Opt-in vs. opt-out: Að skilja tvö líkön samþykkis

Í heiminum ríkja tvær grundvallar ólíkar nálganir á vafrakökusamþykki. Evrópusambandið krefst opt-in: engar vafrakökur fyrr en notandinn segir já. Bandaríkin (í flestum ríkjum) leyfa opt-out: vafrakökur eru settar sjálfgefið og notandinn getur sagt nei. Að skilja þessi tvö líkön — lagalegan grunn þeirra, afleiðingar og hvar hvort á við — er nauðsynlegt fyrir hvaða vefsíðu sem er með alþjóðlegan markhóp.

Opt-in líkanið

Í opt-in líkaninu má ekki setja vafrakökur sem ekki eru nauðsynlegar fyrr en notandinn hefur veitt skýrt og staðfestandi samþykki. Ef notandinn aðhefst ekkert eru engar vafrakökur settar. Þetta er líkanið sem ePrivacy-tilskipun ESB (5. gr. (3)) krefst, eins og hún er túlkuð í gegnum skilgreiningu GDPR á samþykki (4. gr. (11)).

Hvernig opt-in virkar í reynd

1. Notandinn heimsækir vefsíðuna í fyrsta sinn.
2. Aðeins strangt nauðsynlegar vafrakökur eru virkar. Greiningar-, markaðs- og kjörstillingavafrakökur eru lokaðar.
3. Samþykkisviðmót birtist sem sýnir flokka vafrakaka og biður notandann að velja.
4. Notandinn velur virkt hvaða flokka hann samþykkir (eða smellir á „Samþykkja allt“ eða „Hafna öllu“).
5. Aðeins skriftur sem samsvara samþykktum flokkum eru hlaðnar.
6. Ef notandinn aðhefst ekkert eru engar vafrakökur sem ekki eru nauðsynlegar settar. Samþykkisviðmótið er áfram sýnilegt (eða aðgengilegt) þar til notandinn velur.

Lagalegur grunnur

Opt-in krafan á rætur að rekja til tveggja heimilda:

• ePrivacy-tilskipun, 5. gr. (3): Krefst „samþykkis“ áður en upplýsingar eru geymdar á tæki notandans.
• GDPR, 4. gr. (11): Skilgreinir samþykki þannig að það krefjist „ótvíræðrar staðfestandi aðgerðar“ — sem útilokar aðgerðaleysi, forhakaða reiti og undirskilið samþykki.
• Planet49-úrskurður Evrópudómstólsins (C-673/17): Staðfesti að virkt samþykki sé nauðsynlegt og að forhakaðir reitir teljist ekki gilt samþykki.

Hvar opt-in á við

Öll aðildarríki ESB/EES (27 ESB-lönd auk Noregs, Íslands og Liechtenstein), auk Bretlands (sem hélt ePrivacy-reglunum eftir Brexit með Privacy and Electronic Communications Regulations, eða PECR).

Afleiðingar fyrir rekstraraðila vefsíðna

• Búast má við umtalsverðum höfnunarhlutföllum. Gögn iðnaðarins benda til að 30-50% evrópskra gesta hafni vafrakökum sem ekki eru nauðsynlegar þegar þeim er boðið raunverulegt val.
• Greiningargögn verða ófullkomin. Þú munt aðeins hafa gögn frá notendum sem samþykktu. Þetta er ekki galli — þetta er ætluð niðurstaða reglugerðarinnar.
• Hleðsla skrifta þarf að vera skilyrt. Þú þarft tæknilega aðferð sem lokar á skriftur þar til samþykki er skráð. Þetta er ekki hægt með borða einum saman — það krefst raunverulegrar skriftustýringar.

Opt-out líkanið

Í opt-out líkaninu má setja vafrakökur sjálfgefið. Notandinn hefur rétt til að hafna eða afþakka, en nema hann grípi til aðgerða er rakning leyfð. Þetta er líkanið sem notað er í Bandaríkjunum og nokkrum öðrum lögsögum.

