Hvorfor unntaket er viktig

Etter ePrivacy-direktivet (artikkel 5 nr. 3) krever det vanligvis forhåndssamtykke å lagre eller lese informasjon på en brukers enhet. Det finnes to unntak, og det utgivere oftest støtter seg på, gjelder lagring som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om. Alt som ikke dekkes av dette unntaket, hører hjemme bak samtykkebanneret ditt.

Mange nettsteder strekker unntaket til å omfatte analyse, A/B-testing, frekvensbegrensning av annonser og personalisering. Tilsynsmyndighetene har gjentatte ganger avvist den tolkningen, så det lønner seg å forstå nøyaktig hvor grensen går.

Den todelte testen

Unntaket handler ikke om hva som er praktisk for deg. Det stiller to spørsmål:

1. Har brukeren uttrykkelig bedt om tjenesten? Å laste en artikkel er en forespørsel. Å legge en vare i handlekurven er en forespørsel. Å åpne en chatwidget du har presset inn på alle sider, er det ikke.
2. Er lagringen strengt nødvendig for å levere akkurat den tjenesten? Hvis tjenesten fortsatt ville fungert, selv i en mindre praktisk form, uten informasjonskapselen eller identifikatoren, er lagringen sannsynligvis ikke strengt nødvendig.

Merk at «nødvendig for forretningsmodellen vår» ikke er det samme som «nødvendig for tjenesten brukeren ba om». Annonseinntekter holder et gratis nettsted i live, men identifikatorer for annonsemålretting er ikke nødvendige for å vise en artikkel.

Vanlig aksepterte eksempler

• Økt- og autentiseringsinformasjonskapsler som holder en innlogget bruker innlogget under en økt.
• Handlekurv-informasjonskapsler som husker varene mens brukeren gjennomfører kjøpet.
• Lastbalanserings-identifikatorer som ruter en forespørsel til riktig server.
• Sikkerhetsinformasjonskapsler som brukes til å oppdage gjentatte mislykkede innloggingsforsøk eller til å forsvare mot forfalskede forespørsler.
• Selve samtykkeregistreringen, fordi det kreves å huske brukerens valg for å kunne etterleve det.
• Grensesnittpreferanser brukeren har valgt bevisst, for eksempel språk, når de lagres for økten eller fordi brukeren har valgt dem.

Vanlig feilklassifiserte eksempler

• Analyseinformasjonskapsler. Noen myndigheter tillater begrenset, personvernvennlig publikumsmåling på snevre vilkår, men vanlige analysetagger krever generelt samtykke. Sjekk veiledningen fra myndigheten som gjelder for publikummet ditt.
• Identifikatorer for annonsering og retargeting. De er aldri nødvendige for å levere selve innholdet.
• Delingsknapper for sosiale medier og innebygde widgeter som setter tredjeparts informasjonskapsler ved sideinnlasting.
• A/B-testing og personalisering som brukeren ikke har bedt om.
• Frekvensbegrensning for annonser. Det bedrer brukeropplevelsen, men er ikke avgjørende for å levere siden.

Varighet og omfang har fortsatt betydning

En informasjonskapsel som er virkelig nødvendig, kan likevel bli problematisk hvis den lever lenger eller samler inn mer enn funksjonen krever. En øktkapsel som består i ett år, eller en sikkerhetskapsel som også skriver en markedsføringsprofil, mister beskyttelsen sin. Hold levetiden kort og innholdet minimalt.

Dokumenter begrunnelsen din

For hver informasjonskapsel eller lagringspost du klassifiserer som strengt nødvendig, skriv ned tre ting: den brukerforespurte funksjonen den støtter, hvorfor funksjonen ville sluttet å virke uten den, og levetiden. En kort tabell ved siden av oversikten over informasjonskapsler er nok. Når du gjennomgår listen, utfordre hver post: Hvis det eneste argumentet er «sånn har vi alltid gjort det», flytt den bak samtykke.

Unntaket gjelder også mer enn informasjonskapsler. Local storage, session storage, device fingerprinting og SDK-identifikatorer i apper omfattes av samme logikk i artikkel 5 nr. 3, så ta dem med i gjennomgangen.

Hvor FlexyConsent kommer inn

FlexyConsent er en Google-sertifisert CMP (CMP ID 317), sertifisert av IAB Europe og IAB Canada, med banner på 57 språk. En CMP lar deg holde tilbake ikke-nødvendige tagger til brukeren har valgt, mens de virkelig nødvendige elementene fortsetter å laste. Det er fortsatt du som avgjør hvilken kategori hver informasjonskapsel tilhører, så hold den dokumenterte begrunnelsen oppdatert.

Viktige poenger

• Unntaket dekker lagring som er strengt nødvendig for en tjeneste brukeren uttrykkelig har bedt om, ikke lagring som er nødvendig for inntektene dine.
• Økt-, handlekurv-, lastbalanserings-, sikkerhets- og samtykkeregistrerings-informasjonskapsler er de typiske kvalifiserende eksemplene.
• Analyse, annonsering, sosiale widgeter og personalisering krever generelt samtykke.
• Levetid og innhold har betydning: hold nødvendige informasjonskapsler kortvarige og minimale.
• Bruk samme test på local storage, session storage og app-identifikatorer.
• Dokumenter begrunnelsen for hvert element du klassifiserer som strengt nødvendig, og gjennomgå den jevnlig.