Dlaczego ten wyjątek ma znaczenie

Zgodnie z dyrektywą ePrivacy (art. 5 ust. 3) zapisywanie informacji na urządzeniu użytkownika lub odczytywanie ich z niego zasadniczo wymaga uprzedniej zgody. Istnieją dwa wyjątki, a ten, na którym wydawcy opierają się najczęściej, dotyczy zapisu ściśle niezbędnego do świadczenia usługi, o którą użytkownik wyraźnie poprosił. Wszystko, czego ten wyjątek nie obejmuje, znajduje się za Twoim banerem zgody.

Wiele witryn rozciąga ten wyjątek na analitykę, testy A/B, ograniczanie częstotliwości wyświetleń reklam i personalizację. Organy nadzorcze wielokrotnie sprzeciwiały się takiej interpretacji, dlatego warto dokładnie wiedzieć, gdzie przebiega granica.

Test dwuczęściowy

Wyjątek nie dotyczy tego, co jest wygodne dla Ciebie. Zadaje dwa pytania:

1. Czy użytkownik wyraźnie poprosił o usługę? Załadowanie artykułu to prośba. Dodanie produktu do koszyka to prośba. Otwarcie widżetu czatu, który wyświetlasz na każdej stronie, nią nie jest.
2. Czy zapis jest ściśle niezbędny do świadczenia dokładnie tej usługi? Jeśli usługa nadal działałaby, nawet w mniej wygodnej formie, bez tego pliku cookie lub identyfikatora, zapis prawdopodobnie nie jest ściśle niezbędny.

Zwróć uwagę, że „niezbędne dla naszego modelu biznesowego” to nie to samo, co „niezbędne dla usługi, o którą poprosił użytkownik”. Przychody z reklam utrzymują bezpłatną witrynę przy życiu, ale identyfikatory targetowania reklam nie są potrzebne do wyświetlenia artykułu.

Powszechnie akceptowane przykłady

• Pliki cookie sesji i uwierzytelniania, które utrzymują zalogowanego użytkownika w trakcie sesji.
• Pliki cookie koszyka, które zapamiętują produkty podczas finalizowania zamówienia.
• Identyfikatory równoważenia obciążenia, które kierują żądanie do właściwego serwera.
• Pliki cookie bezpieczeństwa służące do wykrywania powtarzających się nieudanych prób logowania lub do obrony przed sfałszowanymi żądaniami.
• Sam zapis zgody, ponieważ zapamiętanie wyboru użytkownika jest konieczne, aby go uszanować.
• Preferencje interfejsu ustawione przez użytkownika świadomie, takie jak język, gdy są przechowywane na czas sesji lub ponieważ użytkownik sam je wybrał.

Często błędnie klasyfikowane przykłady

• Pliki cookie analityczne. Niektóre organy dopuszczają ograniczony, chroniący prywatność pomiar odbiorców na wąsko określonych warunkach, ale standardowe tagi analityczne zazwyczaj wymagają zgody. Sprawdź wytyczne organu właściwego dla Twoich odbiorców.
• Identyfikatory reklamowe i retargetingowe. Nigdy nie są potrzebne do dostarczenia samej treści.
• Przyciski udostępniania w mediach społecznościowych i osadzone widżety, które ustawiają pliki cookie stron trzecich przy ładowaniu strony.
• Testy A/B i personalizacja, o które użytkownik nie prosił.
• Ograniczanie częstotliwości wyświetleń reklam. Poprawia ono doświadczenie użytkownika, ale nie jest niezbędne do dostarczenia strony.

Czas trwania i zakres nadal mają znaczenie

Plik cookie, który naprawdę jest niezbędny, może stać się problematyczny, jeśli żyje dłużej lub zbiera więcej, niż wymaga jego funkcja. Plik cookie sesji, który utrzymuje się przez rok, albo plik cookie bezpieczeństwa, który zapisuje także profil marketingowy, traci swoją ochronę. Utrzymuj krótki czas życia i minimalną zawartość.

Udokumentuj swoje uzasadnienie

Dla każdego pliku cookie lub elementu przechowywanego, który klasyfikujesz jako ściśle niezbędny, zapisz trzy rzeczy: funkcję żądaną przez użytkownika, którą wspiera, dlaczego ta funkcja przestałaby działać bez niego oraz jego czas życia. Wystarczy krótka tabela prowadzona obok inwentarza plików cookie. Podczas przeglądu listy kwestionuj każdą pozycję: jeśli jedynym argumentem jest „zawsze tak robiliśmy”, przenieś ją za zgodę.

Wyjątek dotyczy nie tylko plików cookie. Local storage, session storage, fingerprinting urządzeń i identyfikatory SDK w aplikacjach podlegają tej samej logice art. 5 ust. 3, więc uwzględnij je w przeglądzie.

Gdzie pasuje FlexyConsent

FlexyConsent to certyfikowany przez Google CMP (CMP ID 317), certyfikowany przez IAB Europe i IAB Canada, z banerem dostępnym w 57 językach. CMP pozwala wstrzymać nieistotne tagi do momentu dokonania wyboru przez użytkownika, podczas gdy Twoje naprawdę niezbędne elementy nadal się ładują. Decyzja, do której kategorii należy dany plik cookie, wciąż należy do Ciebie, więc aktualizuj udokumentowane uzasadnienie.

Kluczowe wnioski

• Wyjątek obejmuje zapis ściśle potrzebny do usługi, o którą użytkownik wyraźnie poprosił, a nie zapis potrzebny do Twoich przychodów.
• Pliki cookie sesji, koszyka, równoważenia obciążenia, bezpieczeństwa i zapisu zgody to typowe przykłady spełniające kryteria.
• Analityka, reklamy, widżety społecznościowe i personalizacja zazwyczaj wymagają zgody.
• Liczą się czas życia i zawartość: pliki cookie niezbędne powinny być krótkotrwałe i minimalne.
• Zastosuj ten sam test do local storage, session storage i identyfikatorów w aplikacjach.
• Udokumentuj uzasadnienie dla każdego elementu klasyfikowanego jako ściśle niezbędny i regularnie je przeglądaj.