Шта је EDPB Cookie Banner Taskforce заправо

Taskforce је координационо тело, а не регулатор само по себи. Успостављен је у складу са Article 70 GDPR-а, који EDPB-у даје овлашћење да олакша сарадњу између националних органа за заштиту података по питањима заједничког интереса. Окидач је била кампања притужби коју је поднео noyb — група за заговарање приватности Макса Шремса — против стотина веб-сајтова широм EU. Пошто су те притужбе дотицале органе у готово свакој држави чланици, EDPB је одлучио да створи јединствен форум где би DPA могле да упоређују белешке и дођу до заједничког аналитичког оквира. Резултати taskforce-а имају облик извештаја који документују које дизајнерске изборе се сматрају кршењем захтева за сагласност, организованих по категоријама.

Та структура је практично важна. Извештаји нису обавезујући на начин на који је обавезујуће уредба или национална казна, али описују консензусни став сваке европске DPA. Кад национални орган отвори истрагу, може — и то све чешће чини — указати на налазе taskforce-а као доказ да је оспорени образац банера већ процењен као неусклађен од стране шире регулаторне заједнице. За издаваче, практичан ефекат је да је сваки банер одобрен у складу са критеријумима taskforce-а одбрањив широм целе EU. Сваки банер који не испуњава те критеријуме изложен је свуда одједном.

Шест категорија на које се taskforce фокусира

Taskforce групише своје налазе у шест преклапајућих проблемских области. Свака одговара обрасцу дизајна који се вишекратно јављао у noyb притужбама и који су DPA колективно означиле као кршење.

1. Нема дугмета за одбијање на првом слоју

Најцитиранији налаз у извештајима. Ако посетилац види дугме Прихвати све на почетном банеру, али нема еквивалентног дугмета Одбиј све, избор није слободно дат. Опције прихватања и одбијања морају бити представљене саједнаком истакнутошћу на истом слоју. Скривање пута одбијања иза линка Управљај поставкама данас је најчешћи образац у мерама спровођења.

2. Унапред означена поља за потврду

Унапред бирање сагласности за било коју некритичну категорију — чак и једну — поништава цео запис о сагласности у складу са Recital 32 GDPR-а. Taskforce то третира као кршење само по себи. Модерни CMP-ови се испоручују са овим искљученим по подразумеваном стању, али наслеђене имплементације и домаћи банери и даље често унапред означавају аналитичке или маркетиншке категорије.

3. Обмањујући дизајн линкова

Називање пута одбијања Više informacija или стилизовање као текстуалну везу ниског контраста, dok је дугме за прихватање блок у боји високог контраста, ствара неравнотежу коју taskforce сматра обмањујућим дизајнерским обрасцем. Решење је јасно: усклађивање тежине фонта, контраста боје и стилизовања дугмади између прихватања и одбијања.

4. Погрешна класификација колачића као суштинских

Неки оператери су покушали потпуно да избегну захтев за сагласношћу преименовавши аналитичке, рекламне или колачиће друштвених медија као строго неопходне. Taskforce је био јасан: колачић је суштински само ако веб-сајт не може да функционише без њега из перспективе корисника. Аналитички колачићи, A/B тестирање, рекламни и персонализациони колачићи не испуњавају услов. Погрешно означавање је само по себи кршење независно од основног праћења.

5. Нема механизма повлачења

Сагласност мора бити исто тако лако повући колико је лако дати. Банер који прихвата сагласност jednim кликом, ali присиљава кориснике да прођу кроз вишекорачни мени поставки да би је опозвали, не пролази овај тест. Taskforce посебно позива на трајну контролу — обично лебдећу иконицу или везу у подножју — која враћа посетиоца на оригиналну површину сагласности.

6. Дизајн банера који замагљује избор

Ово је најшира и најсубјективнија категорија. Укључује преклопнике који блокирају садржај странице све dok се сагласност не добије, банере чије дугме за одбијање se nalazi испод видљивог дела, шеме боја које чине пут одбијања скоро невидљивим и анимације које odvlače пажњу од избора. Заједничка нит је да дизајн врши притисак на корисника ка прихватању уместо да представља неутралан избор.

Шта ово значи за спровођење

Taskforce не изриче казне. То чине националне DPA. Али пошто је сваки европски орган пристао на анализу taskforce-а, ризик спровођења за ове специфичне обрасце сада је јединствен широм EU. CNIL у Француској је до данас издао највећи низ казни везаних за колачиће, али италијански Garante, шпански AEPD, немачки органи на нивоу покрајина и ирски DPC su сви отворили истраге позивајући се на образложење усклађено са taskforce-ом. Чак и UK ICO, koji је ван регулаторног периметра EU, objavio је смернице које блиско одражавају категорије taskforce-а.

