إدارة ملفات تعريف الارتباط: الموافقة والمتتبعات في التجارة الإلكترونية

تنظيم الكوكيز لا يقتصر على اللائحة العامة لحماية البيانات (RGPD). فهو يستند إلى نص قانوني مستقل — التوجيه المعروف باسم «الخصوصية والاتصالات الإلكترونية»، المنقول إلى القانون الفرنسي — والذي يفرض موافقة مسبقة على أي قراءة أو كتابة لمعلومة على جهاز المستخدم، بصرف النظر عن كون هذه المعلومة بيانات شخصية أم لا. وهذا الاستقلال هو ما يفسر أغلب الإنذارات الرسمية: فأداة التتبع غير الشخصية تظل خاضعة لشرط الموافقة.

ما يشمله النطاق، وما لا يشمله

النطاق أوسع مما توحي به كلمة «كوكي». فهو يشمل جميع وسائل التخزين أو الوصول إلى معلومات على جهاز المستخدم: كوكيز HTTP، التخزين المحلي، البكسلات غير المرئية، معرّفات الأجهزة، البصمة الرقمية للمتصفح.

هناك فئتان لا تخضعان لشرط الموافقة، ويُفسَّر الاستثناء بشأنهما تفسيرًا ضيقًا:

• أدوات التتبع الضرورية بشكل حصري لتقديم خدمة طلبها المستخدم صراحةً مثل سلة الشراء، ومعرّف الجلسة، وتذكّر اختيار اللغة، وموازنة الحِمل.
• أدوات التتبع التي غرضها الوحيد هو إتاحة أو تسهيل اتصال إلكتروني.

قياس عدد الزوار يقع في منطقة خاصة: إذ يمكن إعفاؤه من شرط الموافقة بشروط تراكمية صارمة — أن يقتصر الغرض على القياس فقط، وعدم التقاطع مع معالجات أخرى، وعدم النقل إلى أطراف ثالثة، ومدة احتفاظ محدودة. وأغلب حلول التحليل المنتشرة على نطاق واسع، التي تُقاطع البيانات بين المواقع أو تنقلها إلى ناشرها، لا تستوفي هذه الشروط.

قواعد جمع الموافقة

ثلاثة شروط تحكم شريط الموافقة، وكل منها كان محل عقوبات بالفعل.

يجب أن تكون الموافقة مسبقة. فلا يجوز إيداع أي أداة تتبع غير معفاة قبل تصرف المستخدم. وإيداعها عند تحميل الصفحة، قبل أي نقرة، يُعد مخالفة قائمة بذاتها — وهو المخالفة الأكثر شيوعًا.

يجب أن يكون الرفض بنفس سهولة القبول. فشريط يعرض زر «قبول الكل» بشكل بارز بينما يُحيل الرفض إلى مستوى ثانٍ من الإعدادات لا يستوفي هذا الشرط. فيجب أن يكون كلا الخيارين متاحين في نفس المستوى وبنفس عدد النقرات.

يجب أن تكون الموافقة حرة ومحددة ومستنيرة ولا لبس فيها. فلا يجوز أن تُستنتج من مجرد متابعة التصفح، أو التمرير في الصفحة، أو من خانة مُعلَّمة مسبقًا. ويجب جمعها وفق كل غرض على حدة، بحيث يمكن للمستخدم قبول قياس الزوار دون قبول الإعلانات الموجهة.

يُضاف إلى ذلك السحب, الذي يجب أن يكون بنفس سهولة الموافقة الأولية ومتاحًا في أي وقت، وهو ما يستلزم وجود نقطة وصول دائمة على الموقع.

المدد والاحتفاظ

غالبًا ما يُخلط بين مدتين مختلفتين.

مدة صلاحية أدوات التتبع محدودة في الممارسة العملية بثلاثة عشر شهرًا، دون تمديد تلقائي عند كل زيارة جديدة. أما المعلومات المجمَّعة عبر أدوات التتبع هذه فلا يُحتفظ بها إلا لفترة محدودة بعد ذلك.

مدة صلاحية الموافقة مختلفة: فاختيار المستخدم، سواء كان بالقبول أو بالرفض، يجب الاحتفاظ به لتجنّب سؤاله عند كل زيارة. والممارسة الموصى بها هي الاحتفاظ بهذا الاختيار لمدة ستة أشهر تقريبًا، على ألا يُعاد طرح سؤال الرفض بوتيرة أكثر من وتيرة إعادة طرح القبول.

وأخيرًا يجب أن يكون المسؤول قادرًا على إثبات جمع الموافقة بشكل صحيح. ويستلزم هذا الإثبات تسجيل، بالنسبة لكل مستخدم، إصدار الشريط المعروض، والأغراض المعروضة، والاختيار الذي عبّر عنه. فبدون هذا التسجيل، تظل عبارة «نحن نجمع الموافقة» غير قابلة للإثبات — وهي نفس منطق الإثبات الذي يحكم قبول الشروط والأحكام العامة.

المسؤوليات المشتركة

الموقع الذي يدمج أدوات تتبع تابعة لأطراف ثالثة — شبكة إعلانية، شبكة تواصل اجتماعي، أداة تحليل — لا يُعفى من مسؤوليته. فالناشر الذي يقرر تركيب أداة تتبع هو من يحدد غرضها ويتحمل مسؤوليتها، حتى لو كانت الأداة مملوكة لطرف ثالث.

