Sīkdatņu politika: kas tā ir un kas tajā jāiekļauj

Sīkdatņu politika ir dokuments, kas jūsu vietnes apmeklētājiem izskaidro, kādas sīkdatnes un līdzīgas izsekošanas tehnoloģijas jūsu vietne izmanto, kāpēc tā tās izmanto un kā lietotāji var tās kontrolēt. Tā ir juridiska prasība gan saskaņā ar ePrivacy direktīvu, gan GDPR, un tā ir caurspīdīgas datu apstrādes stūrakmens.

Šajā rokasgrāmatā apskatīts, kas ir sīkdatņu politika, ar ko tā atšķiras no privātuma politikas, kas tajā jāiekļauj saskaņā ar spēkā esošajiem noteikumiem un kā laika gaitā uzturēt to precīzu.

Kas ir sīkdatņu politika?

Sīkdatņu politika ir īpašs dokuments — vai nu atsevišķa lapa, vai skaidri identificējama sadaļa jūsu privātuma politikā —, kas sniedz visaptverošu informāciju par jūsu vietnes sīkdatņu un līdzīgu tehnoloģiju (lokālās krātuves, sesijas krātuves, pikseļu tagu, tīmekļa bāku, pirkstu nospiedumu veidošanas un tamlīdzīgu) izmantošanu.

Juridiskais pamats prasībai par sīkdatņu politiku izriet no divām savstarpēji saistītām regulām:

• ePrivacy direktīva (2002/58/EK), 5. panta 3. punkts — nosaka, ka lietotājiem pirms piekrišanas iegūšanas jāsniedz "skaidra un visaptveroša informācija" par sīkdatņu mērķiem.
• GDPR, 12.–14. pants — pieprasa caurspīdīgumu par datu apstrādi, tostarp par to, kādi dati tiek vākti, kādiem mērķiem, ar ko tie tiek koplietoti un cik ilgi tie tiek glabāti.

Kopumā šīs regulas pieprasa jums precīzi informēt lietotājus par izmantotajām izsekošanas tehnoloģijām un sniegt viņiem reālu kontroli pār šīm tehnoloģijām.

Sīkdatņu politika vs privātuma politika

Sīkdatņu politika un privātuma politika ir savstarpēji papildinoši, taču atšķirīgi dokumenti. Ir svarīgi izprast to atšķirību:

Aspekts	Sīkdatņu politika	Privātuma politika
Tvērums	Konkrēti sīkdatnes un izsekošanas tehnoloģijas	Visa personas datu apstrāde (veidlapas, konti, pirkumi u.c.)
Juridiskais pamats	ePrivacy direktīva + GDPR caurspīdīguma prasības	GDPR 12.–14. pants
Satura fokuss	Sīkdatņu nosaukumi, mērķi, ilgums, veidi, kategorijas, kontroles mehānismi	Datu kategorijas, juridiskie pamati, tiesības, pārsūtīšana, DAS, glabāšana
Formāts	Atsevišķa lapa vai sadaļa privātuma politikā	Atsevišķa lapa (obligāti)
Atjaunināšanas biežums	Ikreiz, kad mainās sīkdatnes (rīku, piegādātāju pievienošana/noņemšana)	Ikreiz, kad mainās datu apstrādes prakse

Sīkdatņu politiku varat iekļaut kā sadaļu privātuma politikā, taču tai jābūt skaidri identificējamai un viegli atrodamai. Daudzas organizācijas skaidrības labad uztur atsevišķu sīkdatņu politikas lapu, arī tāpēc, ka informācija par sīkdatnēm var būt visai detalizēta.

Jūsu sīkdatņu joslai jāsatur saite uz jūsu sīkdatņu politiku. Ja informācija par sīkdatnēm ir sadaļa privātuma politikā, saitei jānoved tieši uz šo sadaļu — nelieciet lietotājiem ritināt cauri lapām ar nesaistītu privātuma informāciju, lai atrastu detaļas par sīkdatnēm.

