Обећање „банер није потребан“

Аналитички алати окренути приватности често се рекламирају као алати без колачића, а неки иду даље и наговештавају да вам банер сагласности више није потребан. За издавача са сведеним стеком то је привлачна идеја. Стварност је нијансиранија. Да ли је сагласност потребна зависи од тога шта алат заиста ради на уређају, које податке обрађује, где се налазе ваши корисници и шта још ради на вашим страницама.

Овај чланак објашњава питања која треба поставити пре него што уклоните аналитику из свог подешавања сагласности. То је опште упутство, а не правни савет.

Колачићи нису једини окидач

У ЕУ, правило о сагласности за уређаје потиче из члана 5(3) ePrivacy директиве. Оно обухвата чување информација на уређају корисника или приступ информацијама са њега — не само колачиће. Локално складиште, складиште сесије, пиксели који узрокују читање информација и технике које извлаче идентификаторе из карактеристика уређаја могу потпасти под њега. Европски одбор за заштиту података изнео је ово широко тумачење у својим Смерницама 2/2023 о техничком опсегу члана 5(3).

Дакле, „не постављамо колачиће“ је почетак анализе, а не њен крај. Морате знати да ли алат уопште нешто чува или чита на уређају.

Четири питања за сваки аналитички алат

1. Да ли нешто чува или чита на уређају?

Проверите панеле складишта у прегледачу након учитавања странице: колачићи, локално складиште, складиште сесије, IndexedDB. Проверите у скрипти да ли постоји код који прикупља карактеристике уређаја ради прављења идентификатора. Ако се нешто чува или чита у аналитичке сврхе, ePrivacy правило се примењује осим ако не важи изузетак.

2. Да ли обрађује личне податке?

Чак и без складиштења на уређају, аналитика обично обрађује IP адресе, user agent-е и URL-ове страница. Према GDPR-у, то могу бити лични подаци. То захтева правну основу — која може бити легитимни интерес, а не сагласност — плус транспарентност у вашем обавештењу о приватности, минимизацију података и одговарајуће чување. „Без банера“ никада не значи „без обавеза“.

3. Да ли се изузетак примењује у земљама ваших корисника?

Неки регулатори признају да ограничено мерење публике може бити изузето од сагласности ако су испуњени строги услови. Француски CNIL објавио је услове за изузимање алата за мерење публике и води програм који идентификује алате који се могу подесити да их испуне. Услови обично укључују искључиво коришћење првог лица, само агрегиране статистике, без праћења између сајтова и ограничено чување. Закон Уједињеног Краљевства Data (Use and Access) Act 2025 увео је нове изузетке од захтева PECR-а за сагласност, укључујући за одређене статистичке сврхе, уз услове као што су јасне информације и начин да се уложи приговор. Не заузимају све земље исти став, зато проверите ситуацију на сваком тржишту које опслужујете и које су одредбе на снази.

4. Да ли се подаци деле са неким другим?

Ако алат шаље податке добављачу који их користи за сопствене сврхе или их комбинује између клијената, изузеци обично отпадају. Прочитајте услове обраде, а не само маркетиншку страницу.

Шта обично и даље захтева сагласност

• Оглашивачки тагови. Издавачима који се финансирају огласима потребна је сагласност за персонализовано оглашавање и за складиштење на уређају од стране оглашивачких добављача, шта год њихов аналитички алат радио.
• Алати са идентификаторима кроз сесије. Трајни ID-ови посетилаца, чак и првог лица, обично алат изводе из већине изузетака.
• Репродукција сесија и топлотне мапе. Ови бележе детаљно понашање и ретко се третирају као изузето мерење.
• Уграђени садржај и друштвени виџети. Ови постављају сопствене колачиће и идентификаторе.
• Пиксели за конверзије и ремаркетинг. Ови постоје да повежу понашање са оглашавањем.

За већину сајтова који се финансирају огласима, банер је ионако потребан због оглашивачког стека. Право питање је да ли аналитика треба да буде једна од условљених категорија или може да ради независно под уским изузетком.

Практичан начин одлучивања

1. Наведите сваки аналитички скрипт и шта он чува, чита и шаље.
2. Утврдите земље у којима је већина ваших корисника.
3. За сваки алат проверите да ли његова конфигурација испуњава изузетак признат у тим земљама.
4. Подесите алат на најстрожу верзију која вам треба: скраћивање IP адресе, без трајних ID-ова, кратко чување, без дељења података.
5. Документујте образложење и у сваком случају држите аналитички алат наведеним у политици колачића и обавештењу о приватности.
6. Поново проверите када добављач промени производ или се промене ваша тржишта.

Покретање изузете аналитике уз CMP

Ако одлучите да алат испуњава услове, наведите га у свом CMP-у као строго неопходан или изузет, тако да буде обелодањен али не и условљен, и побрините се да његова конфигурација остане у оквиру изузетка. Многи издавачи такође задржавају аналитичко подешавање зависно од сагласности за богатије мерење и користе Google Consent Mode v2 или сличне сигнале да га прилагоде на основу избора корисника. FlexyConsent подржава Google Consent Mode v2 поред IAB TCF 2.4 и IAB GPP v1.1.

Кључни закључци

• „Без колачића“ не значи аутоматски „сагласност није потребна“; члан 5(3) обухвата свако складиштење на уређају или приступ њему.
• Аналитика без складиштења на уређају и даље може обрађивати личне податке и захтева правну основу и транспарентност.
• Изузеци за мерење публике постоје у неким земљама, али уз строге услове.
• Оглашивачки тагови, репродукција сесија и ремаркетинг и даље захтевају сагласност.
• Документујте зашто се алат третира као изузет и редовно поново проверавајте.