Διαχείριση Cookies: Συναίνεση και Trackers στο ηλεκτρονικό εμπόριο

Η ρύθμιση των cookies δεν περιορίζεται στον GDPR. Στηρίζεται σε ένα ξεχωριστό κείμενο — την οδηγία για την ιδιωτική ζωή και τις ηλεκτρονικές επικοινωνίες, ενσωματωμένη στο γαλλικό δίκαιο — που επιβάλλει προηγούμενη συγκατάθεση για κάθε ανάγνωση ή εγγραφή πληροφορίας στον τερματικό εξοπλισμό του χρήστη, ανεξάρτητα από το αν η πληροφορία αυτή αποτελεί ή όχι δεδομένο προσωπικού χαρακτήρα. Αυτή ακριβώς η αυτοτέλεια εξηγεί τις περισσότερες οχλήσεις: ένας μη προσωπικός ιχνηλάτης εξακολουθεί να υπόκειται σε συγκατάθεση.

Τι καλύπτεται και τι όχι

Το πεδίο εφαρμογής είναι ευρύτερο από ό,τι υποδηλώνει η λέξη «cookie». Αφορά όλες τις μεθόδους αποθήκευσης ή πρόσβασης σε πληροφορίες στον τερματικό εξοπλισμό: cookies HTTP, τοπική αποθήκευση, αόρατα pixel, αναγνωριστικά συσκευής, ψηφιακό αποτύπωμα του προγράμματος περιήγησης.

Δύο κατηγορίες εξαιρούνται από την υποχρέωση συγκατάθεσης, και η ερμηνεία τους είναι αυστηρή:

• Οι ιχνηλάτες που είναι απολύτως αναγκαίοι για την παροχή μιας υπηρεσίας που έχει ρητά ζητηθεί από τον χρήστη: καλάθι αγορών, αναγνωριστικό συνεδρίας, απομνημόνευση επιλογής γλώσσας, εξισορρόπηση φόρτου.
• Οι ιχνηλάτες με αποκλειστικό σκοπό την επιτρέψη ή διευκόλυνση μιας επικοινωνίας ηλεκτρονικά.

Η μέτρηση επισκεψιμότητας βρίσκεται σε ιδιαίτερη ζώνη: μπορεί να εξαιρεθεί από τη συγκατάθεση υπό αυστηρές σωρευτικές προϋποθέσεις — σκοπός περιοριζόμενος αποκλειστικά στη μέτρηση, καμία διασταύρωση με άλλες επεξεργασίες, καμία διαβίβαση σε τρίτους, περιορισμένη διάρκεια διατήρησης. Μια ευρέως διαδεδομένη λύση ανάλυσης, η οποία διασταυρώνει δεδομένα μεταξύ ιστότοπων ή τα διαβιβάζει στον εκδότη της, δεν πληροί αυτές τις προϋποθέσεις.

Οι κανόνες συλλογής

Τρεις απαιτήσεις διαμορφώνουν το banner συγκατάθεσης, και καθεμία έχει αποτελέσει αντικείμενο κυρώσεων.

Η συγκατάθεση πρέπει να είναι προηγούμενη. Κανένας μη εξαιρούμενος ιχνηλάτης δεν μπορεί να τοποθετηθεί πριν από την ενέργεια του χρήστη. Η τοποθέτηση κατά τη φόρτωση της σελίδας, πριν από οποιοδήποτε κλικ, συνιστά παράβαση αυτή καθαυτή — είναι η πιο συχνά διαπιστωμένη παράβαση.

Η άρνηση πρέπει να είναι εξίσου απλή με την αποδοχή. Ένα banner που προτείνει ένα εμφανές κουμπί «Αποδοχή όλων» και παραπέμπει την άρνηση σε δεύτερο επίπεδο ρυθμίσεων δεν πληροί αυτή την απαίτηση. Και οι δύο ενέργειες πρέπει να είναι προσβάσιμες στο ίδιο επίπεδο και με τον ίδιο αριθμό κλικ.

Η συγκατάθεση πρέπει να είναι ελεύθερη, συγκεκριμένη, εν επιγνώσει και ρητή. Δεν μπορεί να προκύπτει από τη συνέχιση της περιήγησης, από την κύλιση της σελίδας, ούτε από προεπιλεγμένο πλαίσιο. Πρέπει να συλλέγεται ανά σκοπό, ώστε ο χρήστης να μπορεί να αποδεχθεί τη μέτρηση επισκεψιμότητας χωρίς να αποδεχθεί τη στοχευμένη διαφήμιση.

Προστίθεται και η ανάκληση, η οποία πρέπει να είναι εξίσου εύκολη με την αρχική συγκατάθεση και προσβάσιμη ανά πάσα στιγμή, γεγονός που προϋποθέτει ένα μόνιμο σημείο πρόσβασης στον ιστότοπο.

