Meta Huwa Meħtieġ il-Kunsens għall-Cookies?

Ir-regola ġenerali hija sempliċi: il-kunsens huwa meħtieġ għall-cookies kollha ħlief dawk li huma strettament neċessarji. Iżda d-dettalji jgħoddu. Meta tkun taf eżattament meta l-kunsens huwa u meta mhux meħtieġ tevita kemm konformità żejda (billi ddejjaq lill-utenti b'talbiet ta' kunsens bla bżonn) kif ukoll konformità insuffiċjenti (billi tqiegħed cookies mingħajr bażi legali).

Ir-Regola Ġenerali

L-Artikolu 5(3) tad-Direttiva ePrivacy jistabbilixxi l-linja bażi:

L-Istati Membri għandhom jiżguraw li l-ħażna ta' informazzjoni, jew il-kisba ta' aċċess għal informazzjoni diġà maħżuna, fit-tagħmir terminali ta' abbonat jew utent tkun permessa biss bil-kundizzjoni li l-abbonat jew l-utent ikkonċernat ikun ta l-kunsens tiegħu, wara li jkun ġie pprovdut b'informazzjoni ċara u komprensiva [...] dwar l-għanijiet tal-ipproċessar.

Dan ikopri l-cookies kollha, il-local storage kollu, il-ħażna jew l-aċċess kollu fuq livell ta' tagħmir. Jekk il-websajt tiegħek tikteb xi ħaġa fuq it-tagħmir tal-utent, il-kunsens huwa r-rekwiżit awtomatiku.

L-Eżenzjoni ta' Strettament Neċessarji

L-istess artikolu jipprovdi l-unika eżenzjoni:

Dan ma għandux jimpedixxi kwalunkwe ħażna teknika jew aċċess bl-uniku skop li titwettaq it-trażmissjoni ta' komunikazzjoni fuq netwerk ta' komunikazzjoni elettronika, jew kif strettament neċessarju sabiex il-fornitur ta' servizz tas-soċjetà tal-informazzjoni mitlub b'mod espliċitu mill-abbonat jew mill-utent jipprovdi s-servizz.

Hemm żewġ partijiet f'din l-eżenzjoni:

1. Trażmissjoni teknika: Cookies li huma teknikament meħtieġa biex isseħħ il-komunikazzjoni. Din hija ristretta — essenzjalment limitata għal cookies ta' load balancing u neċessitajiet simili fuq livell tan-netwerk.
2. Strettament neċessarji għas-servizz: Cookies li huma essenzjali għal servizz li l-utent talab b'mod espliċitu. Il-frażi ewlenija hija "mitlub b'mod espliċitu mill-abbonat jew mill-utent." Is-servizz irid ikun xi ħaġa li l-utent talab, u l-cookie irid ikun indispensabbli biex jiġi pprovdut.

Cookies li Huma Strettament Neċessarji (Ebda Kunsens Meħtieġ)

• Cookies ta' awtentikazzjoni ta' sessjoni. Meta utent jidħol, il-cookie tas-sessjoni li jżomm l-istat awtentikat tiegħu huwa strettament neċessarju għas-servizz li talab (aċċess għall-kont tiegħu).
• Cookies tal-basket tax-xiri. Fuq sit ta' e-commerce, il-cookie li jżomm rekord tal-oġġetti fil-basket huwa strettament neċessarju għas-servizz tax-xiri li l-utent qed juża.
• Tokens ta' protezzjoni CSRF. Dawn huma strettament neċessarji għall-operazzjoni sigura tas-sottomissjoni ta' formoli.
• Cookies tal-preferenzi tal-kunsens tal-cookies. Il-cookie li jaħżen l-għażliet tal-kunsens tal-utent huwa strettament neċessarju — mingħajru, ma tistax tirrispetta l-preferenzi ta' privatezza tiegħu.
• Cookies relatati mal-input. Cookies li jiftakru l-input ta' formola tul proċess b'diversi passi (bħal formola ta' checkout) fejn l-utent ikun beda l-proċess.
• Cookies ta' load balancing. Cookies tekniċi li jgħaddu t-talbiet lis-server korrett. Dawn jaqgħu taħt il-parti ta' "trażmissjoni" tal-eżenzjoni.
• Cookies tal-personalizzazzjoni tal-interfaċċa tal-utent. Meta utent jagħżel b'mod espliċitu lingwa jew tema permezz ta' kontroll fuq il-paġna, il-cookie li jaħżen dik l-għażla huwa strettament neċessarju għas-servizz li talab. Madankollu, dan jiddependi fuq il-kuntest — ara hawn taħt.

