Küpsiste vastavuse kontrollnimekiri: 25 punkti täieliku vastavuseni

Küpsiste vastavus hõlmab tehnilist teostust, juriidilist dokumentatsiooni ja pidevaid tegevusprotsesse. Kui üks element puudub, võib tulemuseks olla mittevastavus, isegi kui kõik muu on korras. See struktureeritud 25-punktiline kontrollnimekiri katab küpsiste vastavuse iga aspekti GDPR-i, ePrivacy direktiivi ja peamiste rahvusvaheliste andmekaitseseaduste alusel. Kasuta seda nii teostusjuhendi kui ka regulaarse auditivahendina.

Küpsiste inventuur

Sa ei saa hallata seda, mida sa pole mõõtnud. Täielik ja täpne küpsiste inventuur on iga muu vastavustegevuse alus.

1. Kõik küpsised tuvastatud ja dokumenteeritud

   Iga küpsis, mille sinu veebisait seab, tuleb tuvastada, sealhulgas küpsised, mille seavad kolmandate osapoolte skriptid, manustatud sisu ja dünaamiliselt laaditud ressursid. Kasuta automaatset skannimist, et tagada täielik katvus kõigil lehtedel, mitte ainult avalehel. Sinu inventuur peaks sisaldama HTTP-küpsiseid, localStorage'i kirjeid, sessionStorage'i kirjeid ja mis tahes muid kliendipoolseid salvestusmehhanisme, mida kasutatakse jälgimiseks.

2. Iga küpsis õigesti kategoriseeritud

   Iga küpsis tuleb määrata õigesse vastavuskategooriasse: rangelt vajalikud, funktsionaalsed, analüütika/toimivus või turundus/reklaam. Kategoriseerimine peab olema aus — küpsist, mis jälgib kasutajaid reklaami eesmärgil, ei saa liigitada „funktsionaalseks" lihtsalt seetõttu, et see pakub ka mõningast funktsionaalset kasu. Kahtluse korral kohalda rangemat kategooriat. Andmekaitseasutused uurivad kategoriseerimist põhjalikult ja vale kategoriseerimine on üks levinumaid leide jõustamismeetmetes.

3. Kolmandate osapoolte küpsised tuvastatud koos pakkujatega

   Iga sinu saidil oleva kolmanda osapoole küpsise kohta dokumenteeri, milline teenus selle seab, miks see sinu saidil on ja milliseid andmeid see kogub või jagab. Levinud kolmandate osapoolte küpsiste allikad on analüütikaplatvormid (Google Analytics, Adobe Analytics), reklaamivõrgud (Google Ads, Meta Pixel, LinkedIn Insight Tag), sotsiaalmeedia vidinad, videomanused (YouTube, Vimeo), vestlustööriistad (Intercom, Drift) ja A/B-testimise platvormid (Optimizely, VWO). Iga kolmanda osapoole pakkujaga peaks olema sõlmitud andmetöötlusleping.

4. Küpsiste kestused dokumenteeritud

   Salvesta iga küpsise aegumisperiood. Sessiooniküpsised aeguvad brauseri sulgemisel. Püsiküpsistel on määratletud eluiga, mis tuleb dokumenteerida (nt 30 päeva, 1 aasta, 2 aastat). GDPR-i andmete minimeerimise ja säilitamise piiramise põhimõtete kohaselt peaksid küpsiste kestused olema proportsionaalsed nende eesmärgiga. Analüütikaküpsist, mis püsib 10 aastat, oleks raske põhjendada. CNIL soovitab analüütikaküpsiste puhul maksimaalselt 13 kuud.

5. Küpsiste eesmärgid dokumenteeritud lihtsas keeles

   Iga küpsise eesmärki tuleb kirjeldada keeles, mida tavaline veebisaidi külastaja mõistab. „See küpsis salvestab unikaalse identifikaatori, et jälgida sinu sirvimistegevust meie saidil veebisaidi analüütika jaoks" on selge. „_ga: kasutab Google Analytics kasutajate eristamiseks" ei ole enamiku kasutajate jaoks piisav. Eesmärgi kirjeldus peaks vastama küsimusele: „Mida see küpsis teeb ja miks peaksin seda lubama?"