Juridiskā prasība par sīkdatņu politiku

ePrivacy direktīva pieprasa "skaidru un visaptverošu informāciju" kā priekšnoteikumu derīgai piekrišanai. GDPR caurspīdīguma princips (5. panta 1. punkta a) apakšpunkts) un informācijas prasības (13.–14. pants) turklāt nosaka, ka šai informācijai jābūt:

• kodolīgai, caurspīdīgai un saprotamai (12. panta 1. punkts);
• sniegtai skaidrā un vienkāršā valodā (12. panta 1. punkts);
• viegli pieejamai (12. panta 1. punkts);
• sniegtai bez maksas (12. panta 5. punkts).

Praksē tas nozīmē: jūsu sīkdatņu politikai jābūt uzrakstītai valodā, ko saprot cilvēks bez tehniskām zināšanām, tai jābūt pieejamai no jūsu sīkdatņu joslas un vietnes kājenes, un tajā jāiekļauj konkrēta informācija par katru jūsu vietnē izmantoto sīkdatni.

Kas jāiekļauj sīkdatņu politikā

Balstoties uz ePrivacy direktīvas, GDPR un datu aizsardzības iestāžu, tostarp ICO (Apvienotā Karaliste), CNIL (Francija) un 29. panta darba grupas, apvienotajām prasībām un norādēm, jūsu sīkdatņu politikā jāiekļauj šāda informācija:

1. Kādas sīkdatnes izmantojat

Sniedziet pilnu sarakstu ar visām sīkdatnēm un līdzīgām tehnoloģijām, kas ir aktīvas jūsu vietnē. Tas ietver gan sīkdatnes, ko iestata jūsu paša kods (pirmās puses), gan sīkdatnes, ko iestata jūsu izmantotie trešo pušu pakalpojumi (analītikas platformas, reklāmas tīkli, sociālo tīklu logrīki, iegults saturs, tērzēšanas boti u.c.).

Katrai sīkdatnei jābūt identificētai pēc nosaukuma. "Mēs izmantojam analītikas sīkdatnes" nav pietiekami — jums jānorāda konkrētās sīkdatnes: piemēram, _ga, _gid, _gat pakalpojumam Google Analytics.

2. Katras sīkdatnes mērķis

Katrai sīkdatnei vai saistīto sīkdatņu grupai vienkāršā valodā izskaidrojiet, ko tā dara. Izvairieties no tehniska žargona. Efektīvi mērķu apraksti:

• "Saglabā jūsu sīkdatņu piekrišanas izvēles, lai mēs katrā apmeklējumā to nejautātu no jauna."
• "Palīdz mums saskaitīt, cik cilvēku apmeklē mūsu vietni un kuras lapas ir vispopulārākās."
• "Ļauj mums citās vietnēs rādīt jums jūsu interesēm atbilstošas reklāmas."

3. Pirmās puses vs trešās puses

Norādiet, vai katru sīkdatni iestata tieši jūsu vietne (pirmā puse) vai ārējs pakalpojums (trešā puse). Trešo pušu sīkdatnēm identificējiet piegādātāju un pievienojiet saiti uz viņu privātuma politiku. Lietotājiem ir tiesības zināt ne tikai to, ka viņu dati tiek vākti, bet arī, kas tos vāc.

4. Ilgums / derīguma termiņš

Norādiet, cik ilgi katra sīkdatne saglabājas. Ir divi veidi:

• Sesijas sīkdatnes — tiek dzēstas, kad lietotājs aizver pārlūkprogrammu. Norādiet to skaidri: "Sesija (tiek dzēsta, kad aizverat pārlūkprogrammu)."
• Pastāvīgās sīkdatnes — paliek lietotāja ierīcē noteiktu laiku. Norādiet konkrēto ilgumu: "2 gadi," "30 dienas," "13 mēneši." Neizmantojiet nekonkrētus apzīmējumus kā "ilgtermiņa."

Datu aizsardzības iestādes ir pievērsušas uzmanību sīkdatņu ilgumam. Piemēram, CNIL iesaka, ka piekrišanas sīkdatnēm (sīkdatnēm, kas saglabā lietotāja piekrišanas izvēli) nevajadzētu pārsniegt 13 mēnešus.