Cookies li MHUX Strettament Neċessarji (Kunsens Meħtieġ)

• Cookies tal-analytics. Il-kejl tat-traffiku tal-websajt jibbenefika lill-operatur tal-websajt, mhux lill-utent. L-utent ma talabx servizz ta' analiżi tat-traffiku.
• Cookies tar-reklamar u retargeting. Dawn jaqdu l-interessi tar-reklamaturi u tal-operatur tal-websajt, qatt tal-utent.
• Cookies tal-qsim fuq il-midja soċjali. Dawn jitqiegħdu minn netwerks soċjali ta' partijiet terzi, mhux għal servizz li l-utent talab.
• Cookies tal-A/B testing. Dawn jaqdu l-għanijiet ta' ottimizzazzjoni tal-operatur.
• Cookies tal-affiliate tracking. Dawn jittraċċaw liema sħab irrefera lill-utent, u jaqdu l-interessi kummerċjali tal-operatur.
• Cookies ta' login persistenti ("remember me"). L-EDPB innota li filwaqt li cookie ta' sessjoni għal login attwali huwa neċessarju, cookie persistenti li jżomm lill-utent imdaħħal tul sessjonijiet imur lil hinn minn dak li huwa strettament neċessarju. L-utent jista' jerġa' jidħol.
• Cookies tal-monitoraġġ tal-prestazzjoni. Cookies użati biex jimmonitorjaw il-ħinijiet tat-tagħbija tal-paġna, ir-rati tal-iżbalji, u metriċi tekniċi simili jaqdu lill-operatur, mhux lill-utent.

Id-Dibattitu dwar l-Analytics tal-First-Party

Wieħed mill-aktar oqsma kontestati fil-konformità tal-cookies huwa jekk il-cookies tal-analytics tal-first-party jistgħux jintużaw mingħajr kunsens. It-tweġiba tvarja skont il-ġurisdizzjoni u qed tevolvi.

Il-Pożizzjoni tas-CNIL (Franza)

Is-CNIL Franċiż ħareġ gwida speċifika li tiddikjara li ċerti cookies tal-kejl tal-udjenza jistgħu jkunu eżenti mill-kunsens, sakemm:

1. L-iskop ikun strettament limitat għall-kejl tal-udjenza (l-ebda cross-site tracking)
2. Id-data ma tiġix maqsuma ma' partijiet terzi
3. Il-cookies ikunu first-party biss
4. Id-data tintuża biss biex tipproduċi statistika anonima
5. Il-cookies ikollhom tul ta' ħajja limitat (massimu ta' 13-il xahar)
6. L-utenti jiġu infurmati bl-użu tagħhom
7. L-utenti jistgħu joħorġu (opt out)

Taħt dawn il-kundizzjonijiet, is-CNIL iqis ċerti għodod (bħal Matomo konfigurat f'modalità li tirrispetta l-privatezza) bħala eliġibbli għall-eżenzjoni. Google Analytics ma jikkwalifikax, primarjament għax Google jipproċessa d-data fuq l-infrastruttura tiegħu stess u jista' jużaha għall-għanijiet tiegħu.

Il-Pożizzjoni tal-AP Olandiż (l-Olanda)

L-Autoriteit Persoonsgegevens Olandiż indika bl-istess mod li cookies tal-analytics b'impatt minimu fuq il-privatezza jistgħu jintużaw mingħajr kunsens, iżda stabbilixxa kundizzjonijiet komparabbli ma' dawk tas-CNIL.

Ġurisdizzjonijiet Oħra

Ħafna mill-DPAs Ewropej l-oħra ma adottawx eżenzjoni espliċita għall-analytics. L-ICO (ir-Renju Unit) iddikjara li l-cookies tal-analytics jeħtieġu kunsens. Id-DPAs Ġermaniżi ġeneralment jeħtieġu kunsens għall-cookies kollha mhux essenzjali. Il-pożizzjoni tal-AEPD Spanjol tallinja mar-rekwiżit tal-kunsens.

Rakkomandazzjoni Prattika

Sakemm ma toperax esklussivament fi Franza jew fl-Olanda u tista' tissodisfa l-kundizzjonijiet kollha tas-CNIL/AP, l-aktar approċċ sigur huwa li tqis il-cookies tal-analytics bħala li jeħtieġu kunsens. Jekk tiddependi fuq l-eżenzjoni tal-analytics, iddokumenta r-raġunament tiegħek, żgura li tissodisfa kull kundizzjoni, u immonitorja l-iżviluppi regolatorji — dan il-qasam għadu qed jevolvi.

