Obljuba „pasica ni potrebna“

Analitična orodja, osredotočena na zasebnost, se pogosto tržijo kot orodja brez piškotkov, nekatera pa gredo dlje in nakazujejo, da pasice za privolitev ne potrebujete več. Za izdajatelja s skromnim skladom je to privlačna zamisel. Resničnost je bolj niansirana. Ali je privolitev potrebna, je odvisno od tega, kaj orodje dejansko počne v napravi, katere podatke obdeluje, kje so vaši uporabniki in kaj še teče na vaših straneh.

Ta članek pojasnjuje vprašanja, ki si jih je treba zastaviti, preden analitiko odstranite iz nastavitve privolitve. To je splošno vodilo, ne pravni nasvet.

Piškotki niso edini sprožilec

V EU pravilo o privolitvi za naprave izhaja iz člena 5(3) direktive ePrivacy. Zajema shranjevanje informacij v napravi uporabnika ali dostop do informacij iz nje — ne le piškotkov. Pod to lahko spadajo lokalna shramba, shramba seje, piksli, ki povzročijo branje informacij, in tehnike, ki identifikatorje izpeljejo iz značilnosti naprave. Evropski odbor za varstvo podatkov je to široko razlago opredelil v svojih Smernicah 2/2023 o tehničnem obsegu člena 5(3).

Torej je „ne nastavljamo piškotkov“ začetek analize, ne njen konec. Vedeti morate, ali orodje v napravi sploh kaj shranjuje ali bere.

Štiri vprašanja za vsako analitično orodje

1. Ali v napravi kaj shranjuje ali bere?

Po nalaganju strani preverite plošče shrambe v brskalniku: piškotki, lokalna shramba, shramba seje, IndexedDB. V skripti preverite kodo, ki zbira značilnosti naprave za izdelavo identifikatorja. Če se za analitične namene kar koli shranjuje ali bere, se uporabi pravilo ePrivacy, razen če velja izjema.

2. Ali obdeluje osebne podatke?

Tudi brez shranjevanja v napravi analitika običajno obdeluje naslove IP, user agente in URL-je strani. Po GDPR so to lahko osebni podatki. To zahteva pravno podlago — ki je lahko legitimni interes in ne privolitev — ter preglednost v vašem obvestilu o zasebnosti, minimizacijo podatkov in ustrezno hrambo. „Brez pasice“ nikoli ne pomeni „brez obveznosti“.

3. Ali v državah vaših uporabnikov velja izjema?

Nekateri regulatorji priznavajo, da je lahko omejeno merjenje občinstva izvzeto iz privolitve, če so izpolnjeni strogi pogoji. Francoski CNIL je objavil pogoje za izvzetje orodij za merjenje občinstva in vodi program, ki prepoznava orodja, ki jih je mogoče nastaviti tako, da jih izpolnjujejo. Pogoji običajno vključujejo izključno uporabo prve osebe, samo agregirano statistiko, brez sledenja med spletnimi mesti in omejeno hrambo. Zakon Združenega kraljestva Data (Use and Access) Act 2025 je uvedel nove izjeme od zahteve PECR po privolitvi, med drugim za nekatere statistične namene, ob pogojih, kot so jasne informacije in možnost ugovora. Vse države ne zavzemajo enakega stališča, zato preverite stanje na vsakem trgu, ki ga oskrbujete, in katere določbe veljajo.

4. Ali se podatki delijo s kom drugim?

Če orodje pošilja podatke dobavitelju, ki jih uporablja za lastne namene ali jih združuje med strankami, izjeme praviloma odpadejo. Preberite pogoje obdelave, ne le tržne strani.

Kaj običajno še vedno zahteva privolitev

• Oglasne oznake. Izdajatelji, ki se financirajo z oglasi, potrebujejo privolitev za personalizirano oglaševanje in za shranjevanje v napravi s strani oglasnih dobaviteljev, ne glede na to, kaj počne njihovo analitično orodje.
• Orodja z identifikatorji čez seje. Trajni ID-ji obiskovalcev, tudi prve osebe, orodje običajno spravijo izven večine izjem.
• Ponovno predvajanje sej in toplotni zemljevidi. Ti zajemajo podrobno vedenje in se redko obravnavajo kot izvzeto merjenje.
• Vdelana vsebina in družbeni pripomočki. Ti nastavljajo lastne piškotke in identifikatorje.
• Piksli za konverzije in remarketing. Ti obstajajo za povezovanje vedenja z oglaševanjem.

Za večino spletnih mest, ki se financirajo z oglasi, je pasica zaradi oglasnega sklada tako ali tako potrebna. Pravo vprašanje je, ali naj bo analitika ena od pogojenih kategorij ali lahko deluje neodvisno pod ozko izjemo.

Praktičen način odločanja

1. Naštejte vsako analitično skripto in kaj shranjuje, bere in pošilja.
2. Ugotovite države, kjer je večina vaših uporabnikov.
3. Za vsako orodje preverite, ali njegova konfiguracija izpolnjuje izjemo, priznano v teh državah.
4. Orodje nastavite na najstrožjo različico, ki jo potrebujete: skrajšanje naslova IP, brez trajnih ID-jev, kratka hramba, brez deljenja podatkov.
5. Dokumentirajte utemeljitev in analitično orodje v vsakem primeru ohranite navedeno v pravilniku o piškotkih in obvestilu o zasebnosti.
6. Ponovno preverite, ko ponudnik spremeni izdelek ali se spremenijo vaši trgi.

Izvajanje izvzete analitike ob CMP

Če se odločite, da orodje izpolnjuje pogoje, ga v svojem CMP-ju navedite kot nujno potrebno ali izvzeto, tako da je razkrito, a ne pogojeno, in poskrbite, da njegova konfiguracija ostane v okviru izjeme. Številni izdajatelji ohranjajo tudi analitično nastavitev, odvisno od privolitve, za bogatejše merjenje in uporabljajo Google Consent Mode v2 ali podobne signale, da jo prilagodijo glede na izbiro uporabnika. FlexyConsent poleg IAB TCF 2.4 in IAB GPP v1.1 podpira Google Consent Mode v2.

Ključne ugotovitve

• „Brez piškotkov“ samodejno ne pomeni „privolitev ni potrebna“; člen 5(3) zajema vsako shranjevanje v napravi ali dostop do nje.
• Analitika brez shranjevanja v napravi lahko še vedno obdeluje osebne podatke in potrebuje pravno podlago ter preglednost.
• Izjeme za merjenje občinstva v nekaterih državah obstajajo, a s strogimi pogoji.
• Oglasne oznake, ponovno predvajanje sej in remarketing še vedno zahtevajo privolitev.
• Dokumentirajte, zakaj se orodje obravnava kot izvzeto, in redno preverjajte.