5. Kā pārvaldīt un dzēst sīkdatnes

Izskaidrojiet, kā lietotāji var kontrolēt sīkdatnes, izmantojot divus mehānismus:

• Jūsu piekrišanas josla. Izskaidrojiet, ka lietotāji jebkurā laikā var mainīt savas sīkdatņu izvēles, izmantojot jūsu sīkdatņu iestatījumus (norādiet iestatījumu saites/ikonas atrašanās vietu).
• Pārlūkprogrammas iestatījumi. Sniedziet vispārīgas norādes, kā pārvaldīt sīkdatnes izplatītākajās pārlūkprogrammās (Chrome, Firefox, Safari, Edge). Jums nav jāsniedz soli pa solim norādes, taču jāizskaidro, ka pārlūkprogrammas iestatījumi pastāv, un jāpievieno saites uz attiecīgo katras pārlūkprogrammas atbalsta lapu.

6. Kā atsaukt piekrišanu

GDPR 7. panta 3. punkts nosaka, ka piekrišanas atsaukšanai jābūt tikpat vienkāršai kā tās sniegšanai un ka lietotāji par šīm tiesībām jāinformē pirms piekrišanas sniegšanas. Jūsu sīkdatņu politikā jāizskaidro:

• ka lietotājam ir tiesības jebkurā laikā atsaukt piekrišanu;
• kā to izdarīt (parasti: noklikšķinot uz sīkdatņu iestatījumu ikonas/saites, kas redzama katrā lapā, vai dzēšot sīkdatnes pārlūkprogrammas iestatījumos);
• ka piekrišanas atsaukšana neietekmē apstrādes likumību, kas veikta, pamatojoties uz piekrišanu, pirms tās atsaukšanas.

7. Sīkdatņu kategorijas

Sakārtojiet sīkdatnes standarta kategorijās, ko izmanto jūsu piekrišanas josla. Visplašāk pieņemtais iedalījums ir šāds:

• Stingri nepieciešamās — sīkdatnes, kas nepieciešamas vietnes darbībai (pieteikšanās sesijas, iepirkumu grozi, drošības marķieri). Šīm sīkdatnēm saskaņā ar ePrivacy direktīvu piekrišana nav nepieciešama.
• Preferences / funkcionālās — sīkdatnes, kas atceras lietotāja izvēles (valoda, reģions, attēlojuma iestatījumi). Tās uzlabo pieredzi, bet nav būtiskas.
• Analītiskās / statistikas — sīkdatnes, ko izmanto anonīmu lietošanas datu vākšanai (lapu skatījumi, datplūsmas avoti, lietotāju uzvedības modeļi).
• Mārketinga / reklāmas — sīkdatnes, ko izmanto mērķētai reklāmai, atkārtotai mērķēšanai un reklāmu novērtēšanai.

Jūsu sīkdatņu politikas kategorijām jāsakrīt ar jūsu piekrišanas joslas kategorijām. Neatbilstība starp šiem diviem dokumentiem mazina caurspīdīgumu.

8. Kontaktinformācija

Sniedziet kontaktinformāciju jautājumiem par jūsu sīkdatņu praksi. Tā parasti ietver:

• datu pārziņa identitāti (jūsu uzņēmuma nosaukumu un reģistrēto adresi);
• e-pasta adresi ar privātumu saistītiem jautājumiem;
• datu aizsardzības speciālista (DAS) kontaktinformāciju, ja tāds ir iecelts;
• jūsu uzraudzības iestādi (attiecīgo datu aizsardzības iestādi).

