გაერთიანებული სამეფოს კონფიდენციალურობის გარემო Brexit-ის შემდეგ

როდესაც გაერთიანებული სამეფო გავიდა ევროპის კავშირიდან, მონაცემთა დაცვაზე უარი არ უთქვამს. გაერთიანებულმა სამეფომ ევროკავშირის GDPR შიდა კანონმდებლობაში გადაიტანა, როგორც UK GDPR, რომელიც პარალელურად მოქმედებს Data Protection Act 2018-თან. კონკრეტულად cookie-ებისთვის, Privacy and Electronic Communications Regulations (PECR) — ePrivacy დირექტივის ბრიტანული იმპლემენტაცია — კვლავ მოქმედებს. შედეგად მივიღეთ კონფიდენციალურობის ჩარჩო, რომელიც ძალიან ჰგავს ევროკავშირის სისტემას, მაგრამ დამოუკიდებლად ხორციელდება გაერთიანებული სამეფოს ინფორმაციის კომისრის ოფისის (ICO) მიერ.

ვებგვერდების ოპერატორებისთვის ეს ნიშნავს, რომ გაერთიანებული სამეფოს ვიზიტორების მომსახურება მოითხოვს ყურადღებას ცალკე წესების, მითითებებისა და აღსრულების პრაქტიკის მიმართ. მიუხედავად იმ���სა, რომ შინაარსობრივად ის ჰგავს EU GDPR-ს, ნიუანსები მნიშვნელოვანია.

UK GDPR vs EU GDPR: ძირითადი განსხვავებები

UK GDPR თავის ბირთვულ პრინციპებსა და მოთხოვნებში არსებითად იდენტურია EU GDPR-ს. თუმცა, Brexit-ის შემდეგ რამდენიმე განსხვავება გამოიკვეთა:

• სამეთვალყურეო ორგანო: ICO არის ერთადერთი სამეთვალყურეო ორგანო UK GDPR-ისთვის და ანაცვლებს ევროკავშირის მონაცემთა დაცვის ორგანოების როლს. თქვენ ვერ დაგაჯარიმებენ ერთდროულად ICO და ევროკავშირის DPA მხოლოდ გაერთიანებული სამეფოს რეზიდენტებზე მომუშავე ერთი და იმავე მონაცემთა დამუშავე��ის აქტივობისთვის.
• ადეკვატურობა მონაცემთა გადაცემისას: ევროკავშირმა 2021 წლის ივნისში მიანიჭა გაერთიანებულ სამეფოს ადეკვატურობის გადაწყვეტილება, რაც საშუალებას აძლევს პერსონალური მონაცემები თავისუფლად გადაიდინოს ევროკავშირიდან გაერთიანებულ სამეფოში. ეს გადაწყვეტილება პერიოდულ გადახედვას ექვემდებარება. გაერთიანებულმა სამეფომ თავის მხრივ აღიარა EEA ადეკვატურად.
• საერთაშორისო გადაცემები: გაერთიანებულ სამეფოს აქვს საკუთარი ჩარჩო საერთაშორისო მონაცემთა გადაცემებისთვის, სადაც ადეკვატ��რობის გადაწყვეტილებებს იღებს სახელმწიფო მდივანი (და არა ევროპის კომისია). გაერთიანებული სამეფო მიუთითებს უფრო მოქნილ მიდგომაზე საერთაშორისო გადაცემების მიმართ, თუმცა ძირითადი გარანტიები უცვლელი რჩება.
• აღსრულების მიდგომა: ICO ტრადიციულად ამჯობინებდა ჩართულობასა და მითითებებს აგრესიული ჯარიმების ნაცვლად. მაქსიმალური ჯარიმები UK GDPR-ის ფარგლებში ჰგავს ევროკავშირისას: მაქსიმუმ GBP 17.5 მილიონი ან გლობალური წლიური ბრუნვის 4 პროცენტი, რომელიც უფრო მაღალია.
• პოტენციური დივერგენცია: გაერთიანებული სა��ეფოს მთავრობა განიხილავდა რეფორმებს Data Protection and Digital Information Bill-ის მეშვეობით, რომელიც შეიძლება შეცვლიდეს ლეგიტიმური ინტერესის შეფასებებს, კვლევით გამონაკლისებს და მონაცემთა დაცვის ოფიცრების როლს. ვებგვერდების ოპერატორებმა უნდა აკონტროლონ ეს კანონპროექტი მომავალი ცვლილებებისთვის.

