Hvað EDPB Cookie Banner Taskforce er í raun og veru

Taskforce er samræmingaraðili, ekki eftirlitsaðili í eigin rétti. Hún var stofnuð samkvæmt Article 70 GDPR, sem veitir EDPB vald til að auðvelda samstarf milli þjóðlegra gagnverndaryfirvalda um spurningar af sameiginlegum hagsmunum. Kveikjan var kvörtunarherferð sem noyb — friðhelgisréttindasamtök Max Schrems — höfðaði gegn hundruðum vefsíðna um allt EU. Vegna þess að þessar kvartanir snerust um yfirvöld í næstum hverri aðildarríki ákvað EDPB að búa til eitt vettvang þar sem DPA-ín gætu borið saman athugasemdir og komist að sameiginlegu greiningarramma. Niðurstaða taskforce kemur í formi skýrslna sem skrá hvaða hönnunarval er talið brjóta í bága við samþykkiskröfur, skipulagt eftir flokkum.

Þessi uppbygging skiptir máli í reynd. Skýrslurnar eru ekki bindandi á þann hátt sem reglugerð eða þjóðlegt sekt er bindandi, en þær lýsa samstöðu afstöðu hvers evrópska DPA. Þegar þjóðlegt yfirvaldt opnar rannsókn getur það — og gerir það í auknum mæli — bent á niðurstöður taskforce sem sönnunargögn fyrir því að deilumál brennimynstur hefur þegar verið dæmt ekki í samræmi við reglur af víðara eftirlitssamfélaginu. Fyrir útgefendur er hagnýt áhrif þau að hvaða brennir sem er samþykktur gagnvart viðmiðum taskforce er varnarfær um allt EU. Hvaða brennir sem bregst þeim viðmiðum er útsettur alls staðar í einu.

Sex flokkar sem Taskforce einbeitir sér að

Taskforce flokkar niðurstöður sínar í sex skarandi vandamálasvið. Hvert og eitt samsvarar hönnunarmynstri sem kom upp ítrekað í kvörtunum noyb og sem DPA-ín hafa sameiginlega merkt sem brot.

1. Engin hafnaðartakki á fyrsta lag

Mest vitnað niðurstaðan í skýrslunum. Ef gestur sér „Samþykkja allt" takka á upphaflega brenninum en engan jafngildan „Hafna öllu" takka, er valið ekki gefið frjálslega. Samþykkis- og hafnunarmöguleikar verða að vera kynntir með jöfnum áherslum á sama lagi. Það að fela hafnunarslóðina á bak við „Stjórna stillingum" tengil er eitt algengasta mynstrið í framfylgdaraðgerðum í dag.

2. Fyrirfram hakkaðar gátreinar

Að forvelja samþykki fyrir hvaða ónauðsynlegan flokk sem er — jafnvel einn — felur í sér ógildingu á öllu samþykktarfærslunni samkvæmt Recital 32 GDPR. Taskforce meðhöndlar þetta sem brot í sjálfu sér. Nútíma CMP koma með þetta slökkt sjálfgefið, en eldri innleiðingar og heimasmíðaðir brennar hakka enn oft greiningarlegar eða markaðssetningarflokka fyrirfram.

3. Villandi tenglaútlit

Að kalla hafnunarslóðina „Frekari upplýsingar" eða stíla hana sem lágt-samsettan textatengil á meðan samþykkistakkinn er há-samsettur litaður blokki skapar ójafnvægi sem taskforce telur villandi hönnunarmynstur. Úrræðið er einfalt: að passa leturþyngd, litasamsetning og takkaútlit milli samþykkis og hafnunar.

