Kategorije piškotkov: kako razvrstiti piškotke za soglasje

Soglasje za piškotke ni odločitev po načelu vse ali nič. Predpisi o zasebnosti zahtevajo, da lahko uporabniki natančno izberejo, katere vrste piškotkov sprejmejo. Da je to mogoče, so piškotki razvrščeni v kategorije — skupine, oblikovane glede na njihov namen, pri čemer ima vsaka svoje zahteve glede soglasja.

Pravilna razvrstitev je ključnega pomena. Napačno razvrščanje marketinškega piškotka med »nujno potrebne« ni le tehnična napaka — je kršitev skladnosti, ki jo regulatorji dejavno iščejo in sankcionirajo.

Zakaj je razvrstitev pomembna

GDPR zahteva, da je soglasje »specifično« (člen 4(11)). Delovna skupina iz člena 29 (danes EDPB) je pojasnila, da to pomeni, da mora biti soglasje dano ločeno za vsak posamezen namen. Združevanje vseh piškotkov v enotni »sprejmi vse« brez možnosti izbire po kategorijah ne izpolnjuje tega standarda.

V praksi to pomeni, da mora vaš mehanizem za soglasje za piškotke prikazati piškotke, razvrščene po namenu, in uporabnikom omogočiti, da vsako kategorijo sprejmejo ali zavrnejo neodvisno. Standard, ki se je uveljavil v panogi — in ki ga regulatorji pričakujejo — uporablja štiri kategorije.

Štiri standardne kategorije piškotkov

1. Nujno potrebni piškotki

Ti piškotki so bistveni za osnovno delovanje spletnega mesta. Brez njih storitve, ki jo je uporabnik izrecno zahteval, ni mogoče zagotoviti.

Zahtevano soglasje: Ne. Nujno potrebni piškotki so izvzeti iz zahteve po soglasju v skladu s členom 5(3) direktive ePrivacy, ki določa, da soglasje ni potrebno za piškotke, ki so »nujno potrebni, da ponudnik storitve informacijske družbe, ki jo je naročnik ali uporabnik izrecno zahteval, to storitev zagotovi«.

Primeri nujno potrebnih piškotkov:

• Sejni piškotki, ki ohranjajo stanje prijave
• Piškotki nakupovalne košarice na spletni trgovini
• Zaščitni žetoni CSRF (ponarejanje zahtev med spletnimi mesti)
• Piškotki za uravnoteženje obremenitve, ki porazdeljujejo promet med strežniki
• Piškotki za nastavitve soglasja za piškotke (piškotek, ki si zapomni vašo izbiro soglasja)
• Varnostni piškotki, ki zaznavajo zlorabe pri preverjanju pristnosti

Kaj NI nujno potrebno:

• Analitični piškotki — tudi lastni. Merjenje prometa je koristno za upravljavca spletnega mesta, vendar ni potrebno za zagotavljanje storitve, ki jo je uporabnik zahteval.
• Vtičniki družbenih medijev — gumbi za deljenje in vgrajeni viri služijo interesom lastnika spletnega mesta, ne funkciji, ki jo je uporabnik izrecno zahteval.
• Oglaševalski piškotki — po definiciji ti služijo namenu, ki presega storitev, do katere uporabnik dostopa.
• Piškotki za A/B-testiranje — ti služijo optimizacijskim ciljem upravljavca spletnega mesta, ne izrecni zahtevi uporabnika.

Ključni preizkus je vprašanje perspektive: potreben za koga? Če piškotek služi interesom upravljavca spletnega mesta in ne funkciji, ki jo je uporabnik izrecno zahteval, ni nujno potreben — ne glede na to, kako pomemben je morda za podjetje.

2. Analitični / statistični piškotki

Ti piškotki zbirajo informacije o tem, kako obiskovalci uporabljajo spletno mesto: katere strani obiskujejo, kako dolgo ostanejo, od kod prihajajo in kje zapustijo mesto. Podatki so običajno združeni in se uporabljajo za izboljšanje spletnega mesta.

Zahtevano soglasje: Da, v večini jurisdikcij. Vendar so nekateri organi za varstvo podatkov (zlasti francoski CNIL in nizozemski AP) nakazali, da bi lahko nekatera lastna analitična orodja izpolnjevala pogoje za omejeno izjemo, če so izpolnjeni določeni pogoji (glejte naš razdelek o tem, kdaj je soglasje potrebno).

Pogosti analitični piškotki:

Upoštevajte, da so piškotki Google Analytics po naravi piškotki tretjih oseb, čeprav se lahko pojavljajo kot lastni piškotki — ker Google obdeluje podatke na svojih strežnikih in jih lahko uporablja za lastne namene. To razlikovanje je bilo pomembno v več evropskih ukrepih izvrševanja.

3. Marketinški / oglaševalski piškotki

Ti piškotki sledijo obiskovalcem po različnih spletnih mestih, da izgradijo profil njihovega vedenja pri brskanju. Ta profil se uporablja za prikazovanje ciljanih oglasov, merjenje učinkovitosti oglaševalskih kampanj in omejevanje števila prikazov določenega oglasa uporabniku.

Zahtevano soglasje: Vedno. Za oglaševalske piškotke ni izjeme pri nobeni razlagi direktive ePrivacy ali GDPR.

