‘अत्यंत आवश्यक’ कुकी छूट: क्या आता है और क्या नहीं
यह छूट क्यों मायने रखती है
ePrivacy निर्देश (अनुच्छेद 5(3)) के तहत, उपयोगकर्ता के डिवाइस पर जानकारी स्टोर करने या पढ़ने के लिए सामान्यतः पूर्व सहमति आवश्यक है। इसके दो अपवाद हैं, और पब्लिशर सबसे ज़्यादा उस छूट पर भरोसा करते हैं जो ऐसे स्टोरेज के लिए है जो उपयोगकर्ता द्वारा स्पष्ट रूप से माँगी गई सेवा देने के लिए अत्यंत आवश्यक हो। जो कुछ भी इस छूट के दायरे में नहीं आता, वह आपके सहमति बैनर के पीछे आता है।
कई साइटें इस छूट को खींचकर एनालिटिक्स, A/B टेस्टिंग, विज्ञापन फ़्रीक्वेंसी कैपिंग और पर्सनलाइज़ेशन तक ले जाती हैं। नियामकों ने इस व्याख्या का बार-बार विरोध किया है, इसलिए यह ठीक-ठीक समझना फ़ायदेमंद है कि रेखा कहाँ खिंचती है।
दो-भाग वाली कसौटी
यह छूट इस बारे में नहीं है कि आपके लिए क्या सुविधाजनक है। यह दो सवाल पूछती है:
- क्या उपयोगकर्ता ने सेवा की स्पष्ट रूप से माँग की थी? कोई लेख लोड करना एक माँग है। बास्केट में आइटम जोड़ना एक माँग है। हर पेज पर आपके द्वारा थोपा गया चैट विजेट खोलना माँग नहीं है।
- क्या स्टोरेज ठीक उसी सेवा को देने के लिए अत्यंत आवश्यक है? यदि कुकी या आइडेंटिफ़ायर के बिना भी सेवा चलती रहती, भले ही कम सुविधाजनक रूप में, तो स्टोरेज संभवतः अत्यंत आवश्यक नहीं है।
ध्यान दें कि “हमारे बिज़नेस मॉडल के लिए आवश्यक” और “उपयोगकर्ता द्वारा माँगी गई सेवा के लिए आवश्यक” एक ही बात नहीं हैं। विज्ञापन राजस्व एक मुफ़्त साइट को ज़िंदा रखता है, लेकिन विज्ञापन-टार्गेटिंग आइडेंटिफ़ायर किसी लेख को दिखाने के लिए ज़रूरी नहीं हैं।
आम तौर पर स्वीकृत उदाहरण
- सेशन और ऑथेंटिकेशन कुकी जो लॉग-इन उपयोगकर्ता को सेशन के दौरान लॉग-इन रखती हैं।
- शॉपिंग बास्केट कुकी जो चेकआउट के दौरान आइटम याद रखती हैं।
- लोड-बैलेंसिंग आइडेंटिफ़ायर जो रिक्वेस्ट को सही सर्वर तक पहुँचाते हैं।
- सिक्योरिटी कुकी जिनका उपयोग बार-बार विफल लॉगिन पहचानने या जाली रिक्वेस्ट से बचाव के लिए होता है।
- सहमति का रिकॉर्ड स्वयं, क्योंकि उपयोगकर्ता की पसंद का सम्मान करने के लिए उसे याद रखना ज़रूरी है।
- इंटरफ़ेस प्राथमिकताएँ जो उपयोगकर्ता ने जानबूझकर सेट की हैं, जैसे भाषा, जब वे सेशन के लिए या इसलिए स्टोर की जाती हैं कि उपयोगकर्ता ने उन्हें चुना है।
आम तौर पर गलत वर्गीकृत उदाहरण
- एनालिटिक्स कुकी। कुछ अधिकारी संकरी शर्तों के तहत सीमित, गोपनीयता-संरक्षी ऑडियंस मापन की अनुमति देते हैं, लेकिन मानक एनालिटिक्स टैग को आम तौर पर सहमति चाहिए। अपनी ऑडियंस पर लागू होने वाले प्राधिकरण का मार्गदर्शन देखें।
