Kuidas kirjutada küpsiste poliitikat: samm-sammuline juhend

Küpsiste poliitika on täpselt sama hea, kui täpne ja selge see on. See juhend viib teid läbi protsessi, kuidas luua küpsiste poliitika, mis vastab juriidilistele nõuetele, teenib teie kasutajaid ja püsib ajas täpsena. Järgige neid üheksat sammu, et koostada poliitika, mis on põhjalik, läbipaistev ja hallatav.

1. samm: kaardistage oma küpsised

Enne kui saate oma küpsistest kirjutada, peate täpselt teadma, milliseid küpsiseid teie veebisait seab. See on kogu teie poliitika alus — ja samm, mille enamik organisatsioone valesti teeb.

Põhjalik küpsiste kaardistamine hõlmab järgmist:

1. Iga lehe skaneerimine. Küpsised võivad lehtede lõikes erineda. Teie avaleht võib seada teistsuguseid küpsiseid kui teie makselehekülg, ajaveeb või kontolehed. Terviklik kaardistus peab hõlmama kõiki lehetüüpe.
2. Esimese ja kolmanda osapoole küpsiste hõivamine. Esimese osapoole küpsised seab teie enda domeen. Kolmanda osapoole küpsised seavad välised teenused — analüütikaplatvormid, reklaamivõrgud, sotsiaalmeedia vidinad, manustatud videod, vestlusvidinad, makseteenuse pakkujad ja palju muud.
3. Küpsisteta salvestuse tuvastamine. Kaasaegsed veebisaidid kasutavad ka localStorage'i, sessionStorage'i, IndexedDB-d ja piksel-silte. Põhjalik poliitika katab kõik kliendipoolsed salvestusmehhanismid, mitte ainult HTTP-küpsised.
4. Testimine nõusolekuga ja ilma. Mõned küpsised seatakse nõusolekust sõltumata (rangelt vajalikud küpsised). Teised peaksid ilmuma alles pärast nõusoleku andmist. Teie kaardistus peaks kontrollima, et mitteolulised küpsised on tegelikult blokeeritud kuni nõusoleku andmiseni.

Käsitsi tehtud kaardistused on ebausaldusväärsed. Brauseri arendustööriistade käsitsi avamine mõnel lehel jätab märkamata küpsised, mille seavad asünkroonselt laaditud kolmanda osapoole skriptid, küpsised, mis seatakse ainult kindlate kasutajategevuste puhul, ning küpsised, mis ilmuvad alles järgmistel külastustel. Kasutage tervikliku ülevaate saamiseks automatiseeritud skaneerimistööriistu.

Passiro automatiseeritud küpsiste skanner läbib kogu teie veebisaidi, tuvastab iga küpsise ja salvestusmehhanismi ning esitab kategoriseeritud aruande — ideaalne lähtepunkt teie poliitikale.

2. samm: kategoriseerige iga küpsis

Kui teil on olemas täielik küpsiste loend, korraldage need standardkategooriatesse. Kõige laialdasemalt aktsepteeritud kategoriseerimine, mida kasutab IAB Transparency and Consent Framework ja mida soovitab enamik andmekaitseasutusi, on järgmine:

Rangelt vajalikud

Küpsised, milleta veebisait ei saa toimida. Näited: sisselogimisoleku sessiooniküpsised, ostukorviküpsised, CSRF-kaitse märgised, koormusjaoturi küpsised, küpsiste nõusoleku eelistuste küpsised. Need on ePrivacy direktiivi artikli 5(3) alusel nõusolekunõudest vabastatud, kuid peate need siiski oma poliitikas avalikustama.

Eelistused / funktsionaalsed

Küpsised, mis võimaldavad täiustatud funktsionaalsust ja isikupärastamist. Näited: keelevalik, piirkonna/valuuta eelistus, fondisuuruse seaded, hiljuti vaadatud tooted. Need ei ole rangelt vajalikud — sait toimiks ka ilma nendeta — kuid parandavad kasutajakogemust. Need nõuavad nõusolekut.

