Банери за бисквитки: пълното ръководство

Банерът за бисквитки е връзката между вашия уебсайт и правото на неприкосновеност на личния живот на посетителите ви. Това е механизмът, чрез който получавате — или не успявате да получите — правно валидно съгласие за несъществените бисквитки. Правилното му прилагане не е по избор: то е правно изискване в целия Европейски съюз и във все повече юрисдикции по света.

Това ръководство разглежда какво представляват банерите за бисквитки, защо съществуват, какво изисква законът и как да внедрите такъв, който да е едновременно съответстващ и удобен за потребителите.

Какво представлява банерът за бисквитки?

Банерът за бисквитки е елемент от потребителския интерфейс — обикновено показван, когато посетителят пристигне за първи път на уебсайта ви — който информира потребителя за използването на бисквитки и подобни технологии за проследяване от страна на сайта и предоставя механизъм, чрез който потребителят да даде или откаже съгласие.

Терминът „банер за бисквитки“ е донякъде неформален. От правна гледна точка става дума за интерфейс за управление на съгласието. Той съществува заради два пресичащи се закона на ЕС:

• Директивата за електронна неприкосновеност (2002/58/ЕО), член 5(3) — изисква предварително съгласие, преди да се съхранява или осъществява достъп до информация на устройството на потребителя (с тесни изключения за строго необходимите бисквитки).
• Общият регламент относно защитата на данните (GDPR), членове 4(11) и 7 — определя какво представлява валидно съгласие: то трябва да е свободно изразено, конкретно, информирано и недвусмислено, дадено чрез ясно потвърждаващо действие.

Заедно тези закони означават, че преди да поставите аналитична бисквитка, маркетингов пиксел или друг несъществен инструмент за проследяване, трябва да попитате потребителя и да получите ясно „да“.

Правни изисквания към банерите за бисквитки

Съответстващият банер за бисквитки не е просто уведомление — той е механизъм за съгласие. Европейският комитет по защита на данните (EDPB) и националните органи за защита на данните са издали обширни насоки за това какво трябва да включват банерите. Ето непреложните изисквания:

Какво трябва да се показва

1. Ясно описание на целта. Потребителите трябва да разбират защо се използват бисквитки, а не само че съществуват. „Използваме бисквитки, за да подобрим вашето изживяване“ не е достатъчно. Трябва да обясните конкретните цели: анализ, реклама, персонализация, интеграция със социални мрежи.
2. Бутон за приемане. Ясно, потвърждаващо действие за даване на съгласие за несъществените бисквитки.
3. Бутон за отхвърляне (или еквивалент). Потребителите трябва да могат да откажат несъществените бисквитки също толкова лесно. CNIL (Франция), датският орган за защита на данните (Datatilsynet) и EDPB потвърждават: отхвърлянето на бисквитки трябва да е също толкова лесно, колкото приемането им.
4. Връзка към настройките или предпочитанията за бисквитки. Потребителите трябва да могат да правят детайлен избор — приемане на едни категории бисквитки и отхвърляне на други.
5. Връзка към вашата политика за бисквитки. Банерът трябва да осигурява достъп до подробна информация за това какви бисквитки използвате, техните цели, продължителност и дали са от първа или трета страна.
6. Идентичност на администратора на данни. Потребителите трябва да знаят кой събира данните им.

Какво не трябва да се случва

• Несъществените бисквитки не трябва да се поставят, преди потребителят да направи избор.
• Съгласието не трябва да се предполага от превъртане, продължено разглеждане или бездействие.
• Предварително отметнатите полета не представляват валидно съгласие (потвърдено от Съда на ЕС в решението Planet49, дело C-673/17).
• Стените за бисквитки — блокиране на достъпа до сайта, освен ако потребителят не даде съгласие — по принцип са забранени, макар че в някои юрисдикции съществуват ограничени изключения.

Видове банери за бисквитки

Не всички банери за бисквитки са еднакви. Видът, който ви е необходим, зависи от вашата юрисдикция, използваните бисквитки и нивото на съответствие, към което се стремите.

Банери само с уведомление

Те просто информират потребителя, че се използват бисквитки, често с един-единствен бутон „ОК“ или „Разбрах“. Банерите само с уведомление не са в съответствие със законодателството на ЕС. Те бяха разпространени в ранните дни на регулирането на бисквитките, но не отговарят на стандарта за съгласие по GDPR. Ако уебсайтът ви е насочен към потребители в ЕС, банерът само с уведомление е риск.

Банери с предварително съгласие (Opt-In)

Златният стандарт за съответствие с ЕС. Не се поставят несъществени бисквитки, докато потребителят не даде изрично съгласие. Банерът предоставя ясни опции за приемане и отхвърляне и в идеалния случай връзка към детайлни настройки. Това е моделът, изискван от Директивата за електронна неприкосновеност, интерпретирана през призмата на GDPR.

Многослойни банери

Многослойният подход представя основната информация на първия слой (самия банер) и подробната информация на втори слой (панел за предпочитания или страница с настройки). Това е подходът, препоръчван от EDPB и повечето органи за защита на данните. Той балансира прозрачността с удобството: потребителите получават ключовата информация веднага, с възможност да се задълбочат.

Добре внедреният многослоен банер обикновено показва:

• Първи слой: Кратко описание на целта, бутон за приемане, бутон за отхвърляне, връзка „Управление на предпочитанията“.
• Втори слой: Разбивка по категории с превключватели, подробни описания и списък с конкретните бисквитки във всяка категория.

