Solījums “baneris nav vajadzīgs”

Uz privātumu vērsti analītikas rīki bieži sevi reklamē kā bezsīkdatņu, un daži iet vēl tālāk un liek saprast, ka piekrišanas baneris vairs nav vajadzīgs. Izdevējam ar vieglu steku tā ir pievilcīga ideja. Realitāte ir niansētāka. Tas, vai piekrišana ir vajadzīga, ir atkarīgs no tā, ko rīks faktiski dara ierīcē, kādus datus tas apstrādā, kur atrodas jūsu lietotāji un kas vēl darbojas jūsu lapās.

Šajā rakstā izskaidroti jautājumi, kas jāuzdod, pirms analītiku izņemat no savas piekrišanas konfigurācijas. Tās ir vispārīgas vadlīnijas, nevis juridisks padoms.

Sīkdatnes nav vienīgais izraisītājs

ES noteikums par piekrišanu ierīcēm izriet no ePrivacy direktīvas 5. panta 3. punkta. Tas aptver informācijas glabāšanu lietotāja ierīcē vai piekļuvi tai — ne tikai sīkdatnes. Tajā var ietilpt lokālā krātuve, sesijas krātuve, pikseļi, kas izraisa informācijas nolasīšanu, un paņēmieni, kas atvasina identifikatorus no ierīces īpašībām. Šo plašo interpretāciju Eiropas Datu aizsardzības kolēģija izklāstīja savās Vadlīnijās 2/2023 par 5. panta 3. punkta tehnisko darbības jomu.

Tāpēc “mēs neiestatām sīkdatnes” ir analīzes sākums, nevis beigas. Jums jāzina, vai rīks vispār kaut ko glabā vai nolasa ierīcē.

Četri jautājumi par jebkuru analītikas rīku

1. Vai tas kaut ko glabā vai nolasa ierīcē?

Pēc lapas ielādes pārbaudiet pārlūka krātuves paneļus: sīkdatnes, lokālā krātuve, sesijas krātuve, IndexedDB. Pārbaudiet skriptu, vai tajā nav koda, kas vāc ierīces īpašības, lai izveidotu identifikatoru. Ja analītikas nolūkos kaut kas tiek glabāts vai nolasīts, ePrivacy noteikums ir piemērojams, ja vien nav spēkā izņēmums.

2. Vai tas apstrādā personas datus?

Pat bez datu glabāšanas ierīcē analītika parasti apstrādā IP adreses, user agent un lapu URL. Saskaņā ar GDPR tie var būt personas dati. Tam nepieciešams tiesiskais pamats — tā var būt leģitīmās intereses, nevis piekrišana —, kā arī pārredzamība jūsu privātuma paziņojumā, datu minimizēšana un atbilstošs glabāšanas laiks. “Nav banera” nekad nenozīmē “nav pienākumu”.

3. Vai jūsu lietotāju valstīs ir spēkā izņēmums?

Daži regulatori atzīst, ka ierobežota auditorijas mērīšana var būt atbrīvota no piekrišanas, ja ir izpildīti stingri nosacījumi. Francijas CNIL ir publicējusi nosacījumus auditorijas mērīšanas izsekotāju atbrīvošanai un uztur programmu, kas identificē rīkus, kurus var konfigurēt, lai tie atbilstu. Nosacījumi parasti ietver stingri pirmās puses izmantošanu, tikai apkopotu statistiku, nekādu izsekošanu starp vietnēm un ierobežotu glabāšanas laiku. Apvienotās Karalistes Data (Use and Access) Act 2025 ieviesa jaunus izņēmumus PECR piekrišanas prasībai, tostarp noteiktiem statistikas nolūkiem, ievērojot tādus nosacījumus kā skaidra informācija un iespēja iebilst. Ne visas valstis ieņem vienādu nostāju, tāpēc pārbaudiet situāciju katrā jūsu apkalpotajā tirgū un to, kuri noteikumi ir spēkā.

