Управление на бисквитки: Съгласие и тракери в електронната търговия

Регулирането на бисквитките не се свежда само до ОРЗД. То се основава на отделен нормативен текст — така наречената директива за поверителността и електронните комуникации, транспонирана във френското право — който налага съгласие предварително за всяко четене или записване на информация върху крайното устройство на потребителя, независимо дали тази информация представлява лични данни или не. Именно тази самостоятелност обяснява по-голямата част от предупрежденията: тракер, който не съдържа лични данни, продължава да подлежи на изискването за съгласие.

Какво е обхванато и какво не

Обхватът е по-широк, отколкото думата „бисквитка“ подсказва. Засегнати са всички методи за съхранение или достъп до информация на крайното устройство: HTTP бисквитки, локално съхранение, невидими пиксели, идентификатори на устройства, дигитален отпечатък на браузъра.

Две категории са освободени от изискването за съгласие, като тълкуването им е стриктно:

• Тракери, строго необходими за предоставянето на изрично поискана от потребителя услуга: количка за пазаруване, идентификатор на сесия, запомняне на избран език, балансиране на натоварването.
• Тракери, чиято единствена цел е да позволят или улеснят електронна комуникация.

Измерването на аудиторията се намира в особена зона: то може да бъде освободено от съгласие при стриктно кумулативни условия — цел, ограничена единствено до измерването, липса на кръстосване с други обработки, липса на предаване на трети страни, ограничен срок на съхранение. Широко разпространено решение за анализ, което кръстосва данни между сайтове или ги предава на своя доставчик, не отговаря на тези условия.

Правилата за събиране на съгласие

Три изисквания структурират банера за съгласие, като всяко от тях е било повод за санкции.

Съгласието трябва да бъде предварително. Никой неосвободен тракер не може да бъде поставен преди действието на потребителя. Поставянето му при зареждане на страницата, преди какъвто и да е клик, представлява нарушение само по себе си — това е най-често констатираното нарушение.

Отказът трябва да бъде също толкова лесен, колкото и приемането. Банер, който предлага добре видим бутон „Приемам всички“ и препраща отказа към второ ниво на настройки, не отговаря на това изискване. Двете действия трябва да бъдат достъпни на едно и също ниво и с еднакъв брой кликвания.

Съгласието трябва да бъде свободно, конкретно, информирано и недвусмислено. То не може да произтича от продължаване на разглеждането на сайта, от прелистване на страницата, нито от предварително отметнато поле. То трябва да бъде събирано по цел, като потребителят трябва да може да приеме измерването на аудиторията, без да приема целевата реклама.

Към това се добавя оттеглянето на съгласието, което трябва да бъде също толкова лесно, колкото и първоначалното даване на съгласие, и достъпно по всяко време, което предполага постоянна точка за достъп на сайта.

Срокове и съхранение

Два отделни срока често се бъркат.

срокът на действие на тракерите на практика е ограничен до тринадесет месеца, без автоматично удължаване при всяко ново посещение. Информацията, събрана чрез тези тракери, се съхранява само за ограничен период след това.

срокът на валидност на съгласието е различен: изборът на потребителя, независимо дали е положителен или отрицателен, трябва да бъде запазен, за да не се иска повторно при всяко посещение. Препоръчителната практика е този избор да се съхранява около шест месеца, като отказът не трябва да бъде преразглеждан по-често от приемането.

Отговорното лице трябва накрая да бъде в състояние да докаже валидното събиране на съгласието. Това доказателство предполага водене на дневник за всеки потребител — версията на показания банер, представените цели и изразения избор. Без такова водене на дневник твърдението „ние събираме съгласие“ не може да бъде доказано — същата доказателствена логика, която важи и за приемането на общите условия.

Споделени отговорности

Сайт, който включва тракери на трети страни — рекламна мрежа, социална мрежа, инструмент за анализ — не е освободен от своята отговорност. Издателят, който решава да постави тракер, определя неговата цел и носи отговорност за него, дори когато тракерът принадлежи на трета страна.