Eżenzjonijiet mill-Kunsens skont l-Iskop tal-Cookie: Flowchart ta' Deċiżjoni

Għal kull cookie fuq il-websajt tiegħek, għaddi minn dawn il-mistoqsijiet:

1. Il-cookie huwa teknikament meħtieġ biex il-komunikazzjoni tiġi trażmessa? (eż., load balancing) Jekk iva: l-ebda kunsens meħtieġ. Jekk le: kompli.
2. L-utent talab b'mod espliċitu servizz li jeħtieġ dan il-cookie? (eż., login, żieda ta' oġġetti fil-basket) Jekk iva: kompli. Jekk le: kunsens meħtieġ.
3. Is-servizz mitlub jonqos milli jaħdem mingħajr dan il-cookie speċifiku? Jekk iva: l-ebda kunsens meħtieġ (strettament neċessarju). Jekk is-servizz jaħdem iżda jkun inqas konvenjenti: kunsens meħtieġ.
4. Il-cookie huwa first-party, limitat għal analytics aggregati, bid-data li ma tinqasamx ma' partijiet terzi, u tinsab f'ġurisdizzjoni b'eżenzjoni għall-analytics? Jekk iva għal kollox: potenzjalment eżenti, iżda ddokumenta r-raġunament tiegħek. Jekk le għal xi waħda: kunsens meħtieġ.
5. Fil-każijiet l-oħra kollha: kunsens meħtieġ.

Sitwazzjonijiet Speċjali

Ħitan tal-Cookies (Cookie Walls)

Ħajt tal-cookies jimblokka l-aċċess għal websajt sakemm l-utent jaċċetta l-cookies. Il-pożizzjoni tal-EDPB hija li l-ħitan tal-cookies ġeneralment jimpedixxu li l-kunsens jingħata "b'mod ħieles" u għalhekk mhumiex konformi. Madankollu, xi DPAs (notevolment l-AP Olandiż, wara sentenza tal-qorti) indikaw li l-ħitan tal-cookies jistgħu jkunu aċċettabbli jekk tiġi offruta alternattiva ġenwina u ekwivalenti — bħal verżjoni bi ħlas u mingħajr cookies tas-servizz. Dan għadu qasam kontestat.

Paywall vs. Cookie Wall

Xi pubblikaturi joffru mudell ta' "kunsens jew ħlas": aċċetta cookies tat-traċċar għal aċċess b'xejn, jew ħallas għal esperjenza mingħajr cookies. L-EDPB ħareġ opinjoni fl-2024 li tindirizza din il-prattika, u rrikonoxxa li tista' tkun permessa taħt ċerti kundizzjonijiet iżda esprima tħassib li l-alternattiva ta' "ħlas" trid tkun ġenwinament raġonevoli u mhux stabbilita bi prezz maħsub biex jġiegħel il-kunsens.

It-Tfal

Taħt l-Artikolu 8 tal-GDPR, il-kunsens għal servizzi tas-soċjetà tal-informazzjoni diretti lejn it-tfal jeħtieġ verifika u, għat-tfal taħt ċerta età (li tvarja minn 13 sa 16 skont l-istat membru), il-kunsens tal-ġenituri. Jekk il-websajt tiegħek timmira lejn it-tfal, ir-rekwiżiti tal-kunsens tal-cookies huma aktar stretti.

Kuntesti ta' Impjegati u B2B

Id-Direttiva ePrivacy tapplika għall-"abbonat jew utent" — mhux biss għall-konsumaturi. Jekk il-pjattaforma SaaS B2B tiegħek tuża cookies mhux essenzjali, il-kunsens xorta huwa meħtieġ mingħand l-utent individwali, anke f'kuntest kummerċjali.

X'Jiġri Mingħajr Kunsens Validu

Jekk tqiegħed cookies mhux essenzjali mingħajr kunsens validu:

• Id-data li tiġbor tista' tkun illegali taħt kemm id-Direttiva ePrivacy kif ukoll il-GDPR.
• Tiffaċċja multi potenzjali taħt il-GDPR sa EUR 20 miljun jew 4% tal-fatturat annwali globali, skont liema huwa l-ogħla (Artikolu 83(5)).
• Tista' tiġi ordnat li tħassar id-data miġbura illegalment.
• Id-data tal-analytics u tar-reklamar tiegħek tista' tiġi kompromessa — jekk il-bażi legali għall-ġbir mhijiex valida, id-data ma tistax tintuża legalment.
• Ir-riċevituri downstream ta' dik id-data (netwerks tar-reklamar, fornituri tal-analytics) jistgħu wkoll jiffaċċjaw responsabbiltà.

Dawn mhumiex riskji ipotetiċi. Is-CNIL immulta lil Google EUR 150 miljun u lil Facebook EUR 60 miljun speċifikament għal ksur tal-kunsens tal-cookies. Negozji iżgħar iffaċċjaw multi ta' għexieren ta' eluf ta' ewro għal fallimenti simili.

Passiro jidentifika kull cookie fuq il-websajt tiegħek u jimmarka dawk li jeħtieġu kunsens, sabiex tkun tista' tkun ċert li l-mekkaniżmu tal-kunsens tiegħek ikopri l-cookies it-tajbin — mhux aktar, mhux inqas.

Issa, ejja nqabblu ż-żewġ mudelli fundamentali tal-kunsens: opt-in kontra opt-out, u liema wieħed japplika fejn.