- विज्ञापन और रिटार्गेटिंग आइडेंटिफ़ायर। कंटेंट देने के लिए इनकी कभी ज़रूरत नहीं होती।
- सोशल शेयरिंग बटन और एम्बेडेड विजेट जो पेज लोड पर थर्ड-पार्टी कुकी सेट करते हैं।
- A/B टेस्टिंग और पर्सनलाइज़ेशन जो उपयोगकर्ता ने नहीं माँगा।
- फ़्रीक्वेंसी कैपिंग विज्ञापनों के लिए। यह उपयोगकर्ता अनुभव में मदद करती है, लेकिन पेज देने के लिए अनिवार्य नहीं है।
अवधि और दायरा अब भी मायने रखते हैं
जो कुकी वाकई ज़रूरी है, वह भी समस्या बन सकती है यदि वह फ़ंक्शन की ज़रूरत से ज़्यादा समय तक रहे या ज़्यादा डेटा इकट्ठा करे। एक साल तक बनी रहने वाली सेशन कुकी, या मार्केटिंग प्रोफ़ाइल भी लिखने वाली सिक्योरिटी कुकी, अपनी सुरक्षा खो देती है। जीवनकाल छोटा और सामग्री न्यूनतम रखें।
अपने तर्क को दस्तावेज़ित करें
हर उस कुकी या स्टोरेज आइटम के लिए जिसे आप अत्यंत आवश्यक वर्गीकृत करते हैं, तीन बातें लिखें: वह उपयोगकर्ता द्वारा माँगा गया कौन-सा फ़ंक्शन समर्थित करता है, उसके बिना वह फ़ंक्शन क्यों टूट जाएगा, और उसका जीवनकाल। आपकी कुकी इन्वेंटरी के साथ रखी गई एक छोटी तालिका पर्याप्त है। सूची की समीक्षा करते समय हर प्रविष्टि को चुनौती दें: यदि एकमात्र तर्क “हम हमेशा से ऐसा करते आए हैं” है, तो उसे सहमति के पीछे ले जाएँ।
यह छूट केवल कुकी तक सीमित नहीं है। लोकल स्टोरेज, सेशन स्टोरेज, डिवाइस फ़िंगरप्रिंटिंग और ऐप्स में SDK आइडेंटिफ़ायर भी अनुच्छेद 5(3) के उसी तर्क के अंतर्गत आते हैं, इसलिए उन्हें अपनी समीक्षा में शामिल करें।
FlexyConsent कहाँ फ़िट होता है
FlexyConsent एक Google-प्रमाणित CMP (CMP ID 317) है, जो IAB Europe और IAB Canada द्वारा प्रमाणित है, और इसका बैनर 57 भाषाओं में उपलब्ध है। CMP आपको गैर-आवश्यक टैग तब तक रोके रखने देता है जब तक उपयोगकर्ता चुनाव न कर ले, जबकि आपके वाकई आवश्यक आइटम लोड होते रहते हैं। हर कुकी किस श्रेणी की है, यह तय करना अब भी आपका निर्णय है, इसलिए अपने दस्तावेज़ित तर्क को अद्यतन रखें।
मुख्य बातें
- यह छूट उस स्टोरेज को कवर करती है जो उपयोगकर्ता द्वारा स्पष्ट रूप से माँगी गई सेवा के लिए अत्यंत आवश्यक है, उस स्टोरेज को नहीं जो आपके राजस्व के लिए आवश्यक है।
- सेशन, बास्केट, लोड-बैलेंसिंग, सिक्योरिटी और सहमति-रिकॉर्ड कुकी विशिष्ट योग्य उदाहरण हैं।
- एनालिटिक्स, विज्ञापन, सोशल विजेट और पर्सनलाइज़ेशन को आम तौर पर सहमति चाहिए।
- जीवनकाल और सामग्री मायने रखते हैं: आवश्यक कुकी को अल्पकालिक और न्यूनतम रखें।
- वही कसौटी लोकल स्टोरेज, सेशन स्टोरेज और ऐप आइडेंटिफ़ायर पर लागू करें।
- अत्यंत आवश्यक वर्गीकृत हर आइटम के लिए तर्क दस्तावेज़ित करें और नियमित रूप से उसकी समीक्षा करें।