Gestionarea cookie-urilor: consimțământ și trackere în comerțul electronic

Reglementarea cookie-urilor nu se rezumă la RGPD. Ea se bazează pe un text distinct — directiva denumită „viață privată și comunicații electronice”, transpusă în dreptul francez — care impune un consimțământ prealabil pentru orice citire sau scriere de informații pe terminalul utilizatorului, indiferent dacă această informație constituie sau nu o dată cu caracter personal. Această autonomie explică majoritatea punerilor în întârziere: un tracer non-personal rămâne supus consimțământului.

Ce este acoperit și ce nu este

Domeniul de aplicare este mai larg decât ar lăsa să se creadă cuvântul „cookie”. Sunt vizate toate procedeele de stocare sau de acces la informații de pe terminal: cookie-uri HTTP, stocare locală, pixeli invizibili, identificatori de dispozitiv, amprentă digitală a browserului.

Două categorii scapă obligației de consimțământ, iar interpretarea lor este strictă:

• Tracerii strict necesari pentru furnizarea unui serviciu solicitat în mod expres de către utilizator: coș de cumpărături, identificator de sesiune, memorarea unei alegeri de limbă, echilibrare a încărcării.
• Tracerii care au ca scop exclusiv permiterea sau facilitarea unei comunicări electronice.

Măsurarea audienței se situează într-o zonă particulară: poate fi exceptată de la consimțământ în condiții cumulative stricte — finalitate limitată exclusiv la măsurare, fără corelare cu alte prelucrări, fără transmitere către terți, durată de conservare limitată. O soluție de analiză larg răspândită, care corelează datele între site-uri sau le transmite editorului său, nu îndeplinește aceste condiții.

Regulile de colectare

Trei cerințe structurează banner-ul de consimțământ, și fiecare a făcut obiectul unor sancțiuni.

Consimțământul trebuie să fie prealabil. Niciun tracer neexceptat nu poate fi depus înainte de acțiunea utilizatorului. O depunere la încărcarea paginii, înainte de orice clic, constituie o infracțiune în sine — este cea mai frecvent constatată abatere.

Refuzul trebuie să fie la fel de simplu ca acceptarea. Un banner care propune un buton „Accept tot” bine vizibil și care trimite refuzul către un al doilea nivel de configurare nu satisface această cerință. Cele două acțiuni trebuie să fie accesibile la același nivel și cu același număr de clicuri.

Consimțământul trebuie să fie liber, specific, informat și univoc. El nu poate rezulta din continuarea navigării, din derularea paginii, nici dintr-o casetă pre-bifată. Trebuie colectat pe finalitate, utilizatorul trebuind să poată accepta măsurarea audienței fără a accepta publicitatea targetată.

Se adaugă și retragerea consimțământului, care trebuie să fie la fel de facilă ca acordarea inițială și accesibilă în orice moment, ceea ce presupune un punct de acces permanent pe site.

Durate și conservare

Două durate distincte se confundă adesea.

durata de viață a tracerilor este plafonată în practică la treisprezece luni, fără prelungire automată la fiecare nouă vizită. Informațiile colectate prin acești traceri nu sunt conservate decât pentru o perioadă limitată dincolo de acest termen.

durata de valabilitate a consimțământului este distinctă: alegerea utilizatorului, fie ea pozitivă sau negativă, trebuie conservată pentru a nu-i fi cerută din nou la fiecare vizită. Practica recomandată este de a conserva această alegere aproximativ șase luni, un refuz nefiind necesar a fi reînnoit mai frecvent decât o acceptare.

Responsabilul trebuie în cele din urmă să fie în măsură să dovedească colectarea valabilă a consimțământului. Această dovadă presupune să se înregistreze, pentru fiecare utilizator, versiunea banner-ului afișat, finalitățile prezentate și alegerea exprimată. Fără această înregistrare, afirmația „colectăm consimțământul” nu este demonstrabilă — aceeași logică probatorie care guvernează acceptarea condițiilor generale.

