De ce contează această excepție

Conform Directivei ePrivacy (articolul 5 alineatul (3)), stocarea sau citirea informațiilor de pe dispozitivul unui utilizator necesită în mod normal consimțământ prealabil. Există două excepții, iar cea pe care se bazează cel mai des editorii este excepția pentru stocarea strict necesară furnizării unui serviciu solicitat în mod explicit de utilizator. Tot ce nu este acoperit de această excepție se află în spatele bannerului tău de consimțământ.

Multe site-uri extind această excepție la analitică, testare A/B, limitarea frecvenței reclamelor și personalizare. Autoritățile de reglementare au respins în mod repetat această interpretare, așa că merită să știi exact unde este limita.

Testul în două părți

Excepția nu depinde de ce este convenabil pentru tine. Ea pune două întrebări:

1. A solicitat utilizatorul în mod explicit serviciul? Încărcarea unui articol este o solicitare. Adăugarea unui produs în coș este o solicitare. Deschiderea unui widget de chat pe care l-ai impus pe fiecare pagină nu este.
2. Este stocarea strict necesară pentru a furniza exact acel serviciu? Dacă serviciul ar funcționa în continuare, chiar și într-o formă mai puțin convenabilă, fără cookie sau identificator, stocarea probabil nu este strict necesară.

Reține că „necesar pentru modelul nostru de afaceri” nu este același lucru cu „necesar pentru serviciul solicitat de utilizator”. Veniturile din publicitate țin în viață un site gratuit, dar identificatorii de țintire a reclamelor nu sunt necesari pentru afișarea unui articol.

Exemple acceptate în mod obișnuit

• Cookie-uri de sesiune și de autentificare care mențin un utilizator autentificat pe durata unei sesiuni.
• Cookie-uri ale coșului de cumpărături care rețin produsele în timp ce utilizatorul finalizează comanda.
• Identificatori de echilibrare a încărcării care direcționează o solicitare către serverul potrivit.
• Cookie-uri de securitate folosite pentru a detecta autentificări eșuate repetate sau pentru a apăra împotriva cererilor falsificate.
• Înregistrarea consimțământului în sine, deoarece reținerea alegerii utilizatorului este necesară pentru a o respecta.
• Preferințele de interfață setate deliberat de utilizator, cum ar fi limba, atunci când sunt stocate pentru sesiune sau pentru că utilizatorul le-a ales.

Exemple clasificate frecvent greșit

• Cookie-uri de analitică. Unele autorități permit, în condiții restrânse, o măsurare a audienței limitată, care protejează confidențialitatea, dar etichetele de analitică obișnuite necesită, în general, consimțământ. Verifică îndrumările autorității aplicabile audienței tale.
• Identificatori publicitari și de retargeting. Nu sunt niciodată necesari pentru a livra conținutul în sine.
• Butoane de distribuire socială și widget-uri încorporate care setează cookie-uri terțe la încărcarea paginii.
• Testarea A/B și personalizarea care nu sunt solicitate de utilizator.
• Limitarea frecvenței reclamelor. Îmbunătățește experiența utilizatorului, dar nu este esențială pentru livrarea paginii.

Durata și sfera contează în continuare

Un cookie cu adevărat esențial poate deveni problematic dacă trăiește mai mult sau colectează mai mult decât are nevoie funcția. Un cookie de sesiune care persistă un an sau un cookie de securitate care scrie și un profil de marketing își pierde protecția. Păstrează durata de viață scurtă și conținutul minim.

Documentează-ți raționamentul

Pentru fiecare cookie sau element de stocare pe care îl clasifici ca strict necesar, notează trei lucruri: funcția solicitată de utilizator pe care o susține, de ce ar înceta să funcționeze acea funcție fără el și durata lui de viață. Este suficient un tabel scurt, ținut lângă inventarul de cookie-uri. Când revizuiești lista, pune sub semnul întrebării fiecare intrare: dacă singurul argument este „am făcut întotdeauna așa”, mut-o în spatele consimțământului.

Excepția se aplică nu doar cookie-urilor. Local storage, session storage, amprentarea dispozitivului și identificatorii SDK din aplicații intră sub aceeași logică a articolului 5 alineatul (3), așa că include-le în revizuire.

Unde se încadrează FlexyConsent

FlexyConsent este un CMP certificat de Google (CMP ID 317), certificat de IAB Europe și IAB Canada, cu un banner disponibil în 57 de limbi. Un CMP îți permite să ții în așteptare etichetele neesențiale până când utilizatorul alege, în timp ce elementele tale cu adevărat esențiale continuă să se încarce. Decizia în ce categorie intră fiecare cookie îți aparține în continuare, așa că păstrează la zi raționamentul documentat.

Concluzii cheie

• Excepția acoperă stocarea strict necesară pentru un serviciu solicitat explicit de utilizator, nu stocarea necesară pentru veniturile tale.
• Cookie-urile de sesiune, de coș, de echilibrare a încărcării, de securitate și înregistrarea consimțământului sunt exemplele tipice care se califică.
• Analitica, publicitatea, widget-urile sociale și personalizarea necesită, în general, consimțământ.
• Durata de viață și conținutul contează: păstrează cookie-urile esențiale cu viață scurtă și minime.
• Aplică același test pentru local storage, session storage și identificatorii din aplicații.
• Documentează raționamentul pentru fiecare element pe care îl clasifici ca strict necesar și revizuiește-l periodic.