדויק, גישה עקבית לביטול הסכמה ועיצוב ניטרלי — הופך עמדת ציות חשופה לכזו הניתנת להגנה בכל שוק אירופאי בו-זמנית.