Varför undantaget är viktigt

Enligt ePrivacy-direktivet (artikel 5.3) krävs normalt förhandssamtycke för att lagra eller läsa information på en användares enhet. Det finns två undantag, och det som publishers oftast förlitar sig på gäller lagring som är absolut nödvändig för att leverera en tjänst som användaren uttryckligen har begärt. Allt som inte omfattas av undantaget hör hemma bakom din samtyckesbanner.

Många webbplatser tänjer på undantaget så att det täcker analys, A/B-testning, frekvensbegränsning av annonser och personalisering. Tillsynsmyndigheter har upprepade gånger avvisat den tolkningen, så det lönar sig att förstå exakt var gränsen går.

Tvådelat test

Undantaget handlar inte om vad som är bekvämt för dig. Det ställer två frågor:

1. Har användaren uttryckligen begärt tjänsten? Att ladda en artikel är en begäran. Att lägga en vara i varukorgen är en begäran. Att öppna en chattwidget som du har tryckt in på varje sida är det inte.
2. Är lagringen absolut nödvändig för att leverera just den tjänsten? Om tjänsten skulle fungera, även i en mindre bekväm form, utan cookien eller identifieraren är lagringen sannolikt inte absolut nödvändig.

Observera att ”nödvändigt för vår affärsmodell” inte är detsamma som ”nödvändigt för den tjänst användaren bad om”. Annonsintäkter håller en gratiswebbplats vid liv, men identifierare för annonsinriktning behövs inte för att visa en artikel.

Vanligen accepterade exempel

• Sessions- och autentiseringscookies som håller en inloggad användare inloggad under en session.
• Varukorgscookies som kommer ihåg varorna medan användaren genomför köpet.
• Lastbalanseringsidentifierare som dirigerar en begäran till rätt server.
• Säkerhetscookies som används för att upptäcka upprepade misslyckade inloggningar eller för att skydda mot förfalskade begäranden.
• Själva samtyckesregistret, eftersom det krävs att komma ihåg användarens val för att kunna följa det.
• Gränssnittsinställningar som användaren avsiktligt har valt, till exempel språk, när de lagras för sessionen eller för att användaren valt dem.

Vanligen felklassificerade exempel

• Analyscookies. Vissa myndigheter tillåter begränsad, integritetsvänlig publikmätning på snäva villkor, men vanliga analystaggar kräver generellt samtycke. Kontrollera vägledningen från den myndighet som gäller din publik.
• Identifierare för annonsering och retargeting. De behövs aldrig för att leverera själva innehållet.
• Delningsknappar för sociala medier och inbäddade widgetar som sätter tredjepartscookies vid sidladdning.
• A/B-testning och personalisering som användaren inte har begärt.
• Frekvensbegränsning för annonser. Det förbättrar användarupplevelsen men är inte nödvändigt för att leverera sidan.

Varaktighet och omfattning spelar fortfarande roll

En cookie som verkligen är nödvändig kan ändå bli problematisk om den lever längre eller samlar in mer än funktionen kräver. En sessionscookie som finns kvar i ett år, eller en säkerhetscookie som också skriver en marknadsföringsprofil, förlorar sitt skydd. Håll livslängden kort och innehållet minimalt.

Dokumentera ditt resonemang

För varje cookie eller lagringspost som du klassificerar som absolut nödvändig, skriv ner tre saker: den användarbegärda funktion den stöder, varför funktionen skulle sluta fungera utan den och dess livslängd. En kort tabell vid sidan av din cookieinventering räcker. När du går igenom listan, ifrågasätt varje post: om det enda argumentet är ”så har vi alltid gjort”, flytta den bakom samtycke.

Undantaget gäller också mer än cookies. Local storage, session storage, device fingerprinting och SDK-identifierare i appar omfattas av samma logik i artikel 5.3, så ta med dem i genomgången.

Var FlexyConsent kommer in

FlexyConsent är en Google-certifierad CMP (CMP ID 317), certifierad av IAB Europe och IAB Canada, med en banner på 57 språk. Med en CMP kan du hålla tillbaka icke-nödvändiga taggar tills användaren har valt, medan dina verkligt nödvändiga delar fortsätter att laddas. Det är fortfarande du som avgör vilken kategori varje cookie tillhör, så håll ditt dokumenterade resonemang uppdaterat.

Viktiga slutsatser

• Undantaget täcker lagring som är absolut nödvändig för en tjänst som användaren uttryckligen begärt, inte lagring som behövs för dina intäkter.
• Sessions-, varukorgs-, lastbalanserings-, säkerhets- och samtyckesregistercookies är de typiska kvalificerande exemplen.
• Analys, annonsering, sociala widgetar och personalisering kräver generellt samtycke.
• Livslängd och innehåll spelar roll: håll nödvändiga cookies kortlivade och minimala.
• Tillämpa samma test på local storage, session storage och appidentifierare.
• Dokumentera resonemanget för varje post du klassificerar som absolut nödvändig och granska det regelbundet.