Pregledovanje in revizija piškotkov: spoznajte, kaj nastavlja vaše spletno mesto

Predpisov o piškotkih ne morete upoštevati, če ne veste, katere piškotke nastavlja vaše spletno mesto. To se zdi očitno, a je vseeno najpogostejši vzrok za neskladnost pri piškotkih. Spletna mesta se nenehno spreminjajo — nameščajo se novi vtičniki, dodajajo tržne oznake, posodabljajo skripti tretjih oseb — in vsaka sprememba lahko uvede nove piškotke. Revizija piškotkov ni enkratno opravilo. Je stalen proces, ki mora slediti razvoju vašega spletnega mesta.

Zakaj je pregledovanje piškotkov pomembno

Vsaka obveznost glede skladnosti piškotkov temelji na natančnem in popolnem seznamu vaših piškotkov. Brez njega:

• Vaša pasica o piškotkih je nepopolna. Če vaša pasica našteva štiri kategorije piškotkov, vaše spletno mesto pa dejansko nastavlja piškotke v peti kategoriji, uporabniki ne morejo dati informirane privolitve. Njihova privolitev po GDPR ni veljavna.
• Vaš pravilnik o piškotkih je netočen. Nadzorni organi za varstvo podatkov pričakujejo, da vaš pravilnik o piškotkih navaja vsak piškotek po imenu, namenu, vrsti in trajanju. Nepopoln ali zastarel pravilnik je pomanjkljivost, ki jo organi za varstvo podatkov med revizijami dejavno iščejo.
• Vaš mehanizem privolitve morda ne blokira vseh piškotkov. Če na novo dodani skript nastavlja piškotke, ki niso vključeni v konfiguracijo upravljanja privolitev, se ti piškotki sprožijo brez privolitve — kar je neposredna kršitev člena 5(3) direktive ePrivacy.
• Ne morete se odzvati na zahteve uporabnikov. Po GDPR imajo uporabniki pravico vedeti, katere podatke o njih zbirate. Če ne veste, katere piškotke nastavlja vaše spletno mesto, ne morete zagotoviti natančnih odgovorov na zahteve posameznikov za dostop do podatkov.

Kaj razkrije pregled piškotkov

Temeljit pregled piškotkov ugotovi:

• Imena piškotkov: Točen identifikator vsakega piškotka (npr. _ga, _fbp, JSESSIONID).
• Izvor: Ali gre za piškotek prve strani (nastavi ga vaša domena) ali tretje strani (nastavi ga zunanja domena).
• Vrsta: Sejni piškotek (izbrisan ob zaprtju brskalnika) ali trajni piškotek (ostane določeno obdobje).
• Trajanje: Kako dolgo piškotek obstane, preden poteče (npr. 30 minut, 1 leto, 2 leti).
• Namen: Kaj piškotek počne — upravljanje seje, analitika, oglaševanje, personalizacija ali funkcionalni nameni.
• Kategorija: Kategorija skladnosti, ki ji piškotek pripada — nujno potreben, funkcionalen, analitičen/zmogljivostni ali tržni/oglaševalski.
• Ponudnik tretje strani: Če piškotek nastavlja tretja stran, kateri storitvi pripada (Google Analytics, Facebook, HubSpot, Hotjar itd.).
• Zbrani podatki: Katere informacije piškotek shranjuje ali omogoča njihovo zbiranje.

Ročno pregledovanje piškotkov z razvijalskimi orodji brskalnika

Najosnovnejša metoda pregledovanja piškotkov uporablja razvijalska orodja, vgrajena v vsak sodoben brskalnik. Čeprav ima ročno pregledovanje precejšnje omejitve, je uporabno za naključne preglede in razumevanje delovanja piškotkov na vašem spletnem mestu.

Korak za korakom: ročna revizija piškotkov v Chromu

1. Odprite okno brez beleženja zgodovine (incognito/zasebno). S tem začnete s čisto ploščo — brez obstoječih piškotkov iz prejšnjih obiskov.
2. Odprite razvijalska orodja (DevTools) (pritisnite F12 ali z desnim klikom izberite »Preglej«).
3. Pojdite na zavihek Application (v Chromu) ali zavihek Storage (v Firefoxu).
4. Razširite razdelek »Cookies« v levi stranski vrstici. Videli boste seznam domen.
5. Obiščite svoje spletno mesto brez interakcije s pasico o piškotkih. Opazite, kateri piškotki se nastavijo takoj — to so piškotki, nastavljeni pred privolitvijo, ki bi morali biti le nujno potrebni piškotki.
6. Sprejmite vse piškotke na svoji pasici. Osvežite zavihek Application/Storage in opazite nove piškotke, ki se pojavijo.
7. Preglejte ključne strani svojega spletnega mesta (domača stran, strani izdelkov, blagajna, kontaktni obrazec, blog). Nekateri piškotki se nastavijo le na določenih straneh ali po določenih interakcijah.
8. Dokumentirajte vsak piškotek: Za vsak najden piškotek zabeležite njegovo ime, domeno, pot, datum poteka, velikost in ali je HTTP-only ali secure.
9. Preverite zavihek Network za dodatno sledenje. Nekatere tehnologije sledenja uporabljajo slikovne pike, sledilnike ali klice API namesto klasičnih piškotkov. Zavihek Network razkrije vse odhodne zahteve na domene tretjih oseb.