Nõusolekumehhanism

Nõusolekumehhanism on koht, kus juriidilised nõuded kohtuvad tehnilise teostusega. Selle õigesti tegemine on küpsiste vastavuse kõige kriitilisem — ja kõige sagedamini ebaõnnestunud — aspekt.

6. Nõusolek saadud ENNE mitteoluliste küpsiste seadmist

   See on kõige olulisem tehniline nõue. Ühtegi analüütika-, reklaami- või muud mitteolulist küpsist ei tohi seada enne, kui kasutaja on andnud kinnitava nõusoleku. See tähendab, et kolmandate osapoolte skriptide laadimine tuleb blokeerida, kuni nõusolek on saadud. Küpsiste lihtsalt tagantjärele kustutamine ei ole vastavuses — ePrivacy direktiiv nõuab nõusolekut enne salvestamist, mitte tagasiulatuvat eemaldamist. Testi seda, külastades oma saiti inkognito-aknas ja kontrollides, millised küpsised seatakse enne bänneriga suhtlemist.

7. Skriptid blokeeritud kuni nõusoleku andmiseni

   Küpsiste blokeerimisest ei piisa — skriptid, mis neid seavad, tuleb takistada käivitumast. Skript, mis laaditakse ja käivitatakse, kuid mille küpsise kirjutamine on takistatud, võib siiski koguda ja edastada andmeid (pikslite, majakate või API-kutsete kaudu). Sinu nõusolekuhaldus peab takistama skripti enda laadimist, kuni vastav nõusolekukategooria on aktsepteeritud. Levinud teostusviisid on skriptisiltide type-atribuudi muutmine (nt text/javascript asemel text/plain) ja skriptide dünaamiline sisestamine pärast nõusolekut.

8. Nupud „Nõustu" ja „Keeldu" võrdselt esiletõstetud

   Mitteolulistest küpsistest keeldumise võimalus tuleb esitada aktsepteerimise võimalusega võrdse esiletõstmisega. See tähendab sama visuaalset käsitlust: sama suurust, sama värvikaalu, sama liidesekihti. Suur roheline „Nõustu kõigega" nupp väikese halli „Halda seadeid" lingi kõrval ei kujuta endast võrdset esiletõstmist. CNIL, Garante ja mitmed teised andmekaitseasutused on väljastanud trahve just selle probleemi tõttu. Mõlemad võimalused peaksid olema küpsiste bänneri esimesel kihil, ilma et oleks vaja täiendavaid klikke.

9. Saadaval detailne kategooriapõhine nõusolek

   Kasutajad peavad saama nõustuda konkreetsete küpsisekategooriatega sõltumatult. Analüütikaküpsistega nõustumine ei tohiks nõuda ka reklaamiküpsistega nõustumist. Paku vähemalt eraldi lülitid järgmiste jaoks: rangelt vajalikud (alati sees, mitte lülitatavad), funktsionaalsed, analüütika/toimivus ning turundus/reklaam. Kui kasutad küpsiseid kategooria sees mitmel erineval eesmärgil, kaalu veelgi detailsemate valikute pakkumist.

10. Ei mingeid eelnevalt märgitud märkeruute

    Kui kasutaja avab detailsed küpsiste eelistused, peavad kõik valikulised kategooriad olema vaikimisi märkimata. Ainult rangelt vajalikud küpsised (mis ei vaja nõusolekut) võivad olla eelnevalt lubatud. Euroopa Kohus kinnitas Planet49 kohtuotsuses (kohtuasi C-673/17), et eelnevalt märgitud märkeruudud ei kujuta endast kehtivat nõusolekut. See kehtib olenemata sellest, kas kasutaja saab neid märgistuse eemaldada — vaikimisi olek peab olema loobumine, mis nõuab liitumiseks kinnitavat tegevust.

11. Nõusoleku tagasivõtmine sama lihtne kui nõusoleku andmine

    GDPR-i artikkel 7(3) nõuab, et nõusoleku tagasivõtmine peab olema sama lihtne kui selle andmine. Kui kasutaja saab küpsistega nõustuda ühe klikiga bänneril, peab ta saama nõusoleku tagasi võtta võrreldava lihtsusega. Parim tava on püsiv, alati nähtav link või ikoon (nt jaluses või hõljuva nupuna), mis avab küpsiste eelistuste keskuse, kus kasutaja saab oma valikuid muuta või tühistada. Kasutajalt brauseri küpsiste kustutamise, mattunud seadete lehele navigeerimise või tugimeeskonnaga ühenduse võtmise nõudmine ei vasta sellele standardile.

