Janji “Tanpa Banner”

Alat analitik yang berfokus pada privasi sering memasarkan diri sebagai tanpa cookie, dan sebagian bahkan menyiratkan bahwa Anda tidak lagi memerlukan banner persetujuan. Bagi penerbit dengan tumpukan yang ramping, itu gagasan yang menarik. Kenyataannya lebih bernuansa. Apakah persetujuan diperlukan bergantung pada apa yang sebenarnya dilakukan alat itu di perangkat, data apa yang diprosesnya, di mana pengguna Anda berada, dan apa lagi yang berjalan di halaman Anda.

Artikel ini menjelaskan pertanyaan yang perlu diajukan sebelum Anda mengeluarkan analitik dari pengaturan persetujuan. Ini adalah panduan umum, bukan nasihat hukum.

Cookie Bukan Satu-satunya Pemicu

Di UE, aturan persetujuan untuk perangkat berasal dari Pasal 5(3) Direktif ePrivacy. Pasal ini mencakup penyimpanan informasi di perangkat pengguna, atau pengaksesan informasi dari perangkat tersebut — bukan hanya cookie. Local storage, session storage, piksel yang menyebabkan informasi dibaca, dan teknik yang menurunkan pengenal dari karakteristik perangkat semuanya dapat termasuk di dalamnya. Dewan Perlindungan Data Eropa (EDPB) menetapkan pembacaan yang luas ini dalam Pedoman 2/2023 tentang cakupan teknis Pasal 5(3).

Jadi “kami tidak memasang cookie” adalah awal analisis, bukan akhirnya. Anda perlu tahu apakah alat itu menyimpan atau membaca sesuatu di perangkat sama sekali.

Empat Pertanyaan untuk Alat Analitik Apa Pun

1. Apakah ia menyimpan atau membaca sesuatu di perangkat?

Periksa panel penyimpanan browser setelah halaman dimuat: cookie, local storage, session storage, IndexedDB. Periksa skripnya untuk kode yang mengumpulkan karakteristik perangkat guna membangun pengenal. Jika ada yang disimpan atau dibaca untuk tujuan analitik, aturan ePrivacy berlaku kecuali ada pengecualian.

2. Apakah ia memproses data pribadi?

Bahkan tanpa penyimpanan perangkat, analitik biasanya memproses alamat IP, user agent, dan URL halaman. Berdasarkan GDPR, semua itu bisa menjadi data pribadi. Hal itu memerlukan dasar hukum — yang bisa berupa kepentingan sah dan bukan persetujuan — ditambah transparansi dalam pemberitahuan privasi Anda, minimisasi data, dan retensi yang sesuai. “Tanpa banner” tidak pernah berarti “tanpa kewajiban”.

3. Apakah ada pengecualian di negara pengguna Anda?

Sebagian regulator mengakui bahwa pengukuran audiens yang terbatas dapat dikecualikan dari persetujuan jika syarat yang ketat terpenuhi. CNIL Prancis telah menerbitkan syarat untuk mengecualikan pelacak pengukuran audiens dan memiliki program yang mengidentifikasi alat yang dapat dikonfigurasi untuk memenuhinya. Syaratnya biasanya mencakup penggunaan first-party secara ketat, hanya statistik teragregasi, tanpa pelacakan lintas situs, dan retensi terbatas. Data (Use and Access) Act 2025 Inggris memperkenalkan pengecualian baru dari persyaratan persetujuan PECR, termasuk untuk tujuan statistik tertentu, dengan syarat seperti informasi yang jelas dan cara untuk menolak. Tidak semua negara memiliki pandangan yang sama, jadi periksa posisi di setiap pasar yang Anda layani dan ketentuan mana yang sudah berlaku.

4. Apakah datanya dibagikan kepada pihak lain?

Jika alat itu mengirim data ke vendor yang memakainya untuk tujuannya sendiri, atau menggabungkannya di antara pelanggan, pengecualian umumnya gugur. Baca ketentuan pemrosesannya, bukan hanya halaman pemasarannya.

Yang Biasanya Tetap Memerlukan Persetujuan

• Tag iklan. Penerbit berbasis iklan memerlukan persetujuan untuk iklan yang dipersonalisasi dan untuk penyimpanan perangkat oleh vendor iklan, apa pun yang dilakukan alat analitik mereka.
• Alat dengan pengenal lintas sesi. ID pengunjung yang persisten, bahkan first-party, cenderung membuat alat berada di luar sebagian besar pengecualian.
• Session replay dan heatmap. Keduanya menangkap perilaku secara rinci dan jarang diperlakukan sebagai pengukuran yang dikecualikan.
• Konten tertanam dan widget sosial. Semuanya memasang cookie dan pengenalnya sendiri.
• Piksel konversi dan remarketing. Piksel ini ada untuk menghubungkan perilaku dengan iklan.

Bagi sebagian besar situs berbasis iklan, banner tetap diperlukan untuk tumpukan iklan. Pertanyaan sebenarnya adalah apakah analitik harus menjadi salah satu kategori yang dibatasi atau dapat berjalan mandiri di bawah pengecualian yang sempit.

Cara Praktis untuk Memutuskan

1. Daftarkan setiap skrip analitik dan apa yang disimpan, dibaca, dan dikirimnya.
2. Identifikasi negara tempat sebagian besar pengguna Anda berada.
3. Untuk setiap alat, periksa apakah konfigurasinya memenuhi pengecualian yang diakui di negara-negara tersebut.
4. Konfigurasikan alat ke versi paling ketat yang Anda perlukan: pemotongan IP, tanpa ID persisten, retensi singkat, tanpa berbagi data.
5. Dokumentasikan alasannya dan tetap cantumkan alat analitik dalam kebijakan cookie dan pemberitahuan privasi Anda, apa pun hasilnya.
6. Periksa ulang ketika vendor mengubah produknya atau pasar Anda berubah.

Menjalankan Analitik yang Dikecualikan Bersama CMP

Jika Anda memutuskan suatu alat memenuhi syarat, cantumkan sebagai sangat diperlukan atau dikecualikan di CMP Anda agar diungkapkan tetapi tidak dibatasi, dan pastikan konfigurasinya tetap dalam batas pengecualian. Banyak penerbit juga mempertahankan pengaturan analitik yang bergantung pada persetujuan untuk pengukuran yang lebih kaya dan memakai Google Consent Mode v2 atau sinyal serupa untuk menyesuaikannya berdasarkan pilihan pengguna. FlexyConsent mendukung Google Consent Mode v2 bersama IAB TCF 2.4 dan IAB GPP v1.1.

Poin Penting

• “Tanpa cookie” tidak otomatis berarti “tidak perlu persetujuan”; Pasal 5(3) mencakup setiap penyimpanan atau akses perangkat.
• Analitik tanpa penyimpanan perangkat tetap dapat memproses data pribadi dan memerlukan dasar hukum serta transparansi.
• Pengecualian untuk pengukuran audiens ada di beberapa negara tetapi disertai syarat yang ketat.
• Tag iklan, session replay, dan remarketing tetap memerlukan persetujuan.
• Dokumentasikan mengapa suatu alat diperlakukan sebagai dikecualikan dan periksa ulang secara berkala.