Pogosti marketinški piškotki:

Marketinški piškotki so skoraj vedno piškotki tretjih oseb. Predstavljajo največje tveganje za zasebnost in so najstrožje regulirana kategorija. Vsak mehanizem za soglasje, ki olajša sprejem marketinških piškotkov v primerjavi z njihovo zavrnitvijo, tvega regulativne ukrepe.

4. Piškotki za nastavitve / funkcionalnost

Ti piškotki omogočajo napredno funkcionalnost in prilagajanje, ki presega nujno potrebno. Zapomnijo si izbire, ki jih je uporabnik naredil, vendar niso potrebni za delovanje osnovne storitve.

Zahtevano soglasje: Da, čeprav je raven tveganja nižja kot pri analitičnih ali marketinških piškotkih. Nekateri regulatorji piškotke za nastavitve obravnavajo bolj prizanesljivo, vendar je pravno stališče, da je soglasje še vedno potrebno.

Primeri:

• Izbira jezika (kadar mesto deluje tudi brez tega in privzeto uporabi drug jezik)
• Izbira regije ali valute
• Samodejno izpolnjevanje uporabniškega imena na prijavnih obrazcih
• Nastavitve predvajalnika videa (glasnost, kakovost)
• Stanje pripomočka za klepet (odprt/zaprt, zgodovina pogovorov)
• Nastavitve velikosti pisave ali dostopnosti

Razlika med »nujno potrebnimi« in »nastavitvami« je lahko subtilna. Piškotek za jezik na enojezičnem mestu nima smisla. Piškotek za jezik na večjezičnem mestu, ki brez njega privzeto uporabi delujoč jezik, je nastavitev. Piškotek za jezik na mestu, ki brez njega sploh ne more delovati — ker se vsebina brez izbire jezika ne naloži — bi lahko upravičeno štel za nujno potreben. Kontekst je pomemben.

Kako pravilno razvrstiti svoje piškotke

Za vsak piškotek na svojem spletnem mestu upoštevajte ta postopek:

1. Prepoznajte piškotek. Kako se imenuje, kdo ga nastavi (lastni ali tretjih oseb) in kako dolgo traja?
2. Določite njegov namen. Zakaj ta piškotek obstaja? Kaj se zgodi, če ga odstranite?
3. Uporabite preizkus nujne potrebnosti. Je ta piškotek bistven za funkcijo, ki jo je uporabnik izrecno zahteval? Če je uporabnik zahteval prijavo, je sejni piškotek nujen. Če želite slediti njegovemu vedenju, je to vaša potreba, ne njegova.
4. Dodelite kategorijo. Če ni nujno potreben, ga razvrstite glede na njegov primarni namen: analitika, trženje ali nastavitve.
5. Dokumentirajte svoje razmišljanje. Za vsak piškotek zabeležite, zakaj ste ga razvrstili tako, kot ste ga. Ta dokumentacija je dragocena, če regulator kdaj vpraša.

Pogoste napake pri razvrščanju

Na podlagi regulativnih ukrepov izvrševanja in ugotovitev revizij so to najpogostejše napake:

• Razvrščanje Google Analytics med nujno potrebne. To je najpogostejša napaka. GA je analitično orodje. Nikoli ni nujno potreben za zagotavljanje storitve uporabniku. Več organov za varstvo podatkov je na to izrecno opozorilo.
• Uvrščanje vseh piškotkov tretjih oseb pod »funkcionalnost«. Vgrajeni videoposnetki YouTube, gumbi za deljenje na družbenih omrežjih in pripomočki za klepet niso nujno potrebni, njihovi piškotki pa običajno služijo analitičnim ali marketinškim namenom, ki presegajo vidno funkcionalnost.
• Prezrtje piškotkov, ki jih nastavijo vtičniki in integracije. Spletno mesto WordPress z 20 vtičniki lahko nastavi na desetine piškotkov, za katere upravljavec spletnega mesta niti ne ve. Kljub temu ste odgovorni za vse.
• Obravnavanje marketinških piškotkov kot analitičnih. Facebook Pixel in sledenje konverzijam Google Ads sta marketinška piškotka, ne analitična — njun primarni namen je oglaševanje, tudi če podatke uporabljate analitično.
• Napačno razvrščanje piškotkov za A/B-testiranje. Orodja, kot sta Optimizely in VWO, nastavijo piškotke za razvrščanje uporabnikov v testne skupine. Ti niso nujno potrebni in jih je treba razvrstiti kot analitiko ali nastavitve.

Avtomatizirajte postopek

Ročne revizije piškotkov so zamudne in nagnjene k napakam. Spletna mesta se nenehno spreminjajo — nov vtičnik, posodobljena skripta, marketinška ekipa doda sledilni piksel — in vsaka sprememba lahko uvede nove piškotke, ki jih je treba razvrstiti.

Passiro samodejno pregleda in razvrsti vse piškotke na vašem spletnem mestu, zazna nove piškotke, ko se pojavijo, in opozori na morebitne napačne razvrstitve. S tem zagotovi, da vaš mehanizem za soglasje za piškotke vedno odraža dejanske piškotke, ki jih uporablja vaše mesto — ne le tistih, za katere ste vedeli ob zadnjem preverjanju.

Zdaj ko razumemo kategorije, poglejmo, kaj soglasje za piškotke pravzaprav pravno pomeni — zahteve so bolj specifične, kot si večina ljudi predstavlja.