Analüütika / statistika

Küpsised, mida kasutatakse andmete kogumiseks selle kohta, kuidas külastajad veebisaidiga suhtlevad. Näited: Google Analyticsi küpsised (_ga, _gid), Hotjari sessiooniküpsised, Plausible Analytics. Need nõuavad enamikus ELi jurisdiktsioonides nõusolekut, kuigi mõned andmekaitseasutused (eeskätt Prantsuse CNIL) on loonud piiratud erandeid auditooriumimõõtmise tööriistadele, mis vastavad rangetele tingimustele.

Turundus / reklaam

Küpsised, mida kasutatakse suunatud reklaamiks, taasturunduseks ja reklaami tulemuslikkuse mõõtmiseks. Näited: Google Ads (_gcl_*), Meta Pixel (_fbp), LinkedIn Insight Tag, reklaamivõrgu küpsised. Need nõuavad alati nõusolekut ja on kõige põhjalikuma kontrolli all olev kategooria.

Määrake igale küpsisele kategooria ja veenduge, et kategoriseerimine on täpne. Levinud viga on analüütika- või turundusküpsiste kategoriseerimine „funktsionaalseteks", et nõusolekunõudest kõrvale hiilida — see ei vasta nõuetele ning reguleerijad tuvastavad selle hõlpsasti.

3. samm: kirjutage sissejuhatus

Teie küpsiste poliitika peaks algama lühikese sissejuhatusega, mis hõlmab järgmist:

• Kes te olete. Veebisaiti haldav juriidiline isik (ettevõtte nimi, registreeritud aadress).
• Mida see dokument hõlmab. „See küpsiste poliitika selgitab, kuidas [ettevõtte nimi] kasutab küpsiseid ja sarnaseid tehnoloogiaid saidil [veebisaidi URL]."
• Millal seda viimati uuendati. Lisage nähtaval kohal olev kuupäev.
• Kuidas teiega ühendust võtta. Esitage kontakti-e-post ja vajaduse korral oma andmekaitseametniku andmed.

Hoidke sissejuhatus kahe-kolme lause pikkune. Kasutajad on siin konkreetse info, mitte ettevõtte eessõna pärast.

4. samm: selgitage, mis on küpsised

Lisage lühike, mittetehniline selgitus selle kohta, mis on küpsised. Paljud teie külastajatest seda ei tea. Hea selgitus on selline:

Küpsised on väikesed tekstifailid, mis salvestatakse teie seadmesse (arvuti, tahvelarvuti või telefon), kui külastate veebisaiti. Neid kasutatakse laialdaselt selleks, et veebisaidid töötaksid, et parandada tõhusust ja anda veebisaidi omanikele teavet. Küpsiseid, mille seab teie külastatav veebisait, nimetatakse „esimese osapoole küpsisteks". Küpsiseid, mille seavad teised ettevõtted (näiteks analüütika- või reklaamiteenused), nimetatakse „kolmanda osapoole küpsisteks".

Kui teie sait kasutab tehnoloogiaid peale HTTP-küpsiste — nagu localStorage, piksel-sildid või sõrmejälgede võtmine — mainige ka neid. „Selles poliitikas kasutame mõistet „küpsised", et viidata küpsistele ja sarnastele tehnoloogiatele, kui pole öeldud teisiti."