Kur attēlot sīkdatņu politiku

Jūsu sīkdatņu politikai jābūt viegli pieejamai no vairākām vietām:

• Vietnes kājene. Saite "Sīkdatņu politika" jūsu kājenē, redzama katrā lapā. Šī ir standarta atrašanās vieta, ko lietotāji sagaida.
• Sīkdatņu josla. Tieša saite no sīkdatņu joslas uz pilno sīkdatņu politiku. Šī ir juridiska prasība — lietotājiem jāspēj piekļūt detalizētai informācijai no piekrišanas saskarnes.
• Sīkdatņu iestatījumu/preferenču panelis. Jūsu piekrišanas saskarnes otrajam slānim jāsatur saite uz sīkdatņu politiku lietotājiem, kuri vēlas vairāk informācijas.
• Privātuma politika. Ja jūsu sīkdatņu politika ir atsevišķs dokuments, izveidojiet savstarpēju atsauci starp to un privātuma politiku.

Sīkdatņu informācijas attēlošana

Visefektīvākais un caurspīdīgākais formāts atsevišķu sīkdatņu attēlošanai ir tabula. Datu aizsardzības iestādes, tostarp ICO, iesaka šādu formātu:

Sīkdatnes nosaukums	Piegādātājs	Mērķis	Veids	Ilgums
_ga	Google Analytics	Atšķir unikālos apmeklētājus, piešķirot nejauši ģenerētu numuru	Trešā puse, analītika	2 gadi
_gid	Google Analytics	Atšķir unikālos apmeklētājus pašreizējās dienas laikā	Trešā puse, analītika	24 stundas
cookie_consent	Šī vietne	Saglabā jūsu sīkdatņu piekrišanas izvēles	Pirmā puse, nepieciešamās	12 mēneši

Šis formāts ir skaidrs, viegli pārskatāms un sniedz visu nepieciešamo informāciju vienā acu uzmetienā.

Cik bieži atjaunināt

Jūsu sīkdatņu politikai vienmēr jābūt precīzai. Atjauniniet to ikreiz, kad:

• pievienojat jaunu trešās puses pakalpojumu, kas iestata sīkdatnes (jaunu analītikas rīku, jaunu mārketinga platformu, jaunu tērzēšanas botu);
• noņemat pakalpojumu, kas iepriekš iestatīja sīkdatnes;
• trešās puses pakalpojums maina savas sīkdatnes (jauni nosaukumi, jauns ilgums, jauni mērķi);
• maināt savas piekrišanas joslas kategorijas;
• mainās regulatīvās norādes (jaunas prasības, jauna paraugprakse).

Sīkdatņu politikas augšpusē vai apakšpusē iekļaujiet datumu "Pēdējoreiz atjaunināts". Tas apliecina, ka politika tiek aktīvi uzturēta, un palīdz lietotājiem novērtēt tās aktualitāti.

Izaicinājums, protams, ir zināt, kad jūsu sīkdatnes mainās. Trešo pušu pakalpojumi bieži atjaunina savu izsekošanu, un sīkdatne, kas pastāvēja pirms trim mēnešiem, iespējams, ir nomainīta vai pārdēvēta. Manuālas pārbaudes nav uzticamas, jo tās ir atkarīgas no tā, vai kāds atceras veikt pārbaudi.

Politikas precizitātes uzturēšana ar automatizētu skenēšanu

Visbiežāk sastopamā atbilstības kļūda sīkdatņu politikās nav informācijas trūkums, bet gan neprecīza informācija. Politika, kurā uzskaitītas sīkdatnes, ko vairs neizmantojat, vai kurā nav minētas sīkdatnes, ko pievienojusi nesena mārketinga rīka integrācija, nav atbilstīga.

Automatizēta sīkdatņu skenēšana atrisina šo problēmu. Skeneris regulāri apmeklē jūsu vietni, identificē visas iestatītās sīkdatnes, salīdzina tās ar jūsu deklarētajām sīkdatnēm un brīdina jūs par neatbilstībām.

Passiro automātiski skenē jūsu vietni, meklējot sīkdatnes, kategorizē tās un izceļ jebkuras nedeklarētas sīkdatnes, kas vēl nav atspoguļotas jūsu politikā. Tas nozīmē, ka jūsu sīkdatņu politika saglabājas precīza bez manuālām pārbaudēm. Uzziniet vairāk par Passiro automatizēto sīkdatņu skenēšanu.