Категории бисквитки: как да класифицирате бисквитките за съгласие

Съгласието за бисквитки не е решение „всичко или нищо“. Регулациите за поверителност изискват потребителите да могат да правят детайлен избор кои видове бисквитки приемат. За да е възможно това, бисквитките се организират в категории — групи според тяхното предназначение, всяка със собствени изисквания за съгласие.

Правилната категоризация е от критично значение. Погрешното класифициране на маркетингова бисквитка като „строго необходима“ не е просто техническа грешка — то е нарушение на съответствието, което регулаторите активно търсят и санкционират.

Защо категоризацията има значение

GDPR изисква съгласието да е „конкретно“ (член 4, точка 11). Работната група по член 29 (сега EDPB) поясни, че това означава, че съгласието трябва да се дава поотделно за всяко отделно предназначение. Обединяването на всички бисквитки в едно „приемане на всички“ без предлагане на избор по категории не отговаря на този стандарт.

На практика това означава, че вашият механизъм за съгласие за бисквитки трябва да представя бисквитките, групирани по предназначение, и да позволява на потребителите да приемат или отхвърлят всяка категория независимо. Стандартът, който се наложи в цялата индустрия — и който регулаторите очакват — използва четири категории.

Четирите стандартни категории бисквитки

1. Строго необходими бисквитки

Тези бисквитки са от съществено значение за основното функциониране на уебсайта. Без тях услугата, която потребителят изрично е поискал, не може да бъде предоставена.

Изисква се съгласие: Не. Строго необходимите бисквитки са освободени от изискването за съгласие съгласно член 5, параграф 3 от Директивата за електронна поверителност, който гласи, че съгласие не се изисква за бисквитки, които са „строго необходими, за да може доставчикът на услуга на информационното общество, изрично поискана от абоната или потребителя, да предостави услугата“.

Примери за строго необходими бисквитки:

• Сесийни бисквитки, които поддържат състоянието на вписване
• Бисквитки за количка за пазаруване в сайт за електронна търговия
• Токени за защита от CSRF (междусайтова фалшификация на заявки)
• Бисквитки за балансиране на натоварването, които разпределят трафика между сървърите
• Бисквитки за предпочитанията за съгласие (бисквитката, която запомня избора ви за съгласие)
• Бисквитки за сигурност, които откриват злоупотреба с удостоверяване

Кое НЕ е строго необходимо:

• Бисквитки за анализ — дори тези от собствен източник. Измерването на трафика е полезно за оператора на уебсайта, но не е необходимо за предоставянето на услугата, която потребителят е поискал.
• Плъгини за социални мрежи — бутоните за споделяне и вградените емисии обслужват интересите на собственика на сайта, а не функция, изрично поискана от потребителя.
• Рекламни бисквитки — по дефиниция те служат за цел извън услугата, до която потребителят достъпва.
• Бисквитки за A/B тестване — те служат на целите за оптимизация на оператора на сайта, а не на изричното искане на потребителя.

Ключовият тест е перспективата: необходими за кого? Ако бисквитката служи на интересите на оператора на уебсайта, а не на функция, която потребителят изрично е поискал, тя не е строго необходима — независимо колко важна може да е за бизнеса.

2. Бисквитки за анализ / статистика

Тези бисквитки събират информация за това как посетителите използват уебсайта: кои страници се посещават, колко дълго остават потребителите, откъде идват и къде напускат. Данните обикновено се агрегират и се използват за подобряване на уебсайта.

Изисква се съгласие: Да, в повечето юрисдикции. Някои органи за защита на данните (по-специално френският CNIL и нидерландският AP) обаче посочиха, че определени инструменти за анализ от собствен източник могат да отговарят на условията за ограничено освобождаване, при условие че са изпълнени конкретни условия (вижте нашия раздел за кога се изисква съгласие).

Често срещани бисквитки за анализ:

Обърнете внимание, че бисквитките на Google Analytics по своята същност са от трети страни, въпреки че може да изглеждат като бисквитки от собствен източник — защото Google обработва данните на собствените си сървъри и може да ги използва за свои цели. Това разграничение е било от значение в няколко европейски мерки за прилагане.

3. Маркетингови / рекламни бисквитки

Тези бисквитки проследяват посетителите в различни уебсайтове, за да изградят профил на тяхното поведение при сърфиране. Този профил се използва за показване на насочена реклама, измерване на ефективността на рекламните кампании и ограничаване на броя пъти, в които потребителят вижда определена реклама.

Изисква се съгласие: Винаги. Няма изключение за рекламни бисквитки при никое тълкуване на Директивата за електронна поверителност или GDPR.