12. Nõusolekukirjed salvestatud ajatemplitega

    Sa pead suutma tõendada, et nõusolek anti. Salvesta iga nõusolekutoimingu kirje, sealhulgas: ajatempel, tehtud nõusolekuvalikud (millised kategooriad aktsepteeriti/lükati tagasi), sel ajal kehtinud küpsiste bänneri ja poliitika versioon ning nõusoleku unikaalne identifikaator (mis ei ole anonüümsete külastajate puhul tingimata seotud kasutajakontoga). GDPR-i vastutuse põhimõtte kohaselt lasub nõusoleku tõendamiskoormus vastutaval töötlejal. Kui sa ei suuda esitada tõendeid, et konkreetne kasutaja nõustus, on tema nõusolek sisuliselt tõendamata.

Küpsiste poliitika

Sinu küpsiste poliitika on nii juriidiline dokument kui ka läbipaistvusvahend. See peab olema täpne, täielik ja arusaadav.

13. Küpsiste poliitika on olemas ja ligipääsetav

    Pühendatud küpsiste poliitika (või selge küpsiste jaotis sinu privaatsuspoliitikas) peab olemas olema ja hõlpsasti leitav. Parim tava on pühendatud leht, millele on link sinu veebisaidi jaluses, küpsiste bänneril ja peamises privaatsuspoliitikas. Poliitika peab olema ligipääsetav ilma küpsistega nõustumata — kasutajad peaksid saama seda lugeda enne nõusolekuotsuse tegemist.

14. Kõik küpsised loetletud koos nimede, eesmärkide, tüüpide ja kestustega

    Sinu küpsiste poliitika peab sisaldama tabelit või struktureeritud loendit igast küpsisest, mille sinu veebisait seab, sealhulgas: küpsise nimi, kes selle seab (esimene osapool või kolmanda osapoole pakkuja), mida see teeb (lihtsas keeles), kas tegu on sessiooni- või püsiküpsisega ning kui kaua see kestab. See ei ole valikuline — see on selge nõue GDPR-i läbipaistvussätete (artiklid 12–14) ja ePrivacy direktiivi teadliku nõusoleku nõude alusel.

15. Kolmandate osapoolte pakkujad tuvastatud

    Sinu poliitika peab nimetama kolmanda osapoole teenused, mis sinu veebisaidil küpsiseid seavad. „Me kasutame kolmandate osapoolte analüütikaküpsiseid" ei ole piisav. „Me kasutame Google Analyticsit (Google LLC-lt), mis seab järgmised küpsised: _ga, _gid, _gat" on. Kasutajatel on õigus teada, kes nende kohta andmeid kogub, ja teha iga pakkuja kohta teadlikke otsuseid.

16. Küpsiste haldamise juhised lisatud

    Sinu poliitika peaks selgitama, kuidas kasutajad saavad oma küpsiste eelistusi hallata, sealhulgas: kuidas pääseda küpsiste eelistuste keskusesse nõusolekuvalikute muutmiseks, kuidas kustutada olemasolevaid küpsiseid brauseri seadete kaudu ning lingid peamiste kolmandate osapoolte küpsisepakkujate privaatsuspoliitikatele. Kuigi brauseritasandi küpsiste haldamine on kasutaja vastutus, näitab selgete juhiste pakkumine head tahet ja toetab kasutaja mõjuvõimu suurendamise põhimõtet.

17. Poliitika kuupäevastatud ja regulaarselt uuendatud

    Sinu küpsiste poliitika peab sisaldama viimase uuendamise kuupäeva. Iga kord, kui lisad uusi küpsiseid, eemaldad küpsiseid, muudad kolmanda osapoole pakkujaid või muudad küpsiste eesmärke, tuleb poliitikat muudatuse kajastamiseks uuendada. Kuupäevata poliitika või selline, mida pole üle aasta uuendatud, on andmekaitseasutuste jaoks ohumärk. Parim tava: integreeri oma küpsiste skannimise tulemused poliitikaga, nii et poliitika uueneb automaatselt, kui tuvastatakse uusi küpsiseid.