Hvernig opt-out virkar í reynd

1. Notandinn heimsækir vefsíðuna.
2. Allar vafrakökur — þar á meðal greiningar- og markaðsvafrakökur — eru settar strax.
3. Tilkynning upplýsir notandann um að vafrakökur séu í notkun og býður leið til að afþakka.
4. Ef notandinn aðhefst ekkert eru vafrakökurnar áfram virkar.
5. Ef notandinn afþakkar eru óskir hans virtar framvegis (og í sumum lögsögum getur þurft að eyða áður söfnuðum gögnum).

Lagalegur grunnur

Opt-out líkanið er að finna í:

• CCPA/CPRA (Kalifornía): Neytendur í Kaliforníu hafa rétt til að afþakka „sölu“ eða „deilingu“ persónuupplýsinga. Vafrakökur sem notaðar eru til hegðunarmiðaðra auglýsinga þvert á samhengi teljast „deiling“ samkvæmt CPRA. Skyldan er að bjóða afþökkunaraðferð (oft í gegnum tengil „Do Not Sell or Share My Personal Information“), ekki að afla fyrirfram samþykkis.
• CAN-SPAM Act og leiðbeiningar FTC: Bandaríska sambandsnálgunin á rakningu á netinu hefur sögulega verið tilkynning-og-val frekar en staðfestandi samþykki.
• Ýmis lög einstakra ríkja í Bandaríkjunum: Virginía (VCDPA), Colorado (CPA), Connecticut (CTDPA) og fleiri fylgja útfærslum af opt-out líkaninu fyrir markvissar auglýsingar og gagnasölu.

Hvar opt-out á við

Bandaríkin (með mismun eftir ríkjum), Kanada (PIPEDA — þó þetta gæti breyst með fyrirhuguðum umbótum), Ástralía (samkvæmt Privacy Act — einnig í endurskoðun) og nokkrar aðrar lögsögur utan ESB/EES.

Afleiðingar fyrir rekstraraðila vefsíðna

• Meiri gagnasöfnun sjálfgefið. Þar sem vafrakökur eru settar nema notandinn andmæli eru greiningar- og auglýsingagögn heildstæðari.
• Verður að bjóða skýra afþökkunaraðferð. Samkvæmt CCPA/CPRA þýðir þetta tengil „Do Not Sell or Share My Personal Information“ sem er auðvelt að finna og nota.
• Verður að virða Global Privacy Control (GPC). Lög í Kaliforníu krefjast þess að fyrirtæki meðhöndli GPC-vaframerkið sem gilda afþökkunarbeiðni.

Ítarlegur samanburður

Er hægt að nota mismunandi líkön fyrir mismunandi svæði?

Já, og margar alþjóðlegar vefsíður gera það. Þessi nálgun er kölluð landfræðilega miðuð samþykkisstýring. Vefsíðan greinir staðsetningu gestsins (venjulega með IP-staðsetningargreiningu) og birtir viðeigandi samþykkislíkan:

• Gestir frá ESB/EES/Bretlandi: Opt-in líkan með nákvæmu samþykki.
• Gestir frá Kaliforníu: Opt-out líkan með tengli „Do Not Sell or Share“.
• Aðrir bandarískir gestir: Aðeins tilkynning (eftir gildissviði laga viðkomandi ríkis).
• Aðrar lögsögur: Byggt á gildandi staðbundnum lögum.

Áskoranir landfræðilegrar miðunar

• IP-staðsetningargreining er ekki fullkomin. VPN-notendur geta verið ranglega staðsettir. Farsímanotendur geta færst milli lögsagna.
• Viðhaldsbyrði. Þú þarft að fylgjast með lagabreytingum í hverri lögsögu sem þú þjónar og uppfæra samþykkisferlin þín í samræmi við það.
• Flókin prófun. Þú verður að staðfesta að hvert svæðisbundið afbrigði virki rétt — mismunandi borðar, mismunandi sjálfgefin ástönd, mismunandi hegðun við lokun skrifta.
• GDPR gildir utan landamæra. Ef þú beinir þjónustu að notendum í ESB (3. gr. (2)) gildir GDPR óháð því hvar fyrirtæki þitt er staðsett. „Miðun“ nær yfir að bjóða vörur eða þjónustu til íbúa ESB eða vakta hegðun þeirra.