Често срещани маркетингови бисквитки:

Маркетинговите бисквитки почти винаги са от трети страни. Те представляват най-високия риск за поверителността и са най-строго регулираната категория. Всеки механизъм за съгласие, който прави приемането на маркетингови бисквитки по-лесно от отхвърлянето им, рискува регулаторни действия.

4. Бисквитки за предпочитания / функционалност

Тези бисквитки позволяват разширена функционалност и персонализация, които надхвърлят строго необходимото. Те запомнят избора, който потребителят е направил, но не се изискват за функционирането на основната услуга.

Изисква се съгласие: Да, макар че нивото на риска е по-ниско от това при бисквитките за анализ или маркетинг. Някои регулатори третират бисквитките за предпочитания по-снизходително, но правната позиция е, че съгласие все пак се изисква.

Примери:

• Предпочитание за език (когато сайтът функционира без него, като просто минава по подразбиране на друг език)
• Избор на регион или валута
• Предварително попълване на потребителско име във формулярите за вписване
• Предпочитания за видео плейър (сила на звука, качество)
• Състояние на чат уиджет (отворен/затворен, история на разговорите)
• Размер на шрифта или предпочитания за достъпност

Разграничението между „строго необходими“ и „предпочитания“ може да е фино. Бисквитка за език на едноезичен сайт е безсмислена. Бисквитка за език на многоезичен сайт, който минава по подразбиране на функционален език без нея, е предпочитание. Бисквитка за език на сайт, който изобщо не може да функционира без нея — защото съдържанието не се зарежда без избор на език — може да се спори, че е строго необходима. Контекстът има значение.

Как да категоризирате бисквитките си правилно

Следвайте този процес за всяка бисквитка на вашия уебсайт:

1. Идентифицирайте бисквитката. Какво е името ѝ, кой я задава (собствен източник или трета страна) и колко дълго действа?
2. Определете предназначението ѝ. Защо съществува тази бисквитка? Какво се случва, ако бъде премахната?
3. Приложете теста за строга необходимост. Дали тази бисквитка е от съществено значение за функция, която потребителят изрично е поискал? Ако потребителят е поискал да се впише, сесийна бисквитка е необходима. Ако искате да проследите поведението му, това е ваша нужда, а не негова.
4. Присвоете категорията. Ако не е строго необходима, класифицирайте я въз основа на основното ѝ предназначение: анализ, маркетинг или предпочитания.
5. Документирайте своите разсъждения. За всяка бисквитка запишете защо сте я категоризирали по определен начин. Тази документация е ценна, ако някога регулатор попита.

Често срещани грешки при категоризация

Въз основа на регулаторните мерки за прилагане и констатациите от одити, това са най-често срещаните грешки:

• Класифициране на Google Analytics като строго необходим. Това е единствената най-честа грешка. GA е инструмент за анализ. Той никога не е строго необходим за предоставяне на услуга на потребителя. Няколко органа за защита на данните конкретно посочиха това.
• Поставяне на всички бисквитки от трети страни в „функционалност“. Вградените видеоклипове от YouTube, бутоните за споделяне в социални мрежи и чат уиджетите не са строго необходими и техните бисквитки обикновено служат за цели за анализ или маркетинг извън видимата функционалност.
• Пренебрегване на бисквитки, зададени от плъгини и интеграции. Сайт на WordPress с 20 плъгина може да задава десетки бисквитки, за които операторът на сайта дори не знае. Вие все пак носите отговорност за всички тях.
• Третиране на маркетингови бисквитки като аналитични. Facebook Pixel и проследяването на реализации на Google Ads са маркетингови бисквитки, а не аналитични — тяхното основно предназначение е рекламата, дори ако използвате данните аналитично.
• Погрешно категоризиране на бисквитки за A/B тестване. Инструменти като Optimizely и VWO задават бисквитки, за да разпределят потребителите в тестови групи. Те не са строго необходими и трябва да се категоризират като анализ или предпочитания.

Автоматизирайте процеса

Ръчните одити на бисквитки отнемат много време и са склонни към грешки. Уебсайтовете се променят постоянно — нов плъгин, актуализиран скрипт, маркетингов екип, добавящ проследяващ пиксел — и всяка промяна може да въведе нови бисквитки, които трябва да бъдат категоризирани.

Passiro автоматично сканира и категоризира всички бисквитки на вашия уебсайт, открива нови бисквитки, когато се появят, и маркира потенциални погрешни категоризации. Това гарантира, че вашият механизъм за съгласие за бисквитки винаги отразява действителните бисквитки, които сайтът ви използва — а не само тези, за които сте знаели при последната проверка.

Сега, след като разбираме категориите, нека разгледаме какво всъщност означава съгласието за бисквитки от правна гледна точка — изискванията са по-конкретни, отколкото повечето хора осъзнават.