نتيجتان عمليتان تترتبان على ذلك. أولًا، لا بد من جرد محدَّث لأدوات التتبع المودعة فعليًا، ويتم التحقق منه في ظروف واقعية وليس بالاعتماد على وثائق مقدمي الخدمة: فالوسوم التي تضيفها أدوات التسويق كثيرًا ما تفلت من الجرد المُعلَن عنه. وثانيًا، يجب تنظيم العلاقات مع الأطراف الثالثة تعاقديًا، مع تحديد من هو المسؤول عن المعالجة ومن هو مقدم الخدمة الفرعي.

العقوبات وعمليات التفتيش

مخالفة قواعد أدوات التتبع تخضع لنظام خاص بها: إذ يُعاقَب عليها استنادًا إلى النص الخاص، مما يتيح لسلطة الرقابة الوطنية التصرف مباشرة، دون المرور عبر آلية التعاون الأوروبي. وهذا ما يفسر سرعة القرارات الصادرة في هذا المجال وحجم المبالغ المفروضة فيها.

تركز عمليات التفتيش أساسًا على ثلاث نقاط يمكن ملاحظتها من الخارج بشكل موضوعي: إيداع أدوات التتبع قبل الموافقة، وعدم التماثل بين خياري القبول والرفض، واستمرار أدوات التتبع بعد الرفض. ويمكن التحقق من هذه النقاط الثلاث في دقائق معدودة باستخدام أدوات المطورين في المتصفح، مما يجعل التعرض للمخالفة دائمًا.

سيناريوهات الاستخدام

متجر إلكتروني يعرض إعلانات. يجب الفصل بين الأغراض — التشغيل، قياس الزوار، الإعلان — والسماح بموافقة مستقلة لكل منها. فأدوات تتبع سلة الشراء لا تخضع للموافقة، بينما تخضع لها دائمًا أدوات إعادة الاستهداف الإعلاني. وهذه نقطة أساسية ضمن الإطار القانوني لمتجر إلكتروني.

موقع تعريفي يستخدم قياس الزوار. يجب التحقق مما إذا كانت الإعدادات المعتمدة تستوفي شروط الإعفاء. إذا كان الأمر كذلك، فلا حاجة لأي شريط موافقة لهذا الغرض؛ وإن لم يكن كذلك، تصبح الموافقة مطلوبة كما هو الحال مع أي أداة تتبع أخرى.

إعادة تصميم الموقع. يجب إجراء جرد لأدوات التتبع على بيئة الاختبار قبل النشر، ثم إعادته بعد النشر الفعلي: فالأدوات التي تضيفها فرق التسويق بعد التسليم هي المصدر الأكثر شيوعًا للفروقات. وهذا الانضباط يتماشى مع المتطلبات الموصوفة بخصوص معايير الدفع الآمن.

الأسئلة الشائعة

هل تحتاج جميع الكوكيز إلى موافقة؟ لا. فالكوكيز الضرورية بشكل حصري لخدمة طلبها المستخدم صراحةً — سلة الشراء، الجلسة، تفضيل اللغة — معفاة من ذلك، وكذلك الكوكيز التي تُستخدم حصريًا لإتاحة اتصال. ويُفسَّر هذا الاستثناء تفسيرًا ضيقًا.

هل تُعتبر متابعة التصفح بمثابة موافقة؟ لا. يجب أن تكون الموافقة لا لبس فيها وناتجة عن فعل إيجابي. فلا التمرير في الصفحة، ولا متابعة التصفح، ولا الخانة المُعلَّمة مسبقًا تكفي لذلك.

هل يجب أن يكون الرفض بنفس سهولة القبول؟ نعم. يجب عرض الخيارين في نفس المستوى وبنفس القدر من الجهد. وإحالة الرفض إلى قائمة إعدادات فرعية تُعد مخالفة واضحة.

ما المدة التي يجب الاحتفاظ بها لاختيار المستخدم؟ يُحتفظ بالاختيار، سواء كان بالقبول أو الرفض، لتجنّب إعادة السؤال عند كل زيارة — نحو ستة أشهر عمليًا. وهذا يختلف عن مدة صلاحية أدوات التتبع، المحدودة بثلاثة عشر شهرًا.

هل يُعفى قياس الزوار من الموافقة؟ فقط بشروط تراكمية صارمة: أن يقتصر الغرض على القياس، وعدم وجود تقاطع، وعدم النقل إلى أطراف ثالثة، ومدة احتفاظ محدودة. ومعظم الحلول الشائعة لا تستوفي هذه الشروط في إعداداتها الافتراضية.

من المسؤول عن أدوات التتبع التابعة لأطراف ثالثة؟ ناشر الموقع، بمجرد أن يقرر تركيبها وتحديد غرضها. ولا تنتقل هذه المسؤولية إلى مقدم أداة التتبع.

خلاصة

ثلاث مخالفات تتركز فيها غالبية العقوبات، ويمكن ملاحظة الثلاث جميعًا من الخارج في دقائق معدودة: أدوات تتبع تُودَع قبل أي موافقة، ورفض أصعب في التعبير عنه من القبول، وأدوات تتبع تستمر رغم الرفض.

هناك آليتان تعالجان ذلك بشكل مستدام. أولًا، جرد لأدوات التتبع يُتحقق منه في ظروف واقعية وليس بالاعتماد على الوثائق، ويُعاد إجراؤه بعد كل عملية نشر. وثانيًا، تسجيل للموافقة يحفظ إصدار الشريط، والأغراض المعروضة، والاختيار الذي عبّر عنه المستخدم — فبدون ذلك، يظل الامتثال مجرد تصريح دون إمكانية إثباته، وهو ما يعادل عدم الامتثال عند حدوث تفتيش.