Kategorije kolačića: Kako klasificirati kolačiće za privolu

Privola za kolačiće nije odluka po principu "sve ili ništa". Propisi o privatnosti zahtijevaju da korisnici mogu donositi granularne odluke o tome koje vrste kolačića prihvaćaju. Kako bi to bilo moguće, kolačići se organiziraju u kategorije — skupine temeljene na njihovoj svrsi, od kojih svaka ima vlastite zahtjeve za privolu.

Ispravna kategorizacija ključna je. Pogrešna klasifikacija marketinškog kolačića kao "strogo nužnog" nije samo tehnička pogreška — to je povreda usklađenosti koju regulatori aktivno traže i sankcioniraju.

Zašto je kategorizacija važna

GDPR zahtijeva da privola bude "posebna" (članak 4. stavak 11.). Radna skupina iz članka 29. (danas EDPB) pojasnila je da to znači da se privola mora dati zasebno za svaku pojedinu svrhu. Objedinjavanje svih kolačića u jedno "prihvati sve" bez mogućnosti odabira po kategorijama ne zadovoljava taj standard.

U praksi to znači da vaš mehanizam za privolu za kolačiće mora prikazati kolačiće grupirane prema svrsi te korisnicima omogućiti da neovisno prihvate ili odbiju svaku kategoriju. Standard koji se ustalio u industriji — i koji regulatori očekuju — koristi četiri kategorije.

Četiri standardne kategorije kolačića

1. Strogo nužni kolačići

Ovi su kolačići neophodni za osnovno funkcioniranje web-mjesta. Bez njih se usluga koju je korisnik izričito zatražio ne može pružiti.

Privola potrebna: Ne. Strogo nužni kolačići izuzeti su od zahtjeva za privolu prema članku 5. stavku 3. ePrivacy Direktive, koji navodi da privola nije potrebna za kolačiće koji su "strogo nužni kako bi pružatelj usluge informacijskog društva koju je pretplatnik ili korisnik izričito zatražio mogao pružiti tu uslugu".

Primjeri strogo nužnih kolačića:

• Sesijski kolačići koji održavaju stanje prijave
• Kolačići košarice na e-trgovini
• Tokeni za zaštitu od CSRF-a (cross-site request forgery)
• Kolačići za raspodjelu opterećenja koji distribuiraju promet među poslužiteljima
• Kolačići za preferencije privole za kolačiće (kolačić koji pamti vaš odabir privole)
• Sigurnosni kolačići koji otkrivaju zlouporabu autentifikacije

Što NIJE strogo nužno:

• Analitički kolačići — čak i oni prve strane. Mjerenje prometa korisno je operateru web-mjesta, ali nije nužno za pružanje usluge koju je korisnik zatražio.
• Dodaci društvenih mreža — gumbi za dijeljenje i ugrađeni sadržaji služe interesima vlasnika web-mjesta, a ne funkciji koju je korisnik izričito zatražio.
• Oglašivački kolačići — po definiciji, oni služe svrsi izvan usluge kojoj korisnik pristupa.
• Kolačići za A/B testiranje — oni služe ciljevima optimizacije operatera web-mjesta, a ne izričitom zahtjevu korisnika.

Ključni je test perspektiva: nužno za koga? Ako kolačić služi interesima operatera web-mjesta, a ne funkciji koju je korisnik izričito zatražio, nije strogo nužan — bez obzira na to koliko je važan za poslovanje.

2. Analitički / statistički kolačići

Ovi kolačići prikupljaju informacije o tome kako posjetitelji koriste web-mjesto: koje stranice posjećuju, koliko se dugo zadržavaju, odakle dolaze i gdje odustaju. Podaci se obično agregiraju i koriste za poboljšanje web-mjesta.

Privola potrebna: Da, u većini jurisdikcija. Međutim, neka tijela za zaštitu podataka (posebice francuski CNIL i nizozemski AP) naznačila su da određeni analitički alati prve strane mogu ispunjavati uvjete za ograničeno izuzeće, pod uvjetom da su ispunjeni određeni uvjeti (pogledajte naš odjeljak o tome kada je privola potrebna).

Uobičajeni analitički kolačići:

Napominjemo da su kolačići Google Analyticsa po prirodi kolačići treće strane, iako se mogu pojaviti kao kolačići prve strane — jer Google obrađuje podatke na vlastitim poslužiteljima i može ih koristiti za vlastite svrhe. Ova je distinkcija bila značajna u nekoliko europskih provedbenih postupaka.

3. Marketinški / oglašivački kolačići

Ovi kolačići prate posjetitelje na različitim web-mjestima kako bi izgradili profil njihova ponašanja pri pregledavanju. Taj se profil koristi za isporuku ciljanog oglašavanja, mjerenje učinkovitosti oglasnih kampanja i ograničavanje broja prikazivanja određenog oglasa korisniku.

Privola potrebna: Uvijek. Ne postoji iznimka za oglašivačke kolačiće ni prema jednom tumačenju ePrivacy Direktive ili GDPR-a.

