Slapukų kategorijos: kaip klasifikuoti slapukus sutikimui gauti

Sutikimas dėl slapukų nėra sprendimas „viskas arba nieko“. Privatumo reglamentai reikalauja, kad naudotojai galėtų priimti detalius sprendimus, kokio tipo slapukus jie priima. Kad tai būtų įmanoma, slapukai skirstomi į kategorijas — grupes pagal jų paskirtį, kurių kiekvienai taikomi savi sutikimo reikalavimai.

Teisingas kategorizavimas yra itin svarbus. Rinkodaros slapuko priskyrimas prie „griežtai būtinų“ nėra tik techninė klaida — tai atitikties pažeidimas, kurio reguliuotojai aktyviai ieško ir už kurį baudžia.

Kodėl kategorizavimas svarbus

GDPR reikalauja, kad sutikimas būtų „konkretus“ (4 straipsnio 11 dalis). 29 straipsnio darbo grupė (dabar EDPB) išaiškino, kad tai reiškia, jog sutikimas turi būti duodamas atskirai kiekvienam skirtingam tikslui. Visų slapukų sujungimas į vieną mygtuką „priimti viską“, nesuteikiant pasirinkimo pagal kategoriją, šio standarto neatitinka.

Praktiškai tai reiškia, kad jūsų sutikimo dėl slapukų mechanizmas turi pateikti slapukus sugrupuotus pagal paskirtį ir leisti naudotojams priimti arba atmesti kiekvieną kategoriją atskirai. Standartas, susiformavęs visoje pramonėje ir kurio tikisi reguliuotojai, naudoja keturias kategorijas.

Keturios standartinės slapukų kategorijos

1. Griežtai būtini slapukai

Šie slapukai yra esminiai pagrindiniam svetainės veikimui. Be jų negalima suteikti paslaugos, kurios naudotojas aiškiai paprašė.

Reikalingas sutikimas: Ne. Griežtai būtini slapukai yra atleisti nuo sutikimo reikalavimo pagal ePrivacy Direktyvos 5 straipsnio 3 dalį, kurioje nurodyta, kad sutikimas nereikalingas slapukams, kurie yra „griežtai būtini, kad informacinės visuomenės paslaugos, kurios abonentas ar naudotojas aiškiai paprašė, teikėjas galėtų suteikti tą paslaugą“.

Griežtai būtinų slapukų pavyzdžiai:

• Sesijos slapukai, palaikantys prisijungimo būseną
• Pirkinių krepšelio slapukai e. prekybos svetainėje
• CSRF (užklausų klastojimo tarp svetainių) apsaugos žetonai
• Apkrovos paskirstymo slapukai, paskirstantys srautą tarp serverių
• Sutikimo dėl slapukų nustatymų slapukai (slapukas, kuris įsimena jūsų sutikimo pasirinkimą)
• Saugumo slapukai, aptinkantys autentifikavimo piktnaudžiavimą

Kas NĖRA griežtai būtina:

• Analitikos slapukai — net ir pirmosios šalies. Srauto matavimas naudingas svetainės operatoriui, bet nėra būtinas norint suteikti naudotojo prašomą paslaugą.
• Socialinės žiniasklaidos įskiepiai — dalijimosi mygtukai ir įterpti srautai tarnauja svetainės savininko interesams, o ne funkcijai, kurios naudotojas aiškiai paprašė.
• Reklamos slapukai — pagal apibrėžimą jie tarnauja tikslui, viršijančiam paslaugą, kuria naudotojas naudojasi.
• A/B testavimo slapukai — jie tarnauja svetainės operatoriaus optimizavimo tikslams, o ne aiškiam naudotojo prašymui.

Pagrindinis kriterijus yra perspektyva: būtinas kam? Jei slapukas tarnauja svetainės operatoriaus interesams, o ne funkcijai, kurios naudotojas aiškiai paprašė, jis nėra griežtai būtinas — nesvarbu, kokia svarbi ta funkcija gali būti verslui.

2. Analitikos / statistikos slapukai

Šie slapukai renka informaciją apie tai, kaip lankytojai naudojasi svetaine: kurie puslapiai lankomi, kiek laiko naudotojai užsibūna, iš kur ateina ir kur pasitraukia. Duomenys paprastai agreguojami ir naudojami svetainei tobulinti.

Reikalingas sutikimas: Taip, daugumoje jurisdikcijų. Vis dėlto kai kurios duomenų apsaugos institucijos (ypač Prancūzijos CNIL ir Nyderlandų AP) nurodė, kad tam tikri pirmosios šalies analitikos įrankiai gali atitikti ribotos išimties sąlygas, jei įvykdomos konkrečios sąlygos (žr. mūsų skiltį apie tai, kada reikalingas sutikimas).

Dažni analitikos slapukai:

Atkreipkite dėmesį, kad Google Analytics slapukai yra trečiosios šalies pobūdžio, net jei jie gali atrodyti kaip pirmosios šalies slapukai — nes Google apdoroja duomenis savo serveriuose ir gali juos naudoti saviems tikslams. Šis skirtumas buvo reikšmingas keliose Europos vykdymo užtikrinimo bylose.

3. Rinkodaros / reklamos slapukai

Šie slapukai seka lankytojus įvairiose svetainėse, kad sudarytų jų naršymo elgsenos profilį. Šis profilis naudojamas tikslinei reklamai teikti, reklamos kampanijų efektyvumui matuoti ir apriboti, kiek kartų naudotojas mato konkrečią reklamą.

Reikalingas sutikimas: Visada. Reklamos slapukams nėra jokios išimties pagal jokį ePrivacy Direktyvos ar GDPR aiškinimą.