4. Rangt flokkun kaka sem „nauðsynlegar"

Sumir rekstraraðilar hafa reynt að sleppa samþykkiskröfunni alfarið með því að endurnefna greiningarlegar, auglýsingar- eða samfélagsmiðlakökur sem stranglega nauðsynlegar. Taskforce hefur verið skýr: kaka er nauðsynleg aðeins ef vefsíðan getur ekki starfað án hennar frá sjónarmiði notandans. Greiningarlegar, A/B testing, auglýsingar- og persónumiðuðu kökur uppfylla ekki þetta skilyrði. Að rangmerkja þær er í sjálfu sér brot óháð undirliggjandi rakningunni.

5. Engin afturköllunarbúnaður

Afturköllun samþykkis verður að vera jafn auðveld og það var að veita það. Brennir sem samþykkir samþykki með einum smelli en þvingar notendur í gegnum fjölþrepa stillingavalmynd til að afturkalla það standast ekki þetta próf. Taskforce kallar sérstaklega eftir viðvarandi stjórnun — venjulega fljótandi tákn eða fótartengil — sem skilar gestinum á upprunalegan samþykkisyfirborð.

6. Brenniútlit sem dregur úr skýrleika valsins

Þetta er breiðasta og huglæglasta flokkurinn. Hann felur í sér yfirlag sem lokab síðuefnið þar til samþykki er veitt, brennar þar sem hafnunartakkinn situr neðan við brotlínu, litasamsetningar sem gera hafnunarslóðina næstum ósýnilega og hreyfimyndir sem draga athyglina frá valinu. Sameiginlegt þráðurinn er að útlitið þrýstir notandanum í átt að samþykki frekar en að kynna hlutlægt val.

Hvað þetta þýðir fyrir framfylgd

Taskforce leggur ekki á sektir. Þjóðleg DPA-ín gera það. En vegna þess að sérhvert evrópskt yfirvaldt hefur skrifað undir greiningu taskforce er framfylgdaráhætta á þessum sérstöku mynstrum nú einsleit um allt EU. CNIL í Frakklandi hefur gefið út stærstu röð kakutengdra sekta til þessa, en ítalski Garante, spænski AEPD, þýsku ríkisstigi yfirvalda og írska DPC hafa öll opnað rannsóknir með vitnun í rökfræði í samræmi við taskforce. Jafnvel UK ICO, sem er utan eftirlitssvæðis EU, hefur birt leiðbeiningar sem líkjast mjög flokkum taskforce.

Það sem þetta samræmi þýðir í reynd er að útgefendur geta ekki lengur litið á reglufylgni sem æfingu land fyrir land. Brenniúttekt ætti að mælast gagnvart flokkum taskforce sem sameiginlegum gátlista. Ef brennirinn bregst á einhverjum af sex þáttunum er áhættan ekki eitt DPA heldur allt evrópska eftirlitsnetið.

Hagnýtur úttektargátlisti

Fljótlegasta leiðin til að koma fyrirliggjandi brenni í samræmi er að prófa hann gagnvart flokkunum hér að ofan og svara hverjum lið með skráðu já eða nei. Spurningarnar eru vísvitandi nákvæmar.

• Jafnvægi fyrsta lags. Býður upphafsbrennirinn upp á skýran „Hafna öllu" eða „Halda áfram án þess að samþykkja" takka á sama yfirborði og „Samþykkja allt", með sambærilegt útlit?
• Sjálfgefið ástand. Eru allir skiptiboðar ónauðsynlegra flokka stilltir á slökkt sjálfgefið í stillingayfirlitinu?
• Skýrleiki tengils. Er hafnunarslóðin merkt með sögn sem lýsir aðgerðinni (td. „Hafna öllu", „Neita ónauðsynlegum"), ekki tvíræðri setningu eins og „Fleiri möguleikar" eða „Stillingar"?
• Kakuflokkun. Hefurðu staðfest að sérhver kaka sem er skráð sem „stranglega nauðsynleg" sé í raun nauðsynleg til að síðan virki, ekki til greiningar, auglýsinga eða þægileikaeiginleika?
• Afturköllunараðgangur. Er til viðvarandi notendaviðmótsþáttur á hverri síðu sem opnar samþykkisbrenninn aftur, með ekki fleiri smellum en upprunalega samþykkið krafðist?
• Engin dökk mynstur. Forðast brennirinn lita-, stærðar- eða hreyfimyndaval sem skapar marktækt sjónrænt ójafnvægi milli samþykkis og hafnunar?