Omejitve ročnega pregledovanja

Ročno pregledovanje je dragoceno za učenje in naključne preglede, vendar ima resne omejitve za namene skladnosti:

• Nepopolna pokritost. Preverite lahko le strani, ki jih obiščete ročno. Veliko spletno mesto s stotinami strani lahko nastavlja različne piškotke na različnih straneh. Ročno pregledovanje jih praktično ne more zajeti vseh.
• Brez kategorizacije. Razvijalska orodja vam pokažejo neobdelane podatke o piškotkih, vendar jih ne razvrstijo po namenu ali kategoriji skladnosti. Vsak piškotek morate raziskati posamično.
• Le trenutni posnetek. Ročno pregledovanje vam da posnetek stanja. Ne zazna novih piškotkov, dodanih po vaši reviziji.
• Brez preverjanja blokiranja skriptov. Z ročnim pregledovanjem je težko preveriti, ali vaša platforma za upravljanje privolitev pravilno blokira skripte pred privolitvijo.
• Zamudno. Za spletno mesto z že samo 20 stranmi ročno preverjanje vsake strani in dokumentiranje vsakega piškotka traja več ur.

Samodejno pregledovanje piškotkov

Orodja za samodejno pregledovanje piškotkov odpravljajo omejitve ročnega pregledovanja z indeksiranjem celotnega spletnega mesta, prepoznavanjem vseh piškotkov in njihovo sistematično kategorizacijo. Dobro orodje za samodejno pregledovanje zagotavlja:

• Celovito indeksiranje: Pregledovalnik obišče vsako stran vašega spletnega mesta (ali določeno podmnožico), vključno s stranmi, ki so dostopne le prek navigacije ali iskanja.
• Pred privolitvijo in po njej: Pregledovalnik preveri, kateri piškotki se nastavijo pred podano privolitvijo, kateri se pojavijo po njej in ali so zavrnjene kategorije ustrezno blokirane.
• Samodejna kategorizacija: Znani piškotki (kot sta _ga družbe Google Analytics ali _fbp družbe Facebook) so samodejno kategorizirani na podlagi vzdrževanih zbirk podatkov o namenih piškotkov.
• Prepoznavanje tretjih oseb: Vse domene tretjih oseb, ki nastavljajo piškotke, so prepoznane in dokumentirane.
• Načrtovano pregledovanje: Pregledi se izvajajo samodejno po urniku (tedensko, po namestitvah), da zajamejo nove piškotke, ko se pojavijo.
• Zaznavanje sprememb: Pregledovalnik vas opozori, ko se pojavijo novi piškotki ali se obstoječi spremenijo, tako da lahko posodobite svoj mehanizem privolitve in pravilnik o piškotkih.
• Poročila o skladnosti: Rezultati so oblikovani na način, ki podpira vašo dokumentacijo o skladnosti.

Na kaj biti pozoren pri orodju za pregledovanje piškotkov

Pri ocenjevanju rešitev za samodejno pregledovanje piškotkov upoštevajte:

1. Izvajanje JavaScripta: Mnoge piškotke nastavlja JavaScript, ki se izvede po nalaganju strani. Pregledovalnik mora izvajati JavaScript (z uporabo pravega brskalniškega pogona), da zazna te piškotke. Preprosti pregledovalniki HTTP, ki ne izvajajo JavaScripta, bodo spregledali večino piškotkov tretjih oseb.
2. Globina indeksiranja: Pregledovalnik mora slediti notranjim povezavam in indeksirati celotno spletno mesto, ne le domače strani. Piškotki, ki jih nastavijo vgrajeni videoposnetki, obrazci, gradniki za klepet ali obdelovalci plačil na določenih straneh, bodo spregledani, če se pregleda le domača stran.
3. Simulacija prvega obiska: Pregledovalnik naj simulira obiskovalca, ki prvič obišče spletno mesto (brez obstoječih piškotkov, brez podane privolitve), da preveri, da pred privolitvijo niso nastavljeni nobeni nenujni piškotki.
4. Zbirka podatkov o piškotkih: Vzdrževana zbirka podatkov o znanih piškotkih z njihovimi nameni in kategorijami občutno zmanjša ročni napor pri razvrščanju.
5. Poročanje: Jasna, izvozljiva poročila, ki jih je mogoče deliti s pravnimi, tržnimi in razvojnimi ekipami.
6. Načrtovanje in opozorila: Samodejno pregledovanje po nastavljivem urniku z obvestili ob zaznavi novih piškotkov.