PECR: გაერთიანებული სამეფოს Cookie კანონი

მიუხედავად იმისა, რომ UK GDPR უზრუნველყოფს პერსონალური მონაცემების დამუშავების ზოგად ჩარჩოს, PECR სპეციალურად არეგულირებს cookie-ებსა და მსგავს ტექნოლოგიებს. PECR წინ უსწრებს GDPR-ს და ახორციელებს EU ePrivacy ���ირექტივას გაერთიანებული სამეფოს კანონმდებლობაში. მისი ძირითადი მოთხოვნები cookie-ებისთვის არის:

• თანხმობა აუცილებელია ნებისმიერი არაესენციური cookie-ის დაყენებამდე მომხმარებლის მოწყობილობაზე. ეს მოიცავს ანალიტიკურ, სარეკლამო და სოციალური მედიის cookie-ებს.
• ინფორმაცია უნდა მიეწოდოს იმის შესახებ, თუ რა cookie-ები დგინდება და რისთვის გამოიყენება ისინი, გასაგები და მარტივი ენით.
• თანხმობა უნდა იყოს თავისუფლად მიცემული, კონკრეტული და ინფორმირებული. წინასწარ მონიშნული ველები არ წარმოადგენს ვალი��ურ თანხმობას.
• სტრიქტულად აუცილებელი cookie-ები გამონაკლისია. cookie-ები, რომლებიც აუცილებელია მომხმარებლის მიერ აშკარად მოთხოვნილი სერვისისთვის (მაგალითად, სესიის cookie-ები ავტორიზებული ფუნქციონალობისთვის ან კალათის cookie-ები) არ საჭიროებს თანხმობას.

PECR-ის თანხმობის სტანდარტი შეესაბამება GDPR-ის თანხმობის განსაზღვრებას, რაც ნიშნავს, რომ პრაქტიკაში მოთხოვნები ძალიან ჰგავს EU ePrivacy დირექტივის მოთხოვნებს. cookie ბანერი, რომელიც შეესაბამება ევროკავშირის წესებს, ზოგადად შეესაბამება PECR-საც.

ICO-ს მითითებები Cookie ბანერებზე

ICO-მ გამოაქვეყნა დეტალური მითითებები cookie-ების შესაბამისობაზე, რომლებიც სცდება თავად PECR-ის ტექსტს. ICO-ს მითითებების ძირითადი პუნქტებია:

თანხმობა უნდა იყოს აქტიური ქმედება

უბრალოდ ვებგვერდზე ბრაუზინგის გაგრძელება არ წარმოადგენს თანხმობას. ICO პირდაპირ აცხადებს, რომ ნაგულისხმევი/იგულისხმებული თანხმობა არ არის ვალიდური. მომხმარებლებმა უნდა განახორციელონ მკაფიო, პოზიტიური ქმედება (მაგალითად, დააჭირონ ღილაკს "Accept"), სანამ არაესენციური cookie-ები დაყენდება.

უარის თქმა უნდა იყოს ისეთივე მარტივი

ICO სულ უფრო ხმამაღლა საუბრობს cookie ბანერებში არსებულ dark patterns-ზე. კერძოდ:

• "Reject All" ან ეკვივალენტური ოპცია უნდა იყოს ხელმისაწვდომი იმავე დონეზე, როგორც "Accept All". უარის თქმის ოპციის დამალვა "Manage Preferences" ეკრანის უკან მიუღებელია.
• ვიზუალური დიზაინი არ უნდა იყენებდეს ფერს, ზომას ან განლაგებას მომხმარებლების თანხმობისკენ მანიპულირებისთვის.
• ენა უნდა იყოს ნეიტრალური და არ უნდა იყოს შექმნილი იმისთვის, რომ მომხმარებლებს შერცხვენით ან ზეწოლით აიძულოს თანხმობა.

კატეგორიების გრანულარული კონტროლი

მომხმარებლებს უნ��ა შეეძლოთ თანხმობა კონკრეტულ cookie კატეგორიებზე (ანალიტიკა, მარკეტინგი, ფუნქციური) და არ უნდა იყვნენ იძულებული აირჩიონ „ყველაფერი ან არაფერი“. მიუხედავად იმისა, რომ ICO არ ავალდებულებს კონკრეტული რაოდენობის კატეგორიას, გრანულარული კონტროლის უზრუნველყოფა წარმოადგენს კარგ პრაქტიკას და შეიძლება იყოს მოთხოვნილი GDPR-ის მიზნის შეზღუდვის პრინციპიდან გამომდინარე.

Cookie კედლები პრობლემურია

ICO მიიჩნევს, რომ cookie კედლები — როდესაც ვებგვერდზე წვდომა იბლოკება, თუ მომხმარებელი არ დაეთანხმება ყველა cookie-ს — ნაკლებად სავ���რაუდოა წარმოადგენდეს ვალიდურ თანხმობას, რადგან თანხმობა თავისუფლად მიცემული არ იქნება. გამონაკლისები შეიძლება არსებობდეს ფასიან კონტენტზე, სადაც შეთავაზებულია რეალური ალტერნატივა cookie-ების გარეშე.