5. samm: loetlege küpsised tabelivormingus

Esitage oma küpsised struktureeritud tabelis, kategooriate kaupa korraldatuna. Iga küpsise kohta lisage:

Väli	Kirjeldus	Näide
Nimi	Küpsise tehniline nimi	_ga
Pakkuja	Kes selle küpsise seab	Google Analytics (google.com)
Eesmärk	Mida küpsis teeb, lihtsas keeles	Genereerib unikaalse ID, et salvestada statistilisi andmeid selle kohta, kuidas te veebisaiti kasutate
Tüüp	Esimese või kolmanda osapoole; HTTP-küpsis, localStorage jne	Kolmanda osapoole HTTP-küpsis
Kestus	Kui kaua küpsis säilib	2 aastat

Siin on näide hästi struktureeritud küpsiste tabelist analüütikakategooria kohta:

Küpsise nimi	Pakkuja	Eesmärk	Tüüp	Kestus
_ga	Google Analytics	Määrab unikaalse ID külastajate eristamiseks ja statistiliste aruannete koostamiseks	Kolmanda osapoole	2 aastat
_gid	Google Analytics	Määrab igale sirvimissessioonile unikaalse ID statistiliste aruannete koostamiseks	Kolmanda osapoole	24 tundi
_gat_UA-*	Google Analytics	Piirab andmekogumise määra suure liiklusega saitidel	Kolmanda osapoole	1 minut

Korrake seda tabelit iga kategooria puhul: rangelt vajalikud, eelistused, analüütika ja turundus.

6. samm: kirjeldage iga kategooriat

Enne iga küpsiste tabelit esitage kategooria lühike kirjeldus:

• Mida selle kategooria küpsised teevad — üldjoontes.
• Kas nõusolek on vajalik — rangelt vajalikud küpsised nõusolekut ei nõua; kõik ülejäänud nõuavad.
• Mis juhtub, kui kasutaja keeldub — „Kui keeldute analüütikaküpsistest, ei kogu me teie külastuste kohta andmeid. Veebisait toimib tavapäraselt."

See kontekstipõhine teave aitab kasutajatel teha teadlikke otsuseid ning vastab GDPR-i läbipaistvusnõuetele.

7. samm: selgitage, kuidas kasutajad saavad küpsiseid juhtida

See jaotis peab hõlmama kahte juhtimismehhanismi:

Teie nõusolekuribal

Selgitage, et kasutajad saavad oma küpsiste eelistusi igal ajal hallata, klõpsates teie küpsiste seadete lingil või ikoonil. Kirjeldage, kust selle leiab (nt „Klõpsake küpsiseikoonil mis tahes lehe vasakus alanurgas" või „Klõpsake jaluses valikul „Küpsiste seaded""). Olge konkreetne — ärge lihtsalt öelge „meie küpsiseriba kaudu".

Brauseri seadete kaudu

Esitage lingid suuremate brauserite küpsiste haldamise juhistele:

• Google Chrome
• Mozilla Firefox
• Apple Safari
• Microsoft Edge

Märkige tagajärg: „Pange tähele, et küpsiste keelamine brauseri seadete kaudu võib mõjutada selle ja teiste külastatavate veebisaitide funktsionaalsust."

8. samm: lisage kontaktteave ja andmekaitseametniku andmed

Esitage privaatsusega seotud päringute jaoks selge kontaktteave:

• Vastutava töötleja identiteet: ettevõtte nimi, registreeritud aadress, registrikood.
• Privaatsuse kontakti-e-post: jälgitav e-posti aadress (nt [email protected]).
• Andmekaitseametnik: kui olete määranud andmekaitseametniku (kohustuslik teatud organisatsioonidele GDPR-i artikli 37 alusel), esitage tema nimi ja kontaktandmed.
• Järelevalveasutus: nimetage asjaomane andmekaitseasutus ja esitage link nende kaebusmehhanismile. Näiteks: „Teil on õigus esitada kaebus asutusele [andmekaitseasutuse nimi] aadressil [URL]."

9. samm: dateerige poliitika ja planeerige uuendused

Lisage selge kuupäev „Viimati uuendatud". Kohustuge poliitikat regulaarsete ajavahemike järel ja alati, kui teie küpsiste kasutus muutub, üle vaatama ja uuendama.

