Loforðið um „enginn borði nauðsynlegur“

Greiningartól með áherslu á persónuvernd markaðssetja sig oft sem laus við vafrakökur, og sum ganga lengra og gefa í skyn að þú þurfir ekki lengur samþykkisborða. Fyrir útgefanda með granna tæknistafla er þetta aðlaðandi hugmynd. Raunveruleikinn er blæbrigðaríkari. Hvort samþykkis sé þörf ræðst af því hvað tólið gerir í raun í tækinu, hvaða gögn það vinnur, hvar notendur þínir eru og hvað annað keyrir á síðunum þínum.

Þessi grein útskýrir spurningarnar sem þú ættir að spyrja áður en þú fjarlægir greiningar úr samþykkisuppsetningunni. Þetta eru almennar leiðbeiningar, ekki lögfræðiráðgjöf.

Vafrakökur eru ekki eina kveikjan

Í ESB kemur samþykkisreglan fyrir tæki úr 5. gr. 3. mgr. ePrivacy-tilskipunarinnar. Hún nær yfir geymslu upplýsinga í tæki notanda, eða aðgang að upplýsingum úr því — ekki aðeins vafrakökur. Staðbundin geymsla, lotugeymsla, pixlar sem valda því að upplýsingar eru lesnar og aðferðir sem leiða auðkenni af eiginleikum tækis geta allt fallið undir hana. Evrópska persónuverndarráðið setti fram þessa víðu túlkun í leiðbeiningum 2/2023 um tæknilegt gildissvið 5. gr. 3. mgr..

Því er „við setjum ekki vafrakökur“ upphaf greiningarinnar, ekki endir hennar. Þú þarft að vita hvort tólið geymir eða les eitthvað í tækinu yfirleitt.

Fjórar spurningar um hvaða greiningartól sem er

1. Geymir það eða les eitthvað í tækinu?

Athugaðu geymsluspjöld vafrans eftir að síða hefur hlaðist: vafrakökur, staðbundin geymsla, lotugeymsla, IndexedDB. Athugaðu skriftuna með tilliti til kóða sem safnar eiginleikum tækis til að búa til auðkenni. Ef eitthvað er geymt eða lesið í greiningartilgangi gildir ePrivacy-reglan nema undanþága eigi við.

2. Vinnur það persónuupplýsingar?

Jafnvel án geymslu í tæki vinna greiningar yfirleitt IP-tölur, user agent og slóðir síðna. Samkvæmt GDPR geta þetta verið persónuupplýsingar. Það krefst lagagrundvallar — sem getur verið lögmætir hagsmunir frekar en samþykki — auk gagnsæis í persónuverndartilkynningunni, lágmörkunar gagna og viðeigandi geymslutíma. „Enginn borði“ þýðir aldrei „engar skyldur“.

3. Gildir undanþága í löndum notenda þinna?

Sum eftirlitsyfirvöld viðurkenna að takmörkuð mæling á áhorfendum geti verið undanþegin samþykki ef ströngum skilyrðum er fullnægt. CNIL í Frakklandi hefur birt skilyrði fyrir undanþágu rakningartækja fyrir mælingu áhorfenda og heldur úti áætlun sem greinir tól sem hægt er að stilla til að uppfylla þau. Skilyrðin fela venjulega í sér eingöngu notkun fyrsta aðila, aðeins samantekna tölfræði, enga rakningu milli vefsvæða og takmarkaðan geymslutíma. Bresku lögin Data (Use and Access) Act 2025 innleiddu nýjar undantekningar frá samþykkiskröfu PECR, þar á meðal fyrir tiltekinn tölfræðilegan tilgang, með skilyrðum á borð við skýrar upplýsingar og leið til að andmæla. Ekki taka öll lönd sömu afstöðu, svo athugaðu stöðuna á hverjum markaði sem þú þjónar og hvaða ákvæði eru í gildi.

4. Eru gögnin deilt með öðrum?

Ef tólið sendir gögn til söluaðila sem notar þau í eigin tilgangi, eða sameinar þau yfir viðskiptavini, falla undanþágur almennt niður. Lestu vinnsluskilmálana, ekki aðeins markaðssíðuna.

Hvað þarfnast yfirleitt enn samþykkis

• Auglýsingamerki. Útgefendur sem byggja á auglýsingum þurfa samþykki fyrir persónusniðnum auglýsingum og fyrir geymslu í tæki hjá auglýsingasöluaðilum, hvað sem greiningartólið þeirra gerir.
• Tól með auðkenni milli lota. Varanleg gestaauðkenni, jafnvel frá fyrsta aðila, hafa tilhneigingu til að færa tól út fyrir flestar undanþágur.
• Upptökur lotna (session replay) og hitakort. Þetta fangar ítarlega hegðun og er sjaldan meðhöndlað sem undanþegin mæling.
• Innfellt efni og samfélagsmiðlaviðmótshlutar. Þetta setur eigin vafrakökur og auðkenni.
• Umbreytinga- og endurmarkaðspixlar. Þeir eru til til að tengja hegðun við auglýsingar.

Fyrir flest vefsvæði sem byggja á auglýsingum er borðinn nauðsynlegur fyrir auglýsingakerfið hvort sem er. Raunverulega spurningin er hvort greiningar ættu að vera einn af flokkunum sem eru hlið-stýrðir eða geti keyrt sjálfstætt undir þröngri undanþágu.

Hagnýt leið til að ákveða

1. Skráðu hverja greiningarskriftu og hvað hún geymir, les og sendir.
2. Greindu löndin þar sem flestir notendur þínir eru.
3. Athugaðu fyrir hvert tól hvort stilling þess uppfylli undanþágu sem er viðurkennd í þeim löndum.
4. Stilltu tólið á ströngustu útgáfuna sem þú þarft: stytting IP-talna, engin varanleg auðkenni, stuttur geymslutími, engin gagnamiðlun.
5. Skjalfestu rökstuðninginn og hafðu greiningartólið áfram skráð í vafrakökustefnunni og persónuverndartilkynningunni í báðum tilvikum.
6. Athugaðu aftur þegar söluaðilinn breytir vöru sinni eða markaðir þínir breytast.

Að keyra undanþegnar greiningar samhliða CMP

Ef þú ákveður að tól uppfylli skilyrðin skaltu skrá það sem bráðnauðsynlegt eða undanþegið í CMP-kerfinu þínu svo það sé upplýst um en ekki hlið-stýrt, og tryggja að stilling þess haldist innan undanþágunnar. Margir útgefendur halda líka greiningaruppsetningu sem er háð samþykki fyrir ríkari mælingar og nota Google Consent Mode v2 eða áþekk merki til að laga hana að vali notandans. FlexyConsent styður Google Consent Mode v2 samhliða IAB TCF 2.4 og IAB GPP v1.1.

Helstu atriði

• „Án vafrakaka“ þýðir ekki sjálfkrafa „ekkert samþykki nauðsynlegt“; 5. gr. 3. mgr. nær yfir alla geymslu í tæki eða aðgang að því.
• Greiningar án geymslu í tæki geta samt unnið persónuupplýsingar og þurfa lagagrundvöll og gagnsæi.
• Undanþágur fyrir mælingu áhorfenda eru til í sumum löndum en fylgja ströng skilyrði.
• Auglýsinga-, session replay- og endurmarkaðsmerki þurfa enn samþykki.
• Skjalfestu hvers vegna tól er meðhöndlað sem undanþegið og athugaðu reglulega aftur.