4. Vai dati tiek kopīgoti ar kādu citu?

Ja rīks sūta datus pārdevējam, kas tos izmanto saviem nolūkiem vai apvieno starp klientiem, izņēmumi parasti zaudē spēku. Izlasiet apstrādes noteikumus, nevis tikai mārketinga lapu.

Kam parasti joprojām nepieciešama piekrišana

• Reklāmu tagi. Reklāmu finansētiem izdevējiem nepieciešama piekrišana personalizētai reklāmai un reklāmu pārdevēju veiktai datu glabāšanai ierīcē neatkarīgi no tā, ko dara jūsu analītikas rīks.
• Rīki ar identifikatoriem starp sesijām. Pastāvīgi apmeklētāju ID, pat pirmās puses, parasti izved rīku ārpus lielākās daļas izņēmumu.
• Sesiju atkārtošana un siltuma kartes. Tās fiksē detalizētu uzvedību, un tās reti tiek uzskatītas par atbrīvotu mērīšanu.
• Iegultais saturs un sociālo tīklu logrīki. Tie iestata savas sīkdatnes un identifikatorus.
• Konversiju un remarketinga pikseļi. Tie pastāv, lai saistītu uzvedību ar reklāmu.

Lielākajai daļai reklāmu finansētu vietņu baneris reklāmu stekam ir nepieciešams tik un tā. Īstais jautājums ir, vai analītikai jābūt vienai no bloķētajām kategorijām vai tā var darboties neatkarīgi saskaņā ar šauru izņēmumu.

Praktisks veids, kā izlemt

1. Uzskaitiet katru analītikas skriptu un to, ko tas glabā, nolasa un sūta.
2. Noskaidrojiet valstis, kurās atrodas lielākā daļa jūsu lietotāju.
3. Katram rīkam pārbaudiet, vai tā konfigurācija atbilst šajās valstīs atzītam izņēmumam.
4. Konfigurējiet rīku atbilstoši stingrākajai nepieciešamajai versijai: IP saīsināšana, nav pastāvīgu ID, īss glabāšanas laiks, nav datu kopīgošanas.
5. Dokumentējiet pamatojumu un abos gadījumos turiet analītikas rīku norādītu savā sīkdatņu politikā un privātuma paziņojumā.
6. Pārbaudiet atkārtoti, kad pārdevējs maina produktu vai mainās jūsu tirgi.

Atbrīvotas analītikas darbināšana līdzās CMP

Ja nolemjat, ka rīks atbilst, norādiet to savā CMP kā absolūti nepieciešamu vai atbrīvotu, lai tas tiktu atklāts, bet netiktu bloķēts, un pārliecinieties, ka tā konfigurācija paliek izņēmuma robežās. Daudzi izdevēji arī uztur no piekrišanas atkarīgu analītikas iestatījumu bagātākiem mērījumiem un izmanto Google Consent Mode v2 vai līdzīgus signālus, lai to pielāgotu atkarībā no lietotāja izvēles. FlexyConsent atbalsta Google Consent Mode v2 līdzās IAB TCF 2.4 un IAB GPP v1.1.

Galvenie secinājumi

• “Bez sīkdatnēm” automātiski nenozīmē “piekrišana nav vajadzīga”; 5. panta 3. punkts aptver jebkuru datu glabāšanu ierīcē vai piekļuvi tai.
• Analītika bez datu glabāšanas ierīcē joprojām var apstrādāt personas datus un tai nepieciešams tiesiskais pamats un pārredzamība.
• Izņēmumi auditorijas mērīšanai pastāv dažās valstīs, taču ar stingriem nosacījumiem.
• Reklāmas, sesiju atkārtošanas un remarketinga tagiem piekrišana joprojām ir nepieciešama.
• Dokumentējiet, kāpēc rīks tiek uzskatīts par atbrīvotu, un regulāri pārbaudiet to atkārtoti.