Pažadas „reklamjuostės nereikia“

Į privatumą orientuoti analitikos įrankiai dažnai save reklamuoja kaip veikiančius be slapukų, o kai kurie eina toliau ir užsimena, kad sutikimo reklamjuostės nebereikia. Leidėjui su lieso steko tai viliojanti mintis. Tikrovė subtilesnė. Ar sutikimo reikia, priklauso nuo to, ką įrankis iš tikrųjų daro įrenginyje, kokius duomenis tvarko, kur yra jūsų vartotojai ir kas dar veikia jūsų puslapiuose.

Šiame straipsnyje paaiškinami klausimai, kuriuos reikia užduoti, prieš pašalinant analitiką iš sutikimo sąrankos. Tai bendro pobūdžio gairės, o ne teisinė konsultacija.

Slapukai nėra vienintelė sąlyga

ES įrenginių sutikimo taisyklė kyla iš e. privatumo direktyvos 5 straipsnio 3 dalies. Ji apima informacijos saugojimą vartotojo įrenginyje arba prieigą prie jos — ne tik slapukus. Į ją gali patekti vietinė saugykla, sesijos saugykla, pikseliai, dėl kurių skaitoma informacija, ir metodai, išvedantys identifikatorius iš įrenginio savybių. Europos duomenų apsaugos valdyba šį platų aiškinimą išdėstė savo 2/2023 gairėse dėl 5 straipsnio 3 dalies techninės taikymo srities.

Todėl „nenustatome slapukų“ yra analizės pradžia, o ne pabaiga. Turite žinoti, ar įrankis apskritai ką nors saugo ar skaito įrenginyje.

Keturi klausimai apie bet kurį analitikos įrankį

1. Ar jis ką nors saugo ar skaito įrenginyje?

Įkėlę puslapį patikrinkite naršyklės saugyklos skydelius: slapukus, vietinę saugyklą, sesijos saugyklą, IndexedDB. Patikrinkite, ar skripte nėra kodo, renkančio įrenginio savybes identifikatoriui sukurti. Jei analitikos tikslais kas nors saugoma ar skaitoma, e. privatumo taisyklė taikoma, nebent taikoma išimtis.

2. Ar jis tvarko asmens duomenis?

Net be saugojimo įrenginyje analitika paprastai tvarko IP adresus, user agent ir puslapių URL. Pagal BDAR tai gali būti asmens duomenys. Tam reikia teisinio pagrindo — jis gali būti teisėtas interesas, o ne sutikimas — taip pat skaidrumo privatumo pranešime, duomenų kiekio mažinimo ir tinkamo saugojimo. „Jokios reklamjuostės“ niekada nereiškia „jokių pareigų“.

3. Ar jūsų vartotojų šalyse taikoma išimtis?

Kai kurie reguliuotojai pripažįsta, kad ribotas auditorijos matavimas gali būti atleistas nuo sutikimo, jei įvykdytos griežtos sąlygos. Prancūzijos CNIL paskelbė auditorijos matavimo sekimo priemonių atleidimo sąlygas ir vykdo programą, nurodančią įrankius, kuriuos galima sukonfigūruoti joms atitikti. Sąlygos paprastai apima vien pirmosios šalies naudojimą, tik suvestinę statistiką, jokio sekimo tarp svetainių ir ribotą saugojimą. Jungtinės Karalystės 2025 m. Data (Use and Access) Act įvedė naujų PECR sutikimo reikalavimo išimčių, įskaitant tam tikrus statistinius tikslus, esant sąlygoms, tokioms kaip aiški informacija ir galimybė nesutikti. Ne visos šalys laikosi tos pačios nuomonės, todėl patikrinkite padėtį kiekvienoje aptarnaujamoje rinkoje ir kurios nuostatos galioja.

4. Ar duomenimis dalijamasi su kuo nors kitu?

Jei įrankis siunčia duomenis tiekėjui, kuris juos naudoja savo tikslais arba derina tarp klientų, išimtys paprastai nebetaikomos. Perskaitykite tvarkymo sąlygas, o ne tik rinkodaros puslapį.

Kam paprastai vis tiek reikia sutikimo

• Reklamos žymės. Iš reklamos gyvenantiems leidėjams reikia sutikimo suasmenintai reklamai ir reklamos tiekėjų saugojimui įrenginyje, nesvarbu, ką daro jų analitikos įrankis.
• Įrankiai su identifikatoriais tarp sesijų. Pastovūs lankytojų ID, net ir pirmosios šalies, paprastai išveda įrankį už daugumos išimčių ribų.
• Sesijų įrašymas ir šilumos žemėlapiai. Jie fiksuoja išsamų elgesį ir retai laikomi atleistu matavimu.
• Įterptas turinys ir socialiniai valdikliai. Jie nustato savo slapukus ir identifikatorius.
• Konversijų ir perrinkodaros pikseliai. Jie egzistuoja elgesiui susieti su reklama.

Daugumai iš reklamos gyvenančių svetainių reklamjuostė reklamos stekui reikalinga bet kuriuo atveju. Tikrasis klausimas yra, ar analitika turėtų būti viena iš valdomų kategorijų, ar gali veikti nepriklausomai pagal siaurą išimtį.

Praktinis būdas apsispręsti

1. Išvardykite kiekvieną analitikos skriptą ir tai, ką jis saugo, skaito ir siunčia.
2. Nustatykite šalis, kuriose yra dauguma jūsų vartotojų.
3. Kiekvienam įrankiui patikrinkite, ar jo konfigūracija atitinka tose šalyse pripažintą išimtį.
4. Sukonfigūruokite įrankį pagal griežčiausią reikalingą variantą: IP sutrumpinimas, jokių pastovių ID, trumpas saugojimas, jokio dalijimosi duomenimis.
5. Dokumentuokite pagrindimą ir analitikos įrankį bet kuriuo atveju palikite nurodytą slapukų politikoje ir privatumo pranešime.
6. Patikrinkite iš naujo, kai tiekėjas pakeičia produktą arba pasikeičia jūsų rinkos.

Atleistos analitikos veikimas kartu su CMP

Jei nuspręsite, kad įrankis tinka, nurodykite jį CMP kaip griežtai būtiną arba atleistą, kad jis būtų atskleistas, bet nevaldomas, ir užtikrinkite, kad jo konfigūracija liktų išimties ribose. Daugelis leidėjų taip pat palaiko nuo sutikimo priklausomą analitikos sąranką turtingesniam matavimui ir naudoja Google Consent Mode v2 ar panašius signalus, kad ją pritaikytų pagal vartotojo pasirinkimą. FlexyConsent palaiko Google Consent Mode v2 kartu su IAB TCF 2.4 ir IAB GPP v1.1.

Pagrindinės išvados

• „Be slapukų“ automatiškai nereiškia „sutikimo nereikia“; 5 straipsnio 3 dalis apima bet kokį saugojimą įrenginyje ar prieigą prie jo.
• Analitika be saugojimo įrenginyje vis tiek gali tvarkyti asmens duomenis ir jai reikia teisinio pagrindo bei skaidrumo.
• Auditorijos matavimo išimčių yra kai kuriose šalyse, tačiau su griežtomis sąlygomis.
• Reklamai, sesijų įrašymui ir perrinkodaros žymėms vis tiek reikia sutikimo.
• Dokumentuokite, kodėl įrankis laikomas atleistu, ir reguliariai tikrinkite iš naujo.