Postopek pregledovanja piškotkov

Temeljit pregled piškotkov obsega pet korakov, ne glede na to, ali se izvaja ročno ali s samodejnimi orodji:

1. korak: indeksirajte vse strani

Začnite z izdelavo popolnega zemljevida svojega spletnega mesta. To vključuje vse javne strani, strani s prijavo (če je ustrezno), pristajalne strani, strani z zahvalo, strani z napakami in katero koli stran, do katere lahko obiskovalec dostopa. Pregleda ne omejujte le na domačo stran — piškotke pogosto nastavljajo skripti tretjih oseb, ki se naložijo le na določenih straneh (npr. vgrajen YouTube v objavi na blogu, obdelovalec plačil na strani z blagajno ali gradnik za klepet, ki se pojavi le na straneh za podporo).

2. korak: prepoznajte vse piškotke

Za vsako stran zabeležite vsak piškotek, ki se nastavi. To vključuje tako piškotke HTTP (vidne v glavi Set-Cookie in v shrambi piškotkov brskalnika) kot mehanizme shrambe na strani odjemalca (localStorage, sessionStorage, IndexedDB), ki lahko delujejo kot tehnologije sledenja, čeprav tehnično niso piškotki.

3. korak: določite izvor piškotka

Za vsak piškotek ugotovite, ali gre za piškotek prve strani (nastavi ga vaša lastna domena) ali tretje strani (nastavi ga zunanja domena). Piškotki tretjih oseb so za skladnost še posebej pomembni, saj običajno vključujejo deljenje podatkov z zunanjimi organizacijami, kar zahteva razkritje v vašem pravilniku o piškotkih in v številnih primerih pogodbo o obdelavi podatkov.

4. korak: razvrstite piškotke po kategorijah

Vsak piškotek dodelite kategoriji skladnosti:

• Nujno potrebni: Potrebni za delovanje spletnega mesta. Uporabnik jih ne more onemogočiti. Primeri: sejni piškotki, žetoni CSRF, piškotki za porazdelitev obremenitve, piškotki za nastavitve privolitve o piškotkih.
• Funkcionalni: Omogočajo izboljšano funkcionalnost in personalizacijo. Primeri: nastavitve jezika, izbira regije, nedavno ogledani izdelki (kadar se ne uporabljajo za oglaševanje).
• Analitični/zmogljivostni: Zbirajo informacije o tem, kako obiskovalci uporabljajo spletno mesto. Primeri: piškotki Google Analytics, Hotjar, Matomo.
• Tržni/oglaševalski: Sledijo obiskovalcem med spletnimi mesti za oglaševalske namene. Primeri: Facebook Pixel, piškotki Google Ads, piškotki za ponovno ciljanje, piškotki za sledenje partnerjem.

5. korak: dokumentirajte namen, trajanje in vrsto

Za vsak piškotek dokumentirajte njegov namen v preprostem jeziku, ki ga razume tudi netehnična oseba, njegovo trajanje (sejno ali trajno, in če je trajno, kako dolgo) ter njegovo vrsto (piškotek HTTP, localStorage itd.). Ta dokumentacija tvori osnovo vašega pravilnika o piškotkih in informacij, navedenih v vaši pasici o piškotkih.

Stalno spremljanje

Pregled piškotkov je veljaven le v trenutku, ko se izvede. Vaše spletno mesto ni statično — razvija se z vsako namestitvijo, posodobitvijo vtičnika in tržno kampanjo. Stalno spremljanje je nujno, ker:

• Novi skripti uvedejo nove piškotke. Ko razvijalec doda novo analitično orodje, tržna ekipa namesti novo sledilno slikovno piko ali se posodobi vtičnik, se lahko na vašem spletnem mestu pojavijo novi piškotki, ne da bi se kdorkoli izrecno odločil za njihovo dodajanje.
• Skripti tretjih oseb se spreminjajo. Tudi če ne spremenite svojega spletnega mesta, lahko storitve tretjih oseb, ki jih uporabljate, posodobijo svoje skripte in uvedejo nove piškotke. Posodobitev Google Analytics, sprememba gradnika družbenega omrežja ali posodobitev konfiguracije CDN lahko vse vplivajo na piškotke na vašem spletnem mestu.
• Skladnost je stalna. Organi za varstvo podatkov pričakujejo, da vaš pravilnik o piškotkih in mehanizem privolitve odražata trenutno stanje vašega spletnega mesta. Pravilnik, ki je bil točen pred šestimi meseci, a ne vključuje piškotkov, dodanih od takrat, danes ni skladen.