Küpsiste bänner

Küpsiste bänner on sinu nõusolekuhalduse nähtav liides. See peab tasakaalustama juriidilise vastavuse ja kasutatavuse.

18. Bänner kuvatakse esimesel külastusel enne küpsiste seadmist

    Küpsiste bänner peab ilmuma, kui kasutaja külastab sinu veebisaiti esimest korda, enne kui seatakse mis tahes mitteolulisi küpsiseid. Bänner peaks olema kohe nähtav ilma kerimiseta, ei tohiks olla kergesti kõrvaldatav juhuslike klikkidega ja peaks püsima, kuni kasutaja teeb aktiivse valiku. Bänner ei tohi takistada kasutaja võimet lehelt eemale liikuda ega juurdepääsu olulisele sisule (kuigi mõnes jurisdiktsioonis võib olla lubatud piirata juurdepääsu sisule nõusolekunõude taga, on turvalisem lähenemine lubada navigeerimist ajal, mil bänner on kuvatud).

19. Bänner on ligipääsetav (klaviatuuriga navigeeritav, ekraanilugejaga ühilduv)

    Sinu küpsiste bänner peab ise olema ligipääsetav. See tähendab: kõik interaktiivsed elemendid (nupud, lülitid, lingid) peavad olema klaviatuuriga ligipääsetavad ja kasutatavad; bänner peab olema ekraanilugejatele korrektselt teatatud sobivate ARIA-atribuutidega; fookust tuleb hallata õigesti (fookus peaks liikuma bännerile selle ilmumisel ja naasma lehele selle sulgemisel); värvikontrast peab vastama WCAG 2.1 AA standarditele (4,5:1 tavateksti puhul, 3:1 suure teksti puhul); ning bänner peab olema kasutatav eri suurendusastmete ja ekraanisuuruste juures. Ligipääsmatu küpsiste bänner on nii juriidiline risk (WCAG vastavuse ebaõnnestumine) kui ka mainerisk igale organisatsioonile, kes väidab hoolivat privaatsusest ja kaasatusest.

20. Bänner lingib täieliku küpsiste poliitikaga

    Küpsiste bänner peab sisaldama linki sinu täielikule küpsiste poliitikale, võimaldades kasutajatel lugeda üksikasjalikku teavet iga küpsise kohta enne nõusolekuotsuse tegemist. Link peaks olema selgelt nähtav ja märgistatud (nt „Loe meie küpsiste poliitikat" või „Loe rohkem"). GDPR nõuab, et nõusolek oleks „teadlik", mis tähendab, et teadliku otsuse tegemiseks vajalik teave peab olema ligipääsetav nõusoleku andmise hetkel.

21. Bänner ei kasuta pettemustreid

    Pettemustrid küpsiste bänneris õõnestavad nõusoleku kehtivust. Väldi: nõustumisnupu visuaalselt domineerivaks tegemist (suurem, heledam, silmatorkavam), samas kui keeldumisvõimalus on peen või peidetud; segava keele kasutamist („Nõustu soovitatud seadetega" selgete valikute asemel); keeldumiseks rohkema klikkide nõudmist kui nõustumiseks; värvikoodide kasutamist, mis viitab, et keeldumine on vale (punane keeldumiseks, roheline nõustumiseks); „kinnitushäbistamise" keele kasutamist („Ei, ma ei hooli oma kasutuskogemusest"); ja mis tahes muud kujundust, mis suunab, manipuleerib või petab kasutajaid nõustuma. EDPB pettemustrite juhised (vastu võetud veebruaris 2023) pakuvad keelatud praktikate üksikasjalikke näiteid.

Tehniline ja pidev

Küpsiste vastavus ei ole lõpetamiskuupäevaga projekt. See on pidev tegevusprotsess.

22. Google Consent Mode v2 rakendatud (kui kasutad Google'i teenuseid)

    Kui kasutad mis tahes Google'i teenuseid (Analytics, Ads, Tag Manager), on Google Consent Mode v2 alates märtsist 2024 nõutav EMP-s reklaamide serveerimiseks. Consent Mode edastab sinu kasutajate küpsiste nõusolekuvalikud Google'i siltidele, kohandades nende käitumist vastavalt nõusoleku staatusele. Ilma Consent Mode'ita ei pruugi Google'i sildid sinu nõusolekuhalduse platvormiga korrektselt toimida, mis viib kas andmete kaotamiseni (sildid täielikult blokeeritud) või vastavusrikkumisteni (sildid käivituvad ilma nõusolekuta). Rakenda nii ad_storage kui ka analytics_storage nõusolekuparameetrid ja tee kindlaks, et need on vaikimisi „keelatud", kuni nõusolek on antud.