Dažni rinkodaros slapukai:

Rinkodaros slapukai beveik visada yra trečiosios šalies. Jie kelia didžiausią privatumo riziką ir yra griežčiausiai reguliuojama kategorija. Bet koks sutikimo mechanizmas, kuris palengvina rinkodaros slapukų priėmimą, palyginti su jų atmetimu, rizikuoja susilaukti reguliuotojų veiksmų.

4. Nustatymų / funkcionalumo slapukai

Šie slapukai įgalina patobulintą funkcionalumą ir personalizavimą, kuris viršija griežtai būtiną. Jie įsimena naudotojo pasirinkimus, tačiau nėra reikalingi pagrindinei paslaugai veikti.

Reikalingas sutikimas: Taip, nors rizikos lygis yra mažesnis nei analitikos ar rinkodaros slapukų. Kai kurie reguliuotojai nustatymų slapukus vertina atlaidžiau, tačiau teisinė pozicija yra tokia, kad sutikimas vis tiek reikalingas.

Pavyzdžiai:

• Kalbos nustatymas (kai svetainė veikia ir be jo, tiesiog pagal numatymą naudoja kitą kalbą)
• Regiono ar valiutos pasirinkimas
• Naudotojo vardo automatinis užpildymas prisijungimo formose
• Vaizdo grotuvo nustatymai (garsumas, kokybė)
• Pokalbių valdiklio būsena (atidarytas / uždarytas, pokalbių istorija)
• Šrifto dydžio ar prieinamumo nustatymai

Skirtumas tarp „griežtai būtinų“ ir „nustatymų“ gali būti subtilus. Kalbos slapukas vienakalbėje svetainėje neturi prasmės. Kalbos slapukas daugiakalbėje svetainėje, kuri be jo pagal numatymą naudoja veikiančią kalbą, yra nustatymas. Kalbos slapukas svetainėje, kuri visai negali veikti be jo — nes turinys neįkeliamas nepasirinkus kalbos — galėtų būti laikomas griežtai būtinu. Kontekstas turi reikšmės.

Kaip teisingai klasifikuoti savo slapukus

Kiekvienam savo svetainės slapukui taikykite šį procesą:

1. Identifikuokite slapuką. Koks jo pavadinimas, kas jį nustato (pirmoji ar trečioji šalis) ir kiek laiko jis galioja?
2. Nustatykite jo paskirtį. Kodėl šis slapukas egzistuoja? Kas nutinka, jei jį pašalinate?
3. Pritaikykite griežto būtinumo kriterijų. Ar šis slapukas yra esminis funkcijai, kurios naudotojas aiškiai paprašė? Jei naudotojas paprašė prisijungti, sesijos slapukas yra būtinas. Jei norite sekti jo elgesį, tai yra jūsų, o ne jo poreikis.
4. Priskirkite kategoriją. Jei slapukas nėra griežtai būtinas, klasifikuokite jį pagal pagrindinę paskirtį: analitika, rinkodara ar nustatymai.
5. Dokumentuokite savo argumentus. Kiekvienam slapukui užfiksuokite, kodėl jį klasifikavote būtent taip. Ši dokumentacija vertinga, jei reguliuotojas kada nors paklaustų.

Dažnos kategorizavimo klaidos

Remiantis reguliavimo vykdymo užtikrinimo veiksmais ir audito išvadomis, tai yra dažniausios klaidos:

• Google Analytics klasifikavimas kaip griežtai būtino. Tai pati dažniausia klaida. GA yra analitikos įrankis. Jis niekada nėra griežtai būtinas paslaugai naudotojui suteikti. Kelios DPA specialiai tai pabrėžė.
• Visų trečiosios šalies slapukų priskyrimas prie „funkcionalumo“. Įterpti YouTube vaizdo įrašai, socialinio dalijimosi mygtukai ir pokalbių valdikliai nėra griežtai būtini, o jų slapukai paprastai tarnauja analitikos ar rinkodaros tikslams, viršijantiems matomą funkcionalumą.
• Įskiepių ir integracijų nustatytų slapukų ignoravimas. WordPress svetainė su 20 įskiepių gali nustatyti dešimtis slapukų, apie kuriuos svetainės operatorius net nežino. Jūs vis tiek atsakingi už visus juos.
• Rinkodaros slapukų traktavimas kaip analitikos. Facebook Pixel ir Google Ads konversijų sekimas yra rinkodaros, o ne analitikos slapukai — jų pagrindinė paskirtis yra reklama, net jei duomenis naudojate analitiškai.
• A/B testavimo slapukų klaidingas priskyrimas. Įrankiai, tokie kaip Optimizely ir VWO, nustato slapukus naudotojams priskirti testų grupėms. Jie nėra griežtai būtini ir turėtų būti priskirti analitikai ar nustatymams.

Automatizuokite procesą

Rankiniai slapukų auditai reikalauja daug laiko ir yra linkę į klaidas. Svetainės nuolat keičiasi — naujas įskiepis, atnaujintas skriptas, rinkodaros komanda pridedanti sekimo pikselį — ir kiekvienas pokytis gali įvesti naujų slapukų, kuriuos reikia klasifikuoti.

Passiro automatiškai nuskaito ir klasifikuoja visus jūsų svetainės slapukus, aptinka naujus slapukus jiems atsiradus ir pažymi galimus klaidingus priskyrimus. Taip užtikrinama, kad jūsų sutikimo dėl slapukų mechanizmas visada atspindėtų faktinius jūsų svetainės naudojamus slapukus, o ne tik tuos, apie kuriuos žinojote paskutinį kartą tikrindami.

Dabar, kai suprantame kategorijas, pažvelkime, ką sutikimas dėl slapukų iš tikrųjų reiškia teisiškai — reikalavimai yra konkretesni, nei dauguma žmonių įsivaizduoja.