ICO-ს ბოლო აღსრულების ქმედებები

ICO-მ ბოლო წლებში თანდათან გაზარდა ყურადღება cookie-ების შესაბამისობაზე. აღსანიშნავი ქმედებები მოიცავს:

• სექტორული აუდიტები: ICO-მ ჩაატარა აუდიტები გაერთიანებული სამეფოს ტოპ 100 ვებგვერდზე მრავალ სექტორში და გამოაქვეყნა დასკვნები, რომლებმაც წარმოაჩინა ფართომასშტაბიანი შეუ���აბამობა. გავრცელებული პრობლემები იყო cookie-ების დაყენება თანხმობამდე, უარის თქმის ოპციის არარსებობა და არასაკმარისი ინფორმაცია cookie-ების მიზნებზე.
• გაფრთხილების წერილები: აუდიტების შემდეგ ICO-მ გაუგზავნა გაფრთხილების წერილები იმ ორგანიზაციებს, რომელთა cookie პრაქტიკა ვერ აკმაყოფილებდა მოთხოვნებს. უმეტესობამ მოიყვანა თავისი პრაქტიკა შესაბამისობაში ამ წერილების მიღების შემდეგ.
• Adtech გამოძიებები: ICO ატარებს მიმდინარე გამოძიებებს real-time bidding ეკოსისტემაში და გამოხატავს შეშფოთებას პერსონალური მონაცემების დიდი მოცულობით გაზიარებაზე პროგრამატიკული სარეკლამო cookie-ების მეშვეობით ადეკვატური თანხმობის გარეშე.
• საჯარო სექტორის აღსრულება: ICO არ ათავისუფლებს მთავრობის ვებგვერდებს; მან გასცა მითითებები და გაფრთხილებები საჯარო სექტორის ორგანიზაციებისთვის მათი cookie პრაქტიკის შესახებ.

მიუხედავად იმისა, რომ ICO-მ ჯერჯერობით არ დაუწესებია მნიშვნელოვანი ფინანსური სანქციები კონკრეტულად cookie დარღვევებისთვის, ტენდენცია აშკარად უფრო მკაცრი აღსრულებისკენ მიდის. რეგულატორმა განაცხადა, რომ ის ახლა უკვე ელოდება ორგა��იზაციების შესაბამისობას და რომ აღსრულების ქმედებები მოჰყვება მათ, ვინც არ გააუმჯობესებს პრაქტიკას.

საერთაშორისო მონაცემთა გადაცემები: გაერთიანებული სამეფოდან ევროკავშირსა და მის ფარგლებს გარეთ

Cookie თანხმობა მნიშვნელოვანწილად კვეთს საერთაშორისო მონაცემთა გადაცემების თემას. როდესაც ანალიტიკური ან სარეკლამო cookie-ები აგზავნის მონაცემებს გაერთიანებული სამეფოს გარეთ მდებარე სერვერებზე — როგორც Google Analytics აგზავნის მონაცემებს Google-ის სერვერებზე და Facebook Pixel აგზავნის მონაცემებს Meta-ს სერვერებზე — ეს წარმოადგენს საე���თაშორისო მონაცემთა გადაცემას UK GDPR-ის მიხედვით.

ამჟამინდელი მოწყობა:

• გაერთიანებული სამეფო → EEA: მონაცემები თავისუფლად გადაიდინება გაერთიანებული სამეფოს მიერ EEA-ს ადეკვატურად აღიარების საფუძველზე.
• გაერთიანებული სამეფო → აშშ: UK Extension to the EU-US Data Privacy Framework უზრუნველყოფს მექანიზმს სერტიფიცირებულ ამერიკულ ორგანიზაციებზე გადაცემებისთვის. Google და Meta სერტიფიცირებულია ამ ჩარჩოს ფარგლებში.
• გაერთიანებული სამეფო → სხვა ქვეყნები: საჭიროა შესაბამისი გარანტიები, როგორიცაა Standard Contractual Clauses (UK ვერსია) ან სავალდ���ბულო კორპორაციული წესები.

პრაქტიკული თვალსაზრისით, თუ იყენებთ Google Analytics-ს, Google Ads-ს ან სხვა მსხვილ სარეკლამო პლატფორმებს, საერთაშორისო გადაცემის მექანიზმები უკვე მოქმედებს. თუმცა, თქვენ უნდა დააფიქსიროთ ეს გადაცემები თქვენი კონფიდენციალურობის პოლიტიკაში და უზრუნველყოთ, რომ თქვენი cookie ბანერი მიუთითებს, რომ მონაცემები შეიძლება გადაიგზავნოს საერთაშორისო დონეზე.

