Promisiunea “nu e nevoie de banner”

Instrumentele de analitică axate pe confidențialitate se prezintă adesea ca fiind fără cookie-uri, iar unele merg mai departe și sugerează că nu mai ai nevoie de un banner de consimțământ. Pentru un editor cu o stivă simplă, este o idee atractivă. Realitatea este mai nuanțată. Dacă este nevoie de consimțământ depinde de ce face de fapt instrumentul pe dispozitiv, ce date prelucrează, unde se află utilizatorii tăi și ce altceva rulează pe paginile tale.

Acest articol explică întrebările pe care să le pui înainte de a scoate analitica din configurarea consimțământului. Este o îndrumare generală, nu consultanță juridică.

Cookie-urile nu sunt singurul declanșator

În UE, regula de consimțământ pentru dispozitive provine din articolul 5 alineatul (3) din Directiva ePrivacy. Aceasta acoperă stocarea de informații pe dispozitivul unui utilizator sau accesarea informațiilor de pe acesta — nu doar cookie-urile. Stocarea locală, stocarea de sesiune, pixelii care determină citirea de informații și tehnicile care derivă identificatori din caracteristicile dispozitivului pot intra toate sub incidența ei. Comitetul european pentru protecția datelor a expus această interpretare largă în Ghidul 2/2023 privind domeniul de aplicare tehnic al articolului 5 alineatul (3).

Așadar, “nu setăm cookie-uri” este începutul analizei, nu sfârșitul ei. Trebuie să știi dacă instrumentul stochează sau citește ceva pe dispozitiv.

Patru întrebări de pus despre orice instrument de analitică

1. Stochează sau citește ceva pe dispozitiv?

Verifică panourile de stocare ale browserului după încărcarea unei pagini: cookie-uri, stocare locală, stocare de sesiune, IndexedDB. Verifică în script dacă există cod care colectează caracteristici ale dispozitivului pentru a construi un identificator. Dacă se stochează sau se citește ceva în scopuri de analitică, se aplică regula ePrivacy, cu excepția cazului în care există o derogare.

2. Prelucrează date cu caracter personal?

Chiar și fără stocare pe dispozitiv, analitica prelucrează de obicei adrese IP, user agent-uri și URL-uri ale paginilor. Conform GDPR, acestea pot fi date cu caracter personal. Aceasta necesită un temei legal — care poate fi interesul legitim, nu consimțământul — plus transparență în notificarea de confidențialitate, minimizarea datelor și o păstrare adecvată. “Fără banner” nu înseamnă niciodată “fără obligații”.

3. Se aplică o derogare în țările utilizatorilor tăi?

Unele autorități de reglementare recunosc că măsurarea limitată a audienței poate fi scutită de consimțământ dacă sunt îndeplinite condiții stricte. CNIL din Franța a publicat condiții pentru exceptarea trackerelor de măsurare a audienței și întreține un program care identifică instrumentele ce pot fi configurate pentru a le respecta. Condițiile includ de obicei utilizarea strict first-party, doar statistici agregate, fără urmărire între site-uri și păstrare limitată. Data (Use and Access) Act 2025 din Regatul Unit a introdus noi excepții de la cerința de consimțământ din PECR, inclusiv pentru anumite scopuri statistice, sub rezerva unor condiții precum informarea clară și o modalitate de a te opune. Nu toate țările au aceeași poziție, așa că verifică situația din fiecare piață pe care o deservești și ce prevederi sunt în vigoare.

4. Sunt datele partajate cu altcineva?

Dacă instrumentul trimite date către un furnizor care le folosește în scopurile sale sau le combină între clienți, derogările în general nu se mai aplică. Citește termenii de prelucrare, nu doar pagina de marketing.

Ce mai necesită de obicei consimțământ

• Tagurile de publicitate. Editorii finanțați din publicitate au nevoie de consimțământ pentru publicitatea personalizată și pentru stocarea pe dispozitiv de către furnizorii de reclame, indiferent ce face instrumentul lor de analitică.
• Instrumentele cu identificatori între sesiuni. ID-urile persistente de vizitator, chiar și first-party, tind să scoată un instrument din majoritatea derogărilor.
• Reluarea sesiunilor și hărțile termice. Acestea captează comportamentul în detaliu și sunt rareori tratate ca măsurare exceptată.
• Conținutul încorporat și widget-urile sociale. Acestea setează propriile cookie-uri și identificatori.
• Pixelii de conversie și de remarketing. Ei există pentru a lega comportamentul de publicitate.

Pentru majoritatea site-urilor finanțate din publicitate, bannerul este oricum necesar pentru stiva publicitară. Întrebarea reală este dacă analitica ar trebui să fie una dintre categoriile condiționate sau poate rula independent în baza unei derogări înguste.

Un mod practic de a decide

1. Enumeră fiecare script de analitică și ce stochează, ce citește și ce trimite.
2. Identifică țările în care se află majoritatea utilizatorilor tăi.
3. Pentru fiecare instrument, verifică dacă configurarea lui îndeplinește o derogare recunoscută în acele țări.
4. Configurează instrumentul la cea mai strictă versiune de care ai nevoie: trunchierea IP-ului, fără ID-uri persistente, păstrare scurtă, fără partajarea datelor.
5. Documentează raționamentul și păstrează instrumentul de analitică menționat în politica de cookie-uri și în notificarea de confidențialitate, în ambele cazuri.
6. Reverifică atunci când furnizorul își schimbă produsul sau când se schimbă piețele tale.

Rularea analiticii exceptate alături de un CMP

Dacă decizi că un instrument îndeplinește condițiile, înscrie-l în CMP ca strict necesar sau exceptat, astfel încât să fie dezvăluit, dar nu condiționat, și asigură-te că configurarea lui rămâne în limitele derogării. Mulți editori păstrează și o configurare de analitică dependentă de consimțământ pentru o măsurare mai bogată și folosesc Google Consent Mode v2 sau semnale similare pentru a o ajusta în funcție de alegerea utilizatorului. FlexyConsent acceptă Google Consent Mode v2 alături de IAB TCF 2.4 și IAB GPP v1.1.

Concluzii-cheie

• “Fără cookie-uri” nu înseamnă automat “nu e nevoie de consimțământ”; articolul 5 alineatul (3) acoperă orice stocare sau acces pe dispozitiv.
• Analitica fără stocare pe dispozitiv poate prelucra în continuare date cu caracter personal și necesită un temei legal și transparență.
• Există derogări pentru măsurarea audienței în unele țări, dar cu condiții stricte.
• Tagurile de publicitate, de reluare a sesiunilor și de remarketing necesită în continuare consimțământ.
• Documentează de ce un instrument este tratat ca exceptat și reverifică periodic.