Разположение на банера

Мястото, на което поставяте банера за бисквитки, влияе както върху съответствието, така и върху потребителското изживяване. Обичайните разположения включват:

EDPB не е предписал конкретно разположение, но банерът трябва да бъде ясно видим и трудно за пропускане. Централният модален прозорец или видимата долна лента са най-безопасните избори от гледна точка на съответствието. Малка ъглова джаджа, която потребителите редовно пренебрегват, може да не отговаря на стандарта за „ясна и видима“ информация.

Какво трябва да включва съответстващият банер

За обобщение, банер, който отговаря на настоящите стандарти на ЕС, трябва да включва следните елементи:

1. Описание на целта: Кратко обяснение защо се използват бисквитки, организирано по категории (необходими, аналитични, маркетингови, предпочитания).
2. Бутон „Приеми всички“: Ясно обозначен, даващ съгласие за всички несъществени категории бисквитки.
3. Бутон „Отхвърли всички“: Също толкова видим, колкото бутона за приемане — със същия размер, същата визуална тежест, същото ниво на достъпност.
4. Връзка „Управление на предпочитанията“ / „Настройки“: Отваря втори слой, където потребителите могат да правят избор по категории.
5. Връзка към политиката за бисквитки: Води към подробен документ с политиката за бисквитки.
6. Връзка към политиката за поверителност: Води към пълната политика за поверителност на сайта (може да бъде комбинирана с връзката към политиката за бисквитки).

Често срещани грешки при внедряването на банери за бисквитки

Дори добронамерените внедрявания често съдържат грешки, които подкопават съответствието:

• Поставяне на бисквитки преди съгласието. Най-често срещаната и най-сериозна грешка. Ако вашите аналитични или рекламни тагове се активират при зареждане на страницата, преди потребителят да взаимодейства с банера, вие сте в нарушение. Съгласието трябва да бъде получено преди поставянето на бисквитките.
• Липса на бутон за отхвърляне. Предлагането само на „Приеми“ и „Настройки“ не е достатъчно. Потребителите трябва да могат да отхвърлят всички несъществени бисквитки от първия слой, с едно действие.
• Визуална манипулация. Правенето на бутона за приемане голям и зелен, докато опцията за отхвърляне е малка текстова връзка, е тъмен модел. Органите за защита на данните са налагали значителни глоби за тази практика.
• Неясни описания на целта. „Използваме бисквитки, за да подобрим вашето изживяване“ не казва нищо на потребителя. Бъдете конкретни: анализ, таргетирана реклама, вграждания от социални мрежи, A/B тестване.
• Пренебрегване на съгласието на следващите страници. Съгласието (или отказът) трябва да се запази през цялата сесия и при следващи посещения. Ако потребителят отхвърли бисквитките на началната страница, този избор трябва да се спазва на всяка следваща страница.
• Липса на начин за промяна на предпочитанията. Потребителите трябва да могат да оттеглят съгласието си по всяко време, също толкова лесно, колкото са го дали (GDPR член 7(3)). Постоянна връзка към настройките — често малка икона в ъгъла на страницата — винаги трябва да е налична.
• Неактуализиране при промяна на бисквитките. Ако добавите нов маркетингов инструмент, категориите на банера и политиката за бисквитки трябва да бъдат актуализирани. Остарялото съгласие не е валидно съгласие.

Производителност на банера и страницата

Банерите за бисквитки заемат критична позиция: те се зареждат при всяко първо посещение, на всяка страница. Лошо внедреният банер може значително да влоши производителността на сайта ви, засягайки Core Web Vitals и, съответно, класирането ви в търсачките.

Основни съображения за производителността:

• Тегло на скрипта. Скриптът на платформата за управление на съгласието (CMP) трябва да бъде възможно най-лек. Тежките скриптове, които зареждат допълнителни зависимости, могат да добавят стотици милисекунди към времето за зареждане на страницата. Стремете се към под 30KB gzip за скрипта на банера.
• Блокиране на рендирането. Скриптът на банера трябва да се зарежда асинхронно. Той никога не бива да блокира рендирането на съдържанието на вашата страница. Потребителите трябва да виждат зареждането на сайта ви, докато банерът се появява.
• Изместване на оформлението. Банер, който избутва съдържанието надолу или кара елементите да подскачат, ще навреди на вашия резултат за Cumulative Layout Shift (CLS). Използвайте фиксирано или overlay позициониране, за да избегнете измествания на оформлението.
• Управление на тагове. Банерът трябва да се интегрира с вашия мениджър на тагове, за да зарежда скриптове условно въз основа на съгласието. Таговете, които се активират преди проверката на съгласието, са едновременно правен и производителен проблем — те зареждат ненужни ресурси.

Най-добрият подход е решение за банер, изградено с оглед на производителността от самото начало: минимален JavaScript, без външни зависимости, асинхронно зареждане и тясна интеграция с управлението на таговете ви.

Подходът на Passiro към съгласието за бисквитки

Банерът за съгласие на Passiro е проектиран да отговаря на всяко изискване, описано на тази страница — и да го прави, без да компрометира производителността на сайта ви. Нашият скрипт за банер е под 15KB gzip, зарежда се асинхронно, поддържа Google Consent Mode v2 и предоставя напълно достъпен, съответстващ на WCAG AA интерфейс за съгласие още от старта. Passiro е регистрирана в IAB Europe като CMP ID 499, което позволява генериране на валидни TC String и пълно участие в рамката IAB TCF v2.3.

Ние поемаме правната сложност, за да можете вие да се съсредоточите върху бизнеса си. Passiro автоматично сканира сайта ви за бисквитки, категоризира ги, генерира съответстваща конфигурация на банера и поддържа всичко синхронизирано, докато сайтът ви се развива.

Вижте как Passiro може да ви помогне да постигнете съответствие относно бисквитките.