23. Regulaarne küpsiste skannimine ajastatud

    Seadista automaatsed küpsiste skannimised korduvale ajakavale. Skanni vähemalt kord kuus. Ideaalis integreeri skannimine oma juurutamise torustikku, nii et iga väljalase skannitakse automaatselt. Seadista teavitused uute või muutunud küpsiste kohta, et sinu meeskond saaks neid kiiresti hinnata ja kategoriseerida. Skann, mis käivitub, kuid mida kunagi üle ei vaadata, ei paku vastavuse osas mingit kasu.

24. Protsess uute kolmandate osapoolte skriptide ülevaatamiseks

    Kehtesta ametlik protsess, mida tuleb järgida enne mis tahes uue kolmanda osapoole skripti, pistikprogrammi või teenuse lisamist sinu veebisaidile. Protsess peaks hõlmama: skripti seatud küpsiste tuvastamist, nende küpsiste kategoriseerimist, nõusolekuhalduse konfiguratsiooni uuendamist nende lisamiseks, küpsiste poliitika uuendamist ning kontrollimist, et skript on korrektselt blokeeritud, kuni sobiv nõusolek on antud. See protsess peaks hõlmama nii tehnilist (arendus) kui ka vastavuse (juriidiline/privaatsus) ülevaatust. Kõige levinum küpsiste vastavuse ebaõnnestumise põhjus on uute skriptide lisamine veebisaidile ilma privaatsusülevaatust läbimata.

25. Personal koolitatud küpsiste vastavuse osas

    Kõik, kes on seotud sinu veebisaidiga — arendajad, turundajad, sisuloojad ja juhid — peaksid mõistma küpsiste vastavuse põhitõdesid ja oma rolli selle säilitamisel. Arendajad peavad teadma, kuidas lisada skripte nõusolekuteadlikul viisil. Turundajad peavad mõistma, et uue jälgimispiksli lisamine nõuab vastavusülevaatust. Sisuloojad peavad teadma, et YouTube'i video manustamine toob kaasa kolmandate osapoolte küpsiseid. Koolitus ei pea olema ulatuslik, kuid see peab hõlmama põhiprintsiipi: mitte mingit uut jälgimist ilma ülevaatuseta. Üksainus koolitamata meeskonnaliige, kes lisab turundusskripti ilma ülevaatusprotsessi läbimata, võib tühistada kuudepikkuse vastavustöö.

Selle kontrollnimekirja kasutamine

See kontrollnimekiri on mõeldud kasutamiseks kolmel viisil:

• Esmane teostus: Töötle kõik 25 punkti järjestikku läbi, kui seadistad küpsiste vastavust esimest korda. Ära jäta punkte vahele ega jäta neid hiljemaks — osaline vastavus on ikkagi mittevastavus.
• Regulaarne audit: Vaata kontrollnimekiri kvartaalselt üle, et kontrollida, kas kõik punktid on endiselt täidetud. Pööra erilist tähelepanu pidevatele punktidele (punktid 22–25), kuna need on kõige tõenäolisemad aja jooksul triivima.
• Pärast muudatusi: Iga kord, kui sinu veebisait läbib olulise muudatuse (uued funktsioonid, uued kolmanda osapoole teenused, ümberkujundus, CMS-i migreerimine), töötle läbi kontrollnimekirja asjakohased jaotised, et kontrollida vastavuse säilimist.

Küpsiste vastavus on saavutatav. See nõuab tähelepanu ja protsessi, kuid ükski üksiknõue pole ebamõistlikult keeruline. Organisatsioonid, kes hädas on, on tavaliselt need, kes käsitlevad vastavust ühekordse projektina, mitte pideva tegevusküsimusena. Ehita see oma töövoogu sisse, määra selge omanik ja kasuta seda kontrollnimekirja oma korduva kontrollivahendina.