Две практически последици. Наложителен е актуален инвентар на реално поставените тракери, който трябва да се проверява в реални условия, а не само въз основа на документацията на доставчиците: маркерите, добавени от маркетингови инструменти, често убягват от декларативния инвентар. А отношенията с трети страни трябва да бъдат уредени договорно, като се определи кой е администратор на данни и кой е обработващ данните.

Санкции и проверки

Нарушението на правилата относно тракерите се урежда от специфичен режим: то се санкционира на основание специалния текст, което позволява на националния надзорен орган да действа пряко, без да преминава през европейския механизъм за сътрудничество. Именно това обяснява бързината и размера на постановените решения по тези въпроси.

Проверките се съсредоточават приоритетно върху три обективно установими отвън точки: поставяне на тракери преди даване на съгласие, асиметрия между приемане и отказ, и продължаване на действието на тракерите след отказ. Тези три точки могат да бъдат проверени за няколко минути с инструментите за разработчици на браузъра, което прави изложеността постоянна.

Сценарии на употреба

Онлайн магазин с реклама. Разделете целите — функциониране, измерване на аудиторията, реклама — и позволете отделно съгласие за всяка от тях. Тракерите на количката за пазаруване не подлежат на съгласие, тези за ретаргетинг на реклама — винаги подлежат. Това е структуриращ елемент от правната рамка на онлайн магазин.

Витринен сайт с измерване на аудиторията. Проверете дали избраната конфигурация отговаря на условията за освобождаване. Ако да, за тази цел не е необходим банер; ако не, съгласието е необходимо, както за всеки друг тракер.

Преработка на сайт. Направете инвентар на тракерите в тестовата среда преди пускане в експлоатация, след което го повторете в реалната среда: инструментите, добавени от маркетинговите екипи след пускането, са най-честият източник на разлики. Тази дисциплина се препокрива с изискванията, описани за стандартите за сигурни плащания.

Често задавани въпроси

Всички бисквитки ли изискват съгласие? Не. Тези, които са строго необходими за изрично поискана услуга — количка за пазаруване, сесия, езикови предпочитания — са освободени от това изискване, както и тези, чиято единствена функция е да позволят комуникация. Освобождаването се тълкува стриктно.

Продължаването на разглеждането на сайта равносилно ли е на съгласие? Не. Съгласието трябва да бъде недвусмислено и да произтича от положително действие. Нито прелистването, нито продължаването на разглеждането, нито предварително отметнато поле са достатъчни.

Трябва ли отказът да бъде толкова лесен, колкото приемането? Да. Двата варианта трябва да бъдат представени на едно и също ниво, с еднакво усилие. Поставянето на отказа зад меню с настройки представлява явно нарушение.

Колко дълго трябва да се съхранява изборът на потребителя? Изборът, независимо дали е положителен или отрицателен, се съхранява, за да се избегне повторно питане при всяко посещение — на практика около шест месеца. Това е различно от срока на действие на тракерите, ограничен до тринадесет месеца.

Освободено ли е измерването на аудиторията? Само при стриктно кумулативни условия: цел, ограничена до измерването, липса на кръстосване, липса на предаване на трети страни, ограничено съхранение. Повечето масови решения не отговарят на тези условия при конфигурация по подразбиране.

Кой носи отговорност за тракерите на трети страни? Издателят на сайта, доколкото той решава за тяхното поставяне и цел. Отговорността не се прехвърля на доставчика на тракера.

Основни изводи

Три нарушения съсредоточават по-голямата част от санкциите, като и трите могат да бъдат установени отвън за няколко минути: тракери, поставени преди каквото и да е съгласие, отказ, който изисква повече усилие от приемането, и тракери, които продължават да действат въпреки отказа.

Две мерки предлагат трайно решение. Инвентар на тракерите, проверяван в реални условия, а не само по документация, и повтарян след всяко пускане в експлоатация. И воденe на дневник на съгласието, който записва версията на банера, представените цели и изразения избор — без него съответствието е само декларирано, но не и доказуемо, което при проверка се равнява на липса на съответствие.