कुकी-रहित एनालिटिक्स: क्या अब भी सहमति चाहिए?
“बैनर की ज़रूरत नहीं” का वादा
गोपनीयता-केंद्रित एनालिटिक्स उपकरण अक्सर खुद को कुकी-रहित बताते हैं, और कुछ आगे बढ़कर यह भी सुझाते हैं कि अब आपको सहमति बैनर की ज़रूरत नहीं। हल्के स्टैक वाले प्रकाशक के लिए यह आकर्षक विचार है। वास्तविकता अधिक बारीक है। सहमति की ज़रूरत है या नहीं, यह इस पर निर्भर करता है कि उपकरण डिवाइस पर वास्तव में क्या करता है, वह कौन-सा डेटा प्रोसेस करता है, आपके उपयोगकर्ता कहाँ हैं, और आपके पेजों पर और क्या चलता है।
यह लेख वे प्रश्न समझाता है जो एनालिटिक्स को अपने सहमति सेटअप से हटाने से पहले पूछने चाहिए। यह सामान्य मार्गदर्शन है, कानूनी सलाह नहीं।
कुकी ही एकमात्र ट्रिगर नहीं हैं
EU में डिवाइस के लिए सहमति का नियम ePrivacy निर्देश के अनुच्छेद 5(3) से आता है। यह उपयोगकर्ता के डिवाइस पर जानकारी संग्रहीत करने, या उससे जानकारी तक पहुँचने को कवर करता है — केवल कुकी को नहीं। लोकल स्टोरेज, सेशन स्टोरेज, ऐसे पिक्सेल जो जानकारी पढ़वाते हैं, और डिवाइस की विशेषताओं से आइडेंटिफ़ायर निकालने वाली तकनीकें, सब इसके अंतर्गत आ सकती हैं। यूरोपीय डेटा संरक्षण बोर्ड ने यह व्यापक व्याख्या अनुच्छेद 5(3) के तकनीकी दायरे पर Guidelines 2/2023 में रखी।
इसलिए “हम कुकी सेट नहीं करते” विश्लेषण की शुरुआत है, अंत नहीं। आपको जानना होगा कि उपकरण डिवाइस पर कुछ भी संग्रहीत करता है या पढ़ता है या नहीं।
किसी भी एनालिटिक्स उपकरण के बारे में चार प्रश्न
1. क्या वह डिवाइस पर कुछ संग्रहीत करता है या पढ़ता है?
पेज लोड के बाद ब्राउज़र के स्टोरेज पैनल देखें: कुकी, लोकल स्टोरेज, सेशन स्टोरेज, IndexedDB। स्क्रिप्ट में ऐसा कोड खोजें जो आइडेंटिफ़ायर बनाने के लिए डिवाइस की विशेषताएँ एकत्र करता हो। यदि एनालिटिक्स उद्देश्यों के लिए कुछ भी संग्रहीत या पढ़ा जाता है, तो छूट लागू न होने तक ePrivacy नियम सक्रिय हो जाता है।
2. क्या वह व्यक्तिगत डेटा प्रोसेस करता है?
डिवाइस स्टोरेज के बिना भी एनालिटिक्स आमतौर पर IP पते, यूज़र एजेंट और पेज URL प्रोसेस करता है। GDPR के अंतर्गत ये व्यक्तिगत डेटा हो सकते हैं। इसके लिए कानूनी आधार चाहिए — जो सहमति के बजाय वैध हित हो सकता है — साथ ही आपकी गोपनीयता सूचना में पारदर्शिता, डेटा न्यूनीकरण और उचित अवधारण। “बैनर नहीं” का अर्थ कभी “कोई दायित्व नहीं” नहीं होता।
3. क्या आपके उपयोगकर्ताओं के देशों में कोई छूट लागू होती है?
कुछ नियामक मानते हैं कि सीमित ऑडियंस मापन सख्त शर्तें पूरी होने पर सहमति से मुक्त हो सकता है। फ़्रांस के CNIL ने ऑडियंस मापन ट्रैकर को छूट देने की शर्तें प्रकाशित की हैं और ऐसे उपकरणों की पहचान करने का कार्यक्रम चलाता है जिन्हें उन्हें पूरा करने के लिए कॉन्फ़िगर किया जा सकता है। शर्तों में आमतौर पर कड़ाई से फ़र्स्ट-पार्टी उपयोग, केवल एकत्रित आँकड़े, क्रॉस-साइट ट्रैकिंग नहीं और सीमित अवधारण शामिल हैं। UK के Data (Use and Access) Act 2025 ने PECR की सहमति आवश्यकता में नए अपवाद पेश किए, जिनमें कुछ सांख्यिकीय उद्देश्य शामिल हैं, स्पष्ट जानकारी और आपत्ति का तरीका जैसी शर्तों के अधीन। हर देश का दृष्टिकोण एक जैसा नहीं है, इसलिए आप जिन बाज़ारों में सेवा देते हैं उनमें स्थिति और लागू प्रावधान जाँचें।
4. क्या डेटा किसी और के साथ साझा होता है?