Uobičajeni marketinški kolačići:

Marketinški kolačići gotovo su uvijek kolačići treće strane. Predstavljaju najveći rizik za privatnost i najstrože su regulirana kategorija. Svaki mehanizam za privolu koji olakšava prihvaćanje marketinških kolačića u odnosu na njihovo odbijanje riskira regulatorno djelovanje.

4. Kolačići za preferencije / funkcionalnost

Ovi kolačići omogućuju poboljšanu funkcionalnost i personalizaciju koja nadilazi ono što je strogo nužno. Pamte odabire koje je korisnik napravio, ali nisu potrebni za funkcioniranje osnovne usluge.

Privola potrebna: Da, iako je razina rizika niža nego kod analitičkih ili marketinških kolačića. Neki regulatori prema kolačićima za preferencije postupaju blaže, no pravni je stav da je privola i dalje potrebna.

Primjeri:

• Preferencija jezika (kada web-mjesto funkcionira i bez toga te se jednostavno vraća na zadani jezik)
• Odabir regije ili valute
• Automatsko popunjavanje korisničkog imena na obrascima za prijavu
• Preferencije videoreproduktora (glasnoća, kvaliteta)
• Stanje widgeta za razgovor (otvoreno/zatvoreno, povijest razgovora)
• Preferencije veličine fonta ili pristupačnosti

Razlika između "strogo nužnog" i "preferencija" može biti suptilna. Kolačić za jezik na jednojezičnom web-mjestu je besmislen. Kolačić za jezik na višejezičnom web-mjestu koje se bez njega vraća na funkcionalni jezik jest preferencija. Kolačić za jezik na web-mjestu koje uopće ne može funkcionirati bez njega — jer se sadržaj ne učitava bez odabira jezika — mogao bi se argumentirano smatrati strogo nužnim. Kontekst je bitan.

Kako ispravno kategorizirati svoje kolačiće

Slijedite ovaj postupak za svaki kolačić na svom web-mjestu:

1. Identificirajte kolačić. Kako se zove, tko ga postavlja (prva strana ili treća strana) i koliko dugo traje?
2. Utvrdite njegovu svrhu. Zašto ovaj kolačić postoji? Što se događa ako ga uklonite?
3. Primijenite test strogo nužnog. Je li ovaj kolačić neophodan za funkciju koju je korisnik izričito zatražio? Ako se korisnik želio prijaviti, sesijski je kolačić nužan. Ako želite pratiti njegovo ponašanje, to je vaša potreba, a ne njegova.
4. Dodijelite kategoriju. Ako nije strogo nužan, klasificirajte ga prema njegovoj primarnoj svrsi: analitika, marketing ili preferencije.
5. Dokumentirajte svoje obrazloženje. Za svaki kolačić zabilježite zašto ste ga kategorizirali na određeni način. Ova je dokumentacija dragocjena ako vas regulator ikad upita.

Uobičajene pogreške pri kategorizaciji

Na temelju regulatornih provedbenih postupaka i nalaza revizija, ovo su najčešće pogreške:

• Klasificiranje Google Analyticsa kao strogo nužnog. To je najčešća pojedinačna pogreška. GA je analitički alat. Nikada nije strogo nužan za pružanje usluge korisniku. Nekoliko je tijela za zaštitu podataka na to izričito ukazalo.
• Svrstavanje svih kolačića treće strane pod "funkcionalnost". Ugrađeni YouTube videozapisi, gumbi za dijeljenje na društvenim mrežama i widgeti za razgovor nisu strogo nužni, a njihovi kolačići obično služe analitičkim ili marketinškim svrhama izvan vidljive funkcionalnosti.
• Zanemarivanje kolačića koje postavljaju dodaci i integracije. WordPress web-mjesto s 20 dodataka može postaviti desetke kolačića kojih operater web-mjesta nije ni svjestan. Vi ste i dalje odgovorni za sve njih.
• Tretiranje marketinških kolačića kao analitičkih. Facebook Pixel i praćenje konverzija Google Adsa marketinški su kolačići, a ne analitički — njihova je primarna svrha oglašavanje, čak i ako podatke koristite analitički.
• Pogrešna kategorizacija kolačića za A/B testiranje. Alati poput Optimizelyja i VWO-a postavljaju kolačiće za raspoređivanje korisnika u testne skupine. Ovi nisu strogo nužni i trebalo bi ih kategorizirati kao analitiku ili preferencije.

Automatizirajte postupak

Ručne revizije kolačića dugotrajne su i sklone pogreškama. Web-mjesta se neprestano mijenjaju — novi dodatak, ažurirana skripta, marketinški tim koji dodaje piksel za praćenje — a svaka promjena može uvesti nove kolačiće koje treba kategorizirati.

Passiro automatski skenira i kategorizira sve kolačiće na vašem web-mjestu, otkriva nove kolačiće kada se pojave i označava potencijalne pogreške u kategorizaciji. Time se osigurava da vaš mehanizam za privolu za kolačiće uvijek odražava stvarne kolačiće koje vaše web-mjesto koristi — a ne samo one kojih ste bili svjesni pri posljednjoj provjeri.

Sada kada razumijemo kategorije, pogledajmo što privola za kolačiće zapravo pravno znači — zahtjevi su specifičniji nego što većina ljudi misli.