Brennir sem skilar sex skýrum já-svörum á þann gátlista er varnarfær gagnvart núverandi taskforce-samræmdri framfylgd. Brennir sem skilar jafnvel einu nei ætti að meðhöndla sem lagfæringaverkefni frekar en viðhaldsverk.

Hvert stefnir Taskforce næst

Birtar skýrslurnar ná yfir mynstrin sem kveiktu á upprunalegu bylgju kvartana. Áframhaldandi verk taskforce — sýnilegt í gegnum reglubundnar uppfærslur sem EDPB gefur út — þrýstir nú inn á erfiðara, minna stöðugt svæði. Þrjú svið munu líklega skilgreina næstu umferð leiðbeininga.

Greiðu-eða-samþykki líkön

Ákvörðun nokkurra stórra evrópskra útgefenda um að bjóða gestum tvíval milli þess að greiða áskrift og samþykkja rakningu hefur vakið beinan gaumskyggnileika. EDPB gaf út álit árið 2024 þar sem dregið var í efa hvort hægt sé að líta á slíkt val sem frjálslega gefið þegar kosturinn er greiðsluveggur. Búist er við að taskforce birti samræmdar viðmiðanir um hvenær greiðu-eða-samþykki er leyfilegt og hvenær það þverst í þvingun.

Samþykkisþreyta og nákvæmni

Mjög nákvæm samþykkisyfirborð á hverja birgi, eins og þau sem IAB TCF myndar, hafa verið gagnrýnd fyrir að framleiða samþykkisþreytu og að vera að lokum ekki „upplýst" í skilningi GDPR. Framtíðarleiðbeiningar taskforce munu líklega þrýsta á flokkstigsleg frekar en birgðastigsleg stjórnun á fyrsta lagi, með birgðastigsleg birting tiltæk en ekki nauðsynleg fyrir upphaflegt gilt samþykki.

Farsíma- og connected-TV yfirborð

Flest snemmkomið taskforce-verk beindist að vefbrennunum. Samþykki-flæðið í farsímaforritum og connected-TV viðmót hafa mismunandi hönnunarforsendur og hafa enn ekki verið meðal nákvæmra niðurstaðna. Útgefendur sem starfa yfir þessi yfirborð ættu að búast við samræmdum leiðbeiningum innan næstu 12 til 18 mánaða og mega ekki gera ráð fyrir að samræmt vefbrennimynstur þýðist sjálfkrafa.

Að setja þetta saman

Taskforce hefur gert eitthvað sem GDPR ein og sér gat ekki: hún hefur framleitt eina, hagnýta túlkun á því hvernig samþykki lítur út í reynd um allt Evrópusambandið. Fyrir útgefendur er lexían sú að tímabil þess að leita að hagstæðum lögsögu eða reiða sig á slakar þjóðlegar framfylgdar er liðið. Rétt viðbrögð eru að meðhöndla flokka taskforce sem bindandi innri staðal, gera úttekt á fyrirliggjandi brennum gagnvart þeim og stilla samþykkingarstjórnunarstyrkinn þannig að flokkarnir séu framfylgdir á stiðs stigi frekar en skilið eftir til innleiðingar á hverri síðu. Nútíma CMP sem kortleggst hreinlega á sex flokkana — jafnvægar fyrsta-lags takkar, sjálfgefið-slökkvar skiptiboðar, hafnunarmerki á skýru máli, nákvæm kakuflokkun, viðvarandi afturköllunараðgangur og hlutlægt útlit — breytir útsettu reglufylgniástandi í varnarfært yfir hvern evrópskum markaði samtímis.