Шта ова конвергенција у пракси значи је да издавачи više не могу да третирају усклађеност као вежбу земља по земља. Ревизија банера треба да се мери у односу на категорије taskforce-а као јединствену контролну листу. Ако банер не прође ниједан од шест, ризик није jedna DPA, già цела европска надзорна мрежа.

Практична контролна листа ревизије

Најбржи начин да се постојећи банер усклади је покренути га у односу на горе наведене категорије и одговорити на сваку ставку документованим да или не. Питања су намерно конкретна.

• Равнотежа prvog слоја. Да ли почетни банер нуди eksplicitno дугме Одбиј све или Настави без прихватања на истој површини kao Прихвати све, са упоредивим стилом?
• Подразумевано стање. Да ли su svi prekidači za nekritične kategorije подешени на искључено по подразумеваном стању у приказу поставки?
• Јасноћа линка. Да ли је пут до одбијања означен глаголом који описује радњу (нпр. Одбиј све, Одбиј некритично), а не двосмисленом фразом попут Više opcija или Podešavanja?
• Класификација колачића. Да ли сте верификовали да је сваки колачић наведен као строго неопходан заиста потребан за функционисање сајта, а не за аналитику, оглашавање или функције удобности?
• Приступ повлачењу. Да ли постоји трајни UI елемент на свакој страници koji поново отвара банер за сагласност, са не više кликова него što је захтевало оригинално прихватање?
• Нема мрачних образаца. Да ли банер избегава изборе боје, величине или анимације koji стварају значајну визуелну неравнотежу између прихватања и одбијања?

Банер koji враћа шест јасних да на ту контролну листу је одбрањив у односу на тренутно спровођење усклађено са taskforce-ом. Банер koji враћа чак jeдно не треба третирати kao пројекат санације, а не维 задатак одржавања.

Куда taskforce иде даље

Objavljeni извештаји покривају обрасце koji su покренули оригинални талас притужби. Текући рад taskforce-а — видљив кроз периодична ажурирања која objavljuje EDPB — сада продире у теже, мање утврђено подручје. Три области ће вероватно дефинисати следећи круг смерница.

Модели плати или пристани

Одлука неколико великих европских издавача да понуде посетиоцима бинарни избор између плаћања претплате и пристанка на праћење привукла је експлицитну пажњу. EDPB је 2024. дао мишљење у ком поставља питање да ли se такав избор може сматрати слободно датим кад је алтернатива платни зид. Очекује se да ће taskforce objavi koordinisane критеријуме za kada je plati ili pristani дозвољен и کад прелази у принуду.

Замор од сагласности и granularnost

Веома granulisane površine сагласности по добављачу, попут оних koje generiše IAB TCF, критиковане су zbog прозводства замора од сагласности и на крају крајева нису informisane у смислу GDPR-а. Будуће смернице taskforce-а ће вероватно притискати на контроле на нивоу категорије, а не на нивоу добављача на prvom слоју, при чему је откривање на нивоу добављача доступно, ali nije обавезно за почетну ваљану сагласност.

Мобилне и повезане TV površine

Већина раног рада taskforce-а фокусирала се на веб банере. Мобилни in-app токови сагласности и интерфејси повезаних телевизора имају различита дизајнерска ограничења и još нису bili predmet детаљних налаза. Издавачи koji posluju на тим površinama треба да очекују koordinisane смернице у наредних 12 do 18 месеци и не треба да претпостављају да се усклађени образац веб банера аутоматски преноси.

Обједињавање свега

Taskforce је урадио нешто što GDPR сам није могао: произвео је jединствeno, operativno тумачење тога kako изгледа сагласност у пракси широм Европске уније. За издаваче, лекција је да је ера куповине јурисдикција или ослањања на лабаво национално спровођење прошла. Прави одговор је третирати категорије taskforce-а kao обавезујући интерни стандард, ревидирати постојеће банере у складу са њима и конфигурисати инфраструктуру управљања сагласношћу тако да се категорије спроводе на нивоу платформе, а не остављају за имплементацију по страницама. Модерни CMP koji се чисто мапира на шест категорија — уравнотежена дугмад prvog слоја, podrazumevano isključeni prekidači, etikete odbijanja na jasnom jeziku, тачна класификација колачића, трајни приступ повлачењу и неутралан дизајн — трансформише изложену позицију усклађености у одбрањиву на сваком европском тржишту истовремено.