FlexyConsent-ის გეოტარგეტინგი გაერთიანებული სამეფოს სპეციფიკური შესაბამისობისთვის

FlexyConsent უზრუნველყოფს სპეციალურ გეოტარგეტინგს გაერთიანებული სამეფოს ვიზიტორებისთვის, რაც უზრუნველყოფს შესაბამისობას ქვეყნის სპეციფიკურ რეგულაციურ ჩარჩოსთან:

• PECR-თან შესაბამისი ბანერი: გაერთიანებული სამეფოს ვიზიტორებს ხედავენ თანხმობის ბანერს, რომელიც აკმაყოფილებს ICO-ს მოთხოვნებს, მათ შორის თანაბრად目გამოკვეთილ უარის თქმის ოპციას და კატეგორიების გრანულარულ კონტროლს. არანაირი cookie არ დგინდება, სანამ არ იქნება მიღებული აქტიური თანხმობა.
• ცალკე EU კონფიგურაციისგან: მიუხედავად იმისა, რომ მოთხოვნები ჰგავს ერთმანეთს, FlexyConsent ინარჩუნებს შესაძლებლობას დამოუკიდებლ���დ დააკონფიგურიროთ UK და EU თანხმობის გამოცდილებები. ეს მომავალზე ორიენტირებულად იცავს თქვენს იმპლემენტაციას UK-EU რეგულაციური დივერგენციის შემთხვევაში.
• ICO-სთან შერწყმული დიზაინი: FlexyConsent-ის ნაგულისხმევი ბანერის შაბლონები მიჰყვება ICO-ს მითითებებს dark patterns-ის თავიდან ასაცილებლად. Accept და Reject ოპციები ვიზუალურად თანაბარია, ენა ნეიტრალურია და დიზაინი არ მანიპულირებს მომხმარებლის არჩევანს.
• Consent Mode V2 ინტეგრაცია: როგორც Google-certified CMP, FlexyConsent აგზავნის სწორ თანხმობის სიგნალებს Google სერვისებისკენ გაერთიანებული სამეფ��ს ვიზიტორებისთვის. ეს უზრუნველყოფს, რომ conversion modelling და Smart Bidding გაგრძელდეს კორექტულად, პარალელურად UK თანხმობის მოთხოვნების პატივისცემით.
• IAB TCF 2.3 მხარდაჭერა: იმ გამომცემლებისთვის, რომლებიც იყენებენ პროგრამატიკულ რეკლამას, FlexyConsent გენერირებს გაერთიანებული სამეფოსთვის შესაბამის TCF consent string-ებს, რომლებიც ცნობილია მოთხოვნისა და მიწოდების მხარის პლატფორმების მიერ, რომლებიც ოპერირებენ გაერთიანებული სამეფოს ბაზარზე.

FlexyConsent ხელმისაწვდომია ტარიფებით, რომლებიც იწყება EUR 0 per month-დან, და აქვს ნატიური ინტეგრაციები WordPress-, Shopify- და PrestaShop-თან. განსაკუთრებით გაე��თიანებული სამეფოს ბაზაზე დაფუძნებული ბიზნესებისთვის, სერტიფიცირებული CMP-ის იმპლემენტაცია აჩვენებს პროაქტიურ შესაბამისობას ICO-ს წინაშე — ფაქტორს, რომელსაც რეგულატორი აღნიშნავს, როგორც ერთ-ერთ კრიტერიუმს აღსრულების გადაწყვეტილებების მიღებისას.

ძირითადი დასკვნა: გაერთიანებული სამეფოს კონფიდენციალურობის ჩარჩო Brexit-ის შემდეგ ძალიან ჰგავს ევროკავშირისას, მაგრამ მოქმედებს საკუთარი რეგულატორით, საკუთარი აღსრულების პრაქტიკით და პოტენციურად საკუთარი მომავალი საკანონმდებლო მიმართულებით. ამ ეტაპზე უსაფრთხოა, თუ გაერთიანებული სამეფოს ვიზიტორებს იმავე წესების ქვეშ განიხილავთ, როგორც ევროკავშირის ვიზიტორებს, მაგრამ UK-სთვის სპეციფიკური თანხმობის გამოცდილებების კონფიგურირების შესაძლებლობა თქვენს საიტს აძლევს პოზიციას ადაპტაციისთვის, თუ ეს ორი ჩარჩო მომავალში გაიყოფა. გეოგაგებული CMP არის ყველაზე პრაქტიკული გზა ამ სირთულის სამართავად.