Kaaluge sellise avalduse lisamist: „Vaatame seda küpsiste poliitikat regulaarselt üle ja uuendame seda vajaduse korral. Kõigist olulistest muudatustest teavitatakse teadaandega meie veebisaidil."

Praktilises mõttes planeerige vähemalt kord kvartalis toimuv ülevaatamine. Kolmanda osapoole teenused muudavad oma küpsiseid sageli ja isegi väike integratsiooniuuendus võib tuua kaasa uusi küpsiseid, mis tuleb deklareerida.

Levinud vead, mida vältida

Isegi hoolikalt kirjutatud küpsiste poliitikad sisaldavad sageli neid vigu:

• Ebamäärased eesmärgikirjeldused. „See küpsis parandab teie kogemust" ei ütle kasutajale midagi. Olge konkreetne: milliseid andmeid küpsis kogub ja milleks neid kasutatakse?
• Aegunud küpsiste loendid. Kui teie poliitikas on loetletud küpsised tööriistast, mille kuus kuud tagasi eemaldasite, või kui seal puuduvad küpsised tööriistast, mille eelmisel nädalal lisasite, on see ebatäpne. Ebatäpne avalikustamine õõnestab läbipaistvust.
• Puuduvad kolmanda osapoole küpsised. Paljud organisatsioonid loetlevad oma küpsised, kuid unustavad dokumenteerida kolmanda osapoole küpsised, mille seab manustatud sisu (YouTube'i videod, sotsiaalmeedia nupud, vestlusvidinad jne). Need on sageli saidi kõige privaatsust rikkuvamad küpsised.
• Kategoriseerimisvead. Turundus- või analüütikaküpsiste klassifitseerimine „funktsionaalseteks" või „vajalikeks", et nõusolekunõudest kõrvale hiilida. Andmekaitseasutused otsivad just seda.
• Eelistuste muutmise mehhanismi puudumine. Väide, et kasutajad saavad oma eelistusi hallata, kuid selleks pole ette nähtud selgelt kirjeldatud ja alati kättesaadavat mehhanismi.
• Malli kopeerimine ilma kohandamiseta. Üldised küpsiste poliitika mallid, mis ei kajasta teie tegelikke küpsiseid, tegelikke teenuseid ega tegelikku andmetöötlust. Mall on lähtepunkt, mitte valmis dokument.
• Raskestimõistetav keel. Juriidiline žargoon, tehniline terminoloogia ja tarbetult keerulised lauseehitused. GDPR nõuab selget ja lihtsat keelt. Kirjutage mittespetsialistist auditooriumile.

Poliitika hoidmine kooskõlas tegelike küpsistega

Küpsiste poliitika haldamise raskeim osa ei ole selle kirjutamine — vaid selle täpsena hoidmine. Veebisaidid on dünaamilised. Turundusmeeskonnad lisavad uusi tööriistu, arendajad integreerivad uusi teenuseid, sisuhaldussüsteemid installivad jälgimisvõimekusega lisandmooduleid. Iga muudatus võib tuua kaasa küpsiseid, mida teie poliitikas ei mainita.

Lahenduseks on automatiseeritud, pidev jälgimine. Selle asemel, et tugineda käsitsi tehtavatele kaardistustele (mis on harvad, mittetäielikud ja veaohtlikud), kasutage skaneerimistööriista, mis läbib regulaarselt teie veebisaiti, tuvastab kõik aktiivsed küpsised ja võrdleb neid teie deklareeritud küpsiste loendiga.

Passiro skaneerib teie veebisaiti automaatselt, tuvastab deklareerimata küpsised ja hoiatab teid, kui teie poliitika vajab uuendamist. See tagab, et teie küpsiste poliitika kajastab alati tegelikkust — mitte hetkeülevaadet ajast, mil keegi viimati kontrollimist meeles pidas. Tutvuge Passiro automatiseeritud küpsiste vastavusega.