Διάρκειες και διατήρηση

Δύο διαφορετικές διάρκειες συχνά συγχέονται.

Η διάρκεια ζωής των ιχνηλατών περιορίζεται στην πράξη σε δεκατρείς μήνες, χωρίς αυτόματη παράταση σε κάθε νέα επίσκεψη. Οι πληροφορίες που συλλέγονται μέσω αυτών των ιχνηλατών διατηρούνται μόνο για περιορισμένο χρονικό διάστημα πέραν αυτού.

Η διάρκεια ισχύος της συγκατάθεσης είναι διαφορετική: η επιλογή του χρήστη, θετική ή αρνητική, πρέπει να διατηρείται ώστε να μην του ζητείται εκ νέου σε κάθε επίσκεψη. Η συνιστώμενη πρακτική είναι η διατήρηση αυτής της επιλογής για περίπου έξι μήνες, χωρίς η άρνηση να επανεξετάζεται συχνότερα από μια αποδοχή.

Ο υπεύθυνος πρέπει τέλος να είναι σε θέση να αποδείξει την έγκυρη συλλογή της συγκατάθεσης. Αυτή η απόδειξη προϋποθέτει την καταγραφή, για κάθε χρήστη, της εκδοχής του banner που εμφανίστηκε, των σκοπών που παρουσιάστηκαν και της επιλογής που εκφράστηκε. Χωρίς αυτή την καταγραφή, ο ισχυρισμός «συλλέγουμε τη συγκατάθεση» δεν είναι αποδείξιμος — ίδια αποδεικτική λογική με αυτή που διέπει την αποδοχή των γενικών όρων.

Οι κοινές ευθύνες

Ένας ιστότοπος που ενσωματώνει ιχνηλάτες τρίτων — διαφημιστικό δίκτυο, κοινωνικό δίκτυο, εργαλείο ανάλυσης — δεν απαλλάσσεται από την ευθύνη του. Ο εκδότης που αποφασίζει για την τοποθέτηση ενός ιχνηλάτη καθορίζει τον σκοπό του και αναλαμβάνει την ευθύνη, ακόμη και όταν ο ιχνηλάτης ανήκει σε τρίτο.

Δύο πρακτικές συνέπειες. Μια επικαιροποιημένη απογραφή των ιχνηλατών που πράγματι τοποθετούνται είναι απαραίτητη, και ελέγχεται σε πραγματικές συνθήκες παρά στη βάση της τεκμηρίωσης των παρόχων: οι ετικέτες που προστίθενται από εργαλεία μάρκετινγκ συχνά διαφεύγουν από τη δηλωμένη απογραφή. Και οι σχέσεις με τρίτους πρέπει να συμβασιοποιούνται, προσδιορίζοντας ποιος είναι υπεύθυνος επεξεργασίας και ποιος εκτελών την επεξεργασία.

Κυρώσεις και έλεγχοι

Η παράβαση των κανόνων για τους ιχνηλάτες υπάγεται σε ξεχωριστό καθεστώς: τιμωρείται βάσει του ειδικού κειμένου, γεγονός που επιτρέπει στην εθνική εποπτική αρχή να ενεργεί απευθείας, χωρίς να περνά από τον ευρωπαϊκό μηχανισμό συνεργασίας. Αυτό εξηγεί την ταχύτητα και το ύψος των αποφάσεων που εκδίδονται στον τομέα αυτό.

Οι έλεγχοι εστιάζουν κατά προτεραιότητα σε τρία σημεία που μπορούν να διαπιστωθούν από εξωτερικό παρατηρητή: την τοποθέτηση ιχνηλατών πριν από τη συγκατάθεση, την ασυμμετρία μεταξύ αποδοχής και άρνησης, και την επιμονή ιχνηλατών μετά από άρνηση. Αυτά τα τρία σημεία επαληθεύονται σε λίγα λεπτά με τα εργαλεία ανάπτυξης ενός προγράμματος περιήγησης, γεγονός που καθιστά την έκθεση μόνιμη.

Σενάρια χρήσης

Ηλεκτρονικό κατάστημα με διαφήμιση. Διαχωρίστε τους σκοπούς — λειτουργία, μέτρηση επισκεψιμότητας, διαφήμιση — και επιτρέψτε ξεχωριστή συγκατάθεση για καθέναν. Οι ιχνηλάτες του καλαθιού δεν εμπίπτουν στη συγκατάθεση, ενώ αυτοί της διαφημιστικής επαναστόχευσης πάντα. Πρόκειται για δομικό σημείο του νομικού πλαισίου ενός καταστήματος.