Najboljša praksa je izvajanje samodejnih pregledov po vsaki namestitvi in vsaj mesečno. Nastavite opozorila za nove piškotke, da jih lahko vaša ekipa oceni, kategorizira in doda v vaš mehanizem privolitve, preden postanejo težava glede skladnosti.

Pregledovanje piškotkov in vaš pravilnik o piškotkih

Vaš pravilnik o piškotkih in rezultati vašega pregleda piškotkov morajo ostati usklajeni. Vsak piškotek, prepoznan pri pregledu, mora biti dokumentiran v vašem pravilniku, in vsak piškotek, naveden v vašem pravilniku, mora biti dejansko prisoten na vašem spletnem mestu. Neujemanje v katero koli smer je težava:

• Piškotki na spletnem mestu, a ne v pravilniku: To pomeni, da uporabniki niso obveščeni o vsem sledenju na vašem spletnem mestu. Njihova privolitev, tudi če je podana, morda ne zajema nerazkritih piškotkov.
• Piškotki v pravilniku, a ne na spletnem mestu: Čeprav je to manj resno, navajanje piškotkov, ki ne obstajajo, ustvarja zmedo in spodkopava zaupanje v natančnost vaše dokumentacije.

Najučinkovitejši pristop je povezati orodje za pregledovanje z vašim pravilnikom o piškotkih, tako da se pravilnik samodejno posodobi, ko so zaznani novi piškotki. To odpravi ročni korak posodabljanja pravilnika po vsakem pregledu in zmanjša tveganje, da bi se dokumenta razšla.

Kako Passiro obravnava pregledovanje piškotkov

Pregledovalnik Passiro uporablja brskalniški pogon brez grafičnega vmesnika (headless), da obišče vsako stran vašega spletnega mesta in izvaja JavaScript natanko tako, kot bi ga brskalnik pravega obiskovalca. To zagotavlja, da so zaznani vsi piškotki, ki jih nastavijo dinamično naloženi skripti, vgrajena vsebina in ogrodja za enostranske aplikacije. Pregledovalnik se izvede pred simulirano privolitvijo in po njej, da preveri, ali vaše upravljanje privolitev deluje pravilno — torej ali so nenujni piškotki resnično blokirani, dokler ni podana privolitev.

Rezultati pregleda se samodejno kategorizirajo z uporabo nenehno posodabljane zbirke podatkov o znanih piškotkih, z možnostjo ročnega razvrščanja ali ponovnega razvrščanja katerega koli piškotka. Načrtovani pregledi se izvajajo po nastavljivi osnovi, ob pojavu novih piškotkov na vašem spletnem mestu pa prejmete opozorila, da lahko ukrepate, preden ti postanejo tveganje za skladnost.

Kako pogosto naj pregledujete?

Pravilna pogostost pregledovanja je odvisna od tega, kako pogosto se vaše spletno mesto spreminja:

• Po vsaki namestitvi: Vsaka sprememba kode lahko uvede nove piškotke. Vključite pregledovanje piškotkov v svoj proces CI/CD ali izvedite pregled po vsaki izdaji.
• Po dodajanju storitev tretjih oseb: Kadar koli dodate novo analitično orodje, tržno platformo, gradnik za klepet, obdelovalec plačil ali kateri koli skript tretje osebe, izvedite pregled takoj.
• Vsaj mesečno: Tudi če ne opravite nobenih sprememb, se lahko skripti tretjih oseb na vašem spletnem mestu posodobijo in uvedejo nove piškotke. Mesečni pregled zajame te spremembe.
• Po posodobitvah CMP: Če posodobite svojo platformo za upravljanje privolitev ali spremenite kategorije piškotkov, izvedite pregled, da preverite, ali spremembe delujejo, kot je pričakovano.
• Četrtletni pregled: Poleg samodejnega pregledovanja izvedite četrtletni ročni pregled svojega seznama piškotkov, da preverite, ali so kategorizacije še vedno točne, ali so ponudniki tretjih oseb še vedno potrebni in ali vaš pravilnik o piškotkih odraža resnično stanje.

Organizacije, ki pregledovanje piškotkov obravnavajo kot rutinsko vzdrževanje in ne kot občasno revizijo, so tiste, ki ohranjajo stalno skladnost — in se izognejo neprijetnemu presenečenju, ko med preiskavo organa za varstvo podatkov odkrijejo nedokumentirane sledilne piškotke.