Bestu venjur: Notaðu opt-in sjálfgefið

Ef það virðist yfirþyrmandi að stýra mörgum samþykkislíkönum er til einfaldari leið: notaðu opt-in líkanið sjálfgefið á heimsvísu.

Hér er ástæðan fyrir því að þetta virkar:

1. Regluvarsla alls staðar. Opt-in líkanið uppfyllir ströngustu kröfurnar. Ef þú uppfyllir samþykkiskröfur GDPR fer þú sjálfkrafa fram úr kröfum CCPA, LGPD og flestra annarra regluverka.
2. Einfaldleiki. Ein samþykkisaðferð, ein útfærsla, eitt sett af prófunum. Engin landfræðileg greining, engin svæðisbundin afbrigði, engin jaðartilvik.
3. Framtíðaröryggi. Alþjóðleg þróun stefnir í átt að strangari samþykkiskröfum. Fyrirhugaðar umbætur í Bandaríkjunum, Kanada, Ástralíu og Indlandi stefna allar í átt að skýrara samþykki. Að byggja fyrir opt-in núna þýðir að þú þarft ekki að breyta síðar.
4. Traust notenda. Notendur um allan heim bregðast jákvætt við gagnsæjum og virðingarverðum samþykkisvenjum. Að bjóða raunverulegt val — jafnvel þar sem lög krefjast þess ekki beinlínis — byggir upp traust og trúverðugleika vörumerkis.
5. Gæði gagna. Samþykkt gögn eru hreinni, betur varin og verðmætari en gögn sem safnað er í gegnum lagalega óvissu.

Málamiðlunin er raunveruleg: þú munt safna færri gögnum á heimsvísu. En gögnin sem þú safnar verða lagalega traust, siðferðilega hrein og sífellt verðmætari eftir því sem þriðja aðila gögn verða minna aðgengileg.

Nýjar þróanir

Samþykkislandslagið er ekki fast. Nokkrar þróanir eru þess virði að fylgjast með:

• ePrivacy-reglugerðin. ESB hefur unnið að endurnýjun ePrivacy-tilskipunarinnar síðan 2017. Þegar hún tekur gildi verður hún beint gildandi reglugerð (eins og GDPR) frekar en tilskipun sem krefst innleiðingar í hverju landi. Búist er við að samþykkisreglur fyrir vafrakökur verði svipaðar eða strangari en núverandi regluverk.
• Global Privacy Control (GPC). Þetta merki á vafrastigi miðlar persónuverndaróskum notanda sjálfkrafa. Lög í Kaliforníu krefjast þegar að virða GPC. Colorado og Connecticut gera það einnig. Þetta gæti orðið stöðluð aðferð til að miðla afþökkunaróskum.
• „Samþykki eða borgun“ líkön. Álit EDPB frá 2024 um „consent or pay“ (sérstaklega í samhengi við nálgun Meta) mótar hvernig eftirlitsaðilar líta á tengslin milli samþykkis og aðgangs að þjónustu.
• Samþykki á vafrastigi. Sumar tillögur myndu færa samþykkisstýringu frá einstökum vefsíðum yfir í vafrann sjálfan, þar sem notendur stilla óskir sínar einu sinni frekar en á hverri síðu. Þetta myndi breyta grundvallarlega hvernig samþykki virkar í reynd.

Passiro hjálpar þér að innleiða rétta samþykkislíkanið fyrir markhópinn þinn, með sjálfvirkri greiningu og flokkun á öllum vafrakökum á síðunni þinni — hvort sem þú velur opt-in, opt-out eða landfræðilega miðaða nálgun.

Í lokakafla okkar skulum við skoða bestu venjur samþykkis — hagnýtar og framkvæmanlegar leiðbeiningar um að innleiða samþykki sem er bæði í samræmi við reglur og notendavænt.