Ιστότοπος παρουσίασης με μέτρηση επισκεψιμότητας. Ελέγξτε αν η επιλεγμένη διαμόρφωση πληροί τις προϋποθέσεις εξαίρεσης. Εάν ναι, δεν απαιτείται banner για αυτόν τον σκοπό· εάν όχι, η συγκατάθεση απαιτείται όπως και για κάθε άλλο ιχνηλάτη.

Ανασχεδιασμός ιστότοπου. Πραγματοποιήστε την απογραφή των ιχνηλατών στο περιβάλλον δοκιμών πριν από τη θέση σε παραγωγή, και επαναλάβετέ την στη συνέχεια στο περιβάλλον παραγωγής: τα εργαλεία που προστίθενται από τις ομάδες μάρκετινγκ μετά την παράδοση αποτελούν τη συχνότερη πηγή απόκλισης. Αυτή η πειθαρχία συνδέεται με τις απαιτήσεις που περιγράφονται για τα πρότυπα ασφαλών πληρωμών.

Συχνές ερωτήσεις

Χρειάζονται όλα τα cookies συγκατάθεση; Όχι. Όσα είναι απολύτως αναγκαία για μια υπηρεσία που έχει ρητά ζητηθεί — καλάθι, συνεδρία, προτίμηση γλώσσας — εξαιρούνται, όπως και όσα χρησιμεύουν αποκλειστικά για να επιτρέψουν μια επικοινωνία. Η εξαίρεση ερμηνεύεται αυστηρά.

Η συνέχιση της περιήγησης ισοδυναμεί με συγκατάθεση; Όχι. Η συγκατάθεση πρέπει να είναι ρητή και να προκύπτει από θετική ενέργεια. Ούτε η κύλιση, ούτε η συνέχιση της περιήγησης, ούτε ένα προεπιλεγμένο πλαίσιο αρκούν.

Η άρνηση πρέπει να είναι εξίσου απλή με την αποδοχή; Ναι. Οι δύο επιλογές πρέπει να παρουσιάζονται στο ίδιο επίπεδο, με ισοδύναμη προσπάθεια. Η υποβάθμιση της άρνησης πίσω από ένα μενού ρυθμίσεων συνιστά σαφή παράβαση.

Πόσο καιρό πρέπει να διατηρείται η επιλογή του χρήστη; Η επιλογή, θετική ή αρνητική, διατηρείται ώστε να αποφεύγεται η επανερώτηση σε κάθε επίσκεψη — περίπου έξι μήνες στην πράξη. Αυτό διαφέρει από τη διάρκεια ζωής των ιχνηλατών, που περιορίζεται σε δεκατρείς μήνες.

Εξαιρείται η μέτρηση επισκεψιμότητας; Μόνο υπό αυστηρές σωρευτικές προϋποθέσεις: σκοπός περιοριζόμενος στη μέτρηση, απουσία διασταύρωσης, απουσία διαβίβασης σε τρίτους, περιορισμένη διατήρηση. Οι περισσότερες δημοφιλείς λύσεις δεν τις πληρούν στην προεπιλεγμένη διαμόρφωσή τους.

Ποιος είναι υπεύθυνος για τους ιχνηλάτες τρίτων; Ο εκδότης του ιστότοπου, εφόσον αποφασίζει για την τοποθέτησή τους και τον σκοπό τους. Η ευθύνη δεν μεταβιβάζεται στον πάροχο του ιχνηλάτη.

Τι πρέπει να συγκρατήσετε

Τρεις παραβάσεις συγκεντρώνουν το μεγαλύτερο μέρος των κυρώσεων, και και οι τρεις διαπιστώνονται από εξωτερικό παρατηρητή μέσα σε λίγα λεπτά: ιχνηλάτες τοποθετημένοι πριν από κάθε συγκατάθεση, μια άρνηση πιο δύσκολη να εκφραστεί από μια αποδοχή, και ιχνηλάτες που παραμένουν παρά την άρνηση.

Δύο μηχανισμοί ανταποκρίνονται σε αυτό διαρκώς. Μια απογραφή των ιχνηλατών ελεγμένη σε πραγματικές συνθήκες και όχι στη βάση τεκμηρίωσης, επαναλαμβανόμενη μετά από κάθε θέση σε παραγωγή. Και μια καταγραφή της συγκατάθεσης που καταγράφει την εκδοχή του banner, τους σκοπούς που παρουσιάστηκαν και την επιλογή που εκφράστηκε — χωρίς αυτήν, η συμμόρφωση δηλώνεται αλλά δεν αποδεικνύεται, κάτι που ισοδυναμεί με το ίδιο πράγμα σε περίπτωση ελέγχου.