Janji “Tidak Perlu Sepanduk”

Alat analitik yang menumpukan privasi sering memasarkan diri sebagai tanpa kuki, dan sesetengahnya pergi lebih jauh dengan mencadangkan bahawa anda tidak lagi memerlukan sepanduk persetujuan. Bagi penerbit dengan tindanan yang ringkas, itu idea yang menarik. Hakikatnya lebih bernuansa. Sama ada persetujuan diperlukan bergantung pada apa yang sebenarnya dilakukan oleh alat itu pada peranti, data apa yang diprosesnya, di mana pengguna anda berada, dan apa lagi yang berjalan pada halaman anda.

Artikel ini menerangkan soalan yang perlu ditanya sebelum anda mengeluarkan analitik daripada persediaan persetujuan anda. Ia panduan umum, bukan nasihat undang-undang.

Kuki Bukan Satu-satunya Pencetus

Di EU, peraturan persetujuan untuk peranti datang daripada Perkara 5(3) Arahan ePrivacy. Ia meliputi penyimpanan maklumat pada, atau pengaksesan maklumat daripada, peranti pengguna — bukan kuki sahaja. Storan setempat, storan sesi, piksel yang menyebabkan maklumat dibaca, dan teknik yang menerbitkan pengecam daripada ciri peranti semuanya boleh termasuk di dalamnya. Lembaga Perlindungan Data Eropah menetapkan pentafsiran luas ini dalam Garis Panduan 2/2023 mengenai skop teknikal Perkara 5(3).

Jadi “kami tidak menetapkan kuki” ialah permulaan analisis, bukan penghujungnya. Anda perlu tahu sama ada alat itu menyimpan atau membaca apa-apa pada peranti langsung.

Empat Soalan untuk Mana-mana Alat Analitik

1. Adakah ia menyimpan atau membaca sesuatu pada peranti?

Semak panel storan pelayar selepas halaman dimuatkan: kuki, storan setempat, storan sesi, IndexedDB. Semak skrip untuk kod yang mengumpul ciri peranti bagi membina pengecam. Jika apa-apa disimpan atau dibaca untuk tujuan analitik, peraturan ePrivacy terpakai kecuali ada pengecualian.

2. Adakah ia memproses data peribadi?

Walaupun tanpa storan peranti, analitik biasanya memproses alamat IP, ejen pengguna dan URL halaman. Di bawah GDPR, ini boleh menjadi data peribadi. Itu memerlukan asas undang-undang — yang boleh jadi kepentingan sah dan bukan persetujuan — serta ketelusan dalam notis privasi anda, peminimuman data dan pengekalan yang sesuai. “Tanpa sepanduk” tidak sekali-kali bermakna “tanpa kewajipan”.

3. Adakah pengecualian terpakai di negara pengguna anda?

Sesetengah pengawal selia mengiktiraf bahawa pengukuran khalayak yang terhad boleh dikecualikan daripada persetujuan jika syarat yang ketat dipenuhi. CNIL Perancis telah menerbitkan syarat untuk mengecualikan penjejak pengukuran khalayak dan menyelenggara program yang mengenal pasti alat yang boleh dikonfigurasi untuk memenuhinya. Syaratnya lazimnya termasuk penggunaan pihak pertama sepenuhnya, statistik teragregat sahaja, tiada penjejakan merentas tapak dan pengekalan terhad. Data (Use and Access) Act 2025 UK memperkenalkan pengecualian baharu daripada keperluan persetujuan PECR, termasuk untuk tujuan statistik tertentu, tertakluk pada syarat seperti maklumat yang jelas dan cara untuk membantah. Tidak semua negara mengambil pandangan yang sama, jadi semak kedudukan di setiap pasaran yang anda layani dan peruntukan mana yang berkuat kuasa.

4. Adakah data dikongsi dengan pihak lain?

Jika alat itu menghantar data kepada vendor yang menggunakannya untuk tujuannya sendiri, atau menggabungkannya merentas pelanggan, pengecualian umumnya gugur. Baca terma pemprosesan, bukan sekadar halaman pemasaran.

Apa yang Biasanya Masih Memerlukan Persetujuan

• Tag pengiklanan. Penerbit bersokongan iklan memerlukan persetujuan untuk pengiklanan diperibadikan dan untuk storan peranti oleh vendor iklan, apa pun yang dilakukan alat analitik mereka.
• Alat dengan pengecam merentas sesi. ID pelawat berterusan, walaupun pihak pertama, cenderung meletakkan alat di luar kebanyakan pengecualian.
• Ulang tayang sesi dan peta haba. Ini menangkap tingkah laku terperinci dan jarang dianggap sebagai pengukuran yang dikecualikan.
• Kandungan terbenam dan widget sosial. Ini menetapkan kuki dan pengecam mereka sendiri.
• Piksel penukaran dan pemasaran semula. Ini wujud untuk memautkan tingkah laku dengan pengiklanan.

Bagi kebanyakan tapak bersokongan iklan, sepanduk tetap diperlukan untuk tindanan iklan. Soalan sebenar ialah sama ada analitik patut menjadi salah satu kategori yang dikawal atau boleh berjalan secara bebas di bawah pengecualian yang sempit.

Cara Praktikal untuk Memutuskan

1. Senaraikan setiap skrip analitik dan apa yang disimpan, dibaca dan dihantarnya.
2. Kenal pasti negara tempat kebanyakan pengguna anda berada.
3. Bagi setiap alat, semak sama ada konfigurasinya memenuhi pengecualian yang diiktiraf di negara tersebut.
4. Konfigurasikan alat kepada versi paling ketat yang anda perlukan: pemotongan IP, tiada ID berterusan, pengekalan singkat, tiada perkongsian data.
5. Dokumenkan alasannya dan kekalkan alat analitik disenaraikan dalam dasar kuki dan notis privasi anda, apa pun keputusannya.
6. Semak semula apabila vendor mengubah produknya atau pasaran anda berubah.

Menjalankan Analitik Dikecualikan Bersama CMP

Jika anda memutuskan sesuatu alat layak, senaraikannya sebagai benar-benar perlu atau dikecualikan dalam CMP anda supaya ia didedahkan tetapi tidak dikawal, dan pastikan konfigurasinya kekal dalam pengecualian. Ramai penerbit juga mengekalkan persediaan analitik yang bergantung pada persetujuan untuk pengukuran yang lebih kaya dan menggunakan Google Consent Mode v2 atau isyarat serupa untuk melaraskannya berdasarkan pilihan pengguna. FlexyConsent menyokong Google Consent Mode v2 bersama IAB TCF 2.4 dan IAB GPP v1.1.

Perkara Utama

• “Tanpa kuki” tidak secara automatik bermakna “tidak perlu persetujuan”; Perkara 5(3) meliputi sebarang storan atau akses peranti.
• Analitik tanpa storan peranti masih boleh memproses data peribadi dan memerlukan asas undang-undang serta ketelusan.
• Pengecualian untuk pengukuran khalayak wujud di sesetengah negara tetapi disertai syarat yang ketat.
• Tag pengiklanan, ulang tayang sesi dan pemasaran semula masih memerlukan persetujuan.
• Dokumenkan sebab sesuatu alat dianggap dikecualikan dan semak semula secara berkala.