यदि उपकरण डेटा किसी ऐसे विक्रेता को भेजता है जो उसे अपने उद्देश्यों के लिए उपयोग करता है, या ग्राहकों के बीच मिलाता है, तो छूट आम तौर पर समाप्त हो जाती है। केवल मार्केटिंग पेज नहीं, प्रोसेसिंग की शर्तें पढ़ें।
अब भी आमतौर पर किसके लिए सहमति चाहिए
- विज्ञापन टैग। विज्ञापन-समर्थित प्रकाशकों को वैयक्तिकृत विज्ञापन और विज्ञापन विक्रेताओं द्वारा डिवाइस स्टोरेज के लिए सहमति चाहिए, चाहे उनका एनालिटिक्स उपकरण कुछ भी करे।
- सेशन के पार आइडेंटिफ़ायर वाले उपकरण। स्थायी विज़िटर ID, फ़र्स्ट-पार्टी भी हो तो, उपकरण को अधिकांश छूटों से बाहर कर देते हैं।
- सेशन रिप्ले और हीटमैप। ये विस्तृत व्यवहार कैप्चर करते हैं और शायद ही कभी छूट प्राप्त मापन माने जाते हैं।
- एम्बेडेड सामग्री और सोशल विजेट। ये अपनी कुकी और आइडेंटिफ़ायर सेट करते हैं।
- कन्वर्ज़न और रीमार्केटिंग पिक्सेल। ये व्यवहार को विज्ञापन से जोड़ने के लिए ही होते हैं।
अधिकांश विज्ञापन-समर्थित साइटों के लिए बैनर ऐड स्टैक के कारण वैसे भी आवश्यक है। असली प्रश्न यह है कि एनालिटिक्स गेट की गई श्रेणियों में से एक हो, या संकीर्ण छूट के अंतर्गत स्वतंत्र रूप से चल सके।
निर्णय का व्यावहारिक तरीका
- हर एनालिटिक्स स्क्रिप्ट की सूची बनाएँ और देखें कि वह क्या संग्रहीत करती है, पढ़ती है और भेजती है।
- उन देशों की पहचान करें जहाँ आपके अधिकांश उपयोगकर्ता हैं।
- हर उपकरण के लिए जाँचें कि उसका कॉन्फ़िगरेशन उन देशों में मान्य छूट की शर्तें पूरी करता है या नहीं।
- उपकरण को आपके लिए आवश्यक सबसे सख्त संस्करण पर कॉन्फ़िगर करें: IP ट्रंकेशन, कोई स्थायी ID नहीं, छोटी अवधारण, कोई डेटा साझाकरण नहीं।
- तर्क दस्तावेज़ करें और एनालिटिक्स उपकरण को दोनों स्थितियों में अपनी कुकी नीति और गोपनीयता सूचना में सूचीबद्ध रखें।
- जब विक्रेता अपना उत्पाद बदले या आपके बाज़ार बदलें तब फिर जाँचें।
CMP के साथ छूट प्राप्त एनालिटिक्स चलाना
यदि आप तय करते हैं कि कोई उपकरण योग्य है, तो उसे अपने CMP में आवश्यक या छूट प्राप्त के रूप में सूचीबद्ध करें ताकि वह प्रकट हो पर गेट न हो, और सुनिश्चित करें कि उसका कॉन्फ़िगरेशन छूट के भीतर रहे। कई प्रकाशक समृद्ध मापन के लिए सहमति-निर्भर एनालिटिक्स सेटअप भी रखते हैं और उपयोगकर्ता के विकल्प के आधार पर उसे समायोजित करने के लिए Google Consent Mode v2 या समान संकेतों का उपयोग करते हैं। FlexyConsent, IAB TCF 2.4 और IAB GPP v1.1 के साथ Google Consent Mode v2 को सपोर्ट करता है।
मुख्य बातें
- “कुकी-रहित” का अपने आप अर्थ “सहमति की ज़रूरत नहीं” नहीं है; अनुच्छेद 5(3) किसी भी डिवाइस स्टोरेज या पहुँच को कवर करता है।
- डिवाइस स्टोरेज के बिना एनालिटिक्स भी व्यक्तिगत डेटा प्रोसेस कर सकता है और उसे कानूनी आधार तथा पारदर्शिता चाहिए।
- ऑडियंस मापन के लिए छूट कुछ देशों में मौजूद है लेकिन सख्त शर्तों के साथ आती है।
- विज्ञापन, सेशन रिप्ले और रीमार्केटिंग टैग को अब भी सहमति चाहिए।
- दस्तावेज़ करें कि उपकरण को छूट प्राप्त क्यों माना गया है और नियमित रूप से फिर जाँचें।