Responsabilitățile partajate

Un site care integrează traceri terți — regie publicitară, rețea socială, instrument de analiză — nu este eliberat de responsabilitatea sa. Editorul care decide implantarea unui tracer determină finalitatea acestuia și își angajează responsabilitatea, inclusiv atunci când tracerul apartine unui terț.

Două consecințe practice. Un inventar actualizat al tracerilor efectiv depuși este indispensabil, și el se verifică în condiții reale, nu pe baza documentației furnizorilor: balizele adăugate de instrumente de marketing scapă frecvent inventarului declarativ. Iar relațiile cu terții trebuie contractualizate, identificând cine este operator de date și cine este persoana împuternicită.

Sancțiuni și controale

Nerespectarea regulilor privind tracerii se supune unui regim propriu: este sancționată în temeiul textului special, ceea ce permite autorității naționale de control să acționeze direct, fără a trece prin mecanismul de cooperare european. Acest lucru explică rapiditatea și amploarea deciziilor pronunțate în materie.

Controalele se concentrează prioritar pe trei aspecte obiectivabile din exterior: depunerea tracerilor înainte de consimțământ, dizimetria dintre acceptare și refuz, și persistența tracerilor după un refuz. Aceste trei aspecte se verifică în câteva minute cu instrumentele de dezvoltare ale unui browser, ceea ce face expunerea permanentă.

Scenarii de utilizare

Magazin online cu publicitate. Separați finalitățile — funcționare, măsurare a audienței, publicitate — și permiteți un consimțământ distinct pentru fiecare. Tracerii coșului de cumpărături nu sunt supuși consimțământului, cei de retargeting publicitar întotdeauna. Este un punct structurant al cadrului legal al unui magazin.

Site de prezentare cu măsurare a audienței. Verificați dacă configurația aleasă îndeplinește condițiile de exceptare. Dacă da, niciun banner nu este necesar pentru această finalitate; dacă nu, consimțământul este necesar ca pentru orice alt tracer.

Refacerea unui site. Realizați inventarul tracerilor pe mediul de testare înainte de punerea în producție, apoi refaceți-l în producție: instrumentele adăugate de echipele de marketing după livrare sunt sursa cea mai frecventă de discrepanță. Această disciplină se alătură cerințelor descrise pentru standardele de plată securizată.

Întrebări frecvente

Toate cookie-urile necesită consimțământ? Nu. Cele strict necesare unui serviciu solicitat expres — coș de cumpărături, sesiune, preferință de limbă — sunt scutite de această obligație, la fel ca cele care servesc exclusiv la permiterea unei comunicări. Excepția se interpretează strict.

Continuarea navigării echivalează cu consimțământ? Nu. Consimțământul trebuie să fie univoc și să rezulte dintr-un act pozitiv. Nici derularea, nici continuarea navigării, nici o casetă pre-bifată nu sunt suficiente.

Refuzul trebuie să fie la fel de simplu ca acceptarea? Da. Cele două opțiuni trebuie prezentate la același nivel, cu un efort echivalent. Plasarea refuzului în spatele unui meniu de configurare constituie o abatere caracterizată.

Cât timp trebuie conservată alegerea utilizatorului? Alegerea, fie pozitivă, fie negativă, se conservă pentru a evita solicitarea repetată la fiecare vizită — aproximativ șase luni în practică. Aceasta este distinctă de durata de viață a tracerilor, plafonată la treisprezece luni.

Măsurarea audienței este exceptată? Doar în condiții cumulative stricte: finalitate limitată la măsurare, absența corelării, absența transmiterii către terți, conservare limitată. Majoritatea soluțiilor de larg consum nu le îndeplinesc în configurația implicită.

Cine este responsabil de tracerii terți? Editorul site-ului, de la momentul în care decide implantarea și finalitatea acestora. Responsabilitatea nu este transferată furnizorului tracerului.

De reținut

Trei abateri concentrează cea mai mare parte a sancțiunilor, și toate trei se pot constata din exterior în câteva minute: traceri depuși înainte de orice consimțământ, un refuz mai costisitor de exprimat decât o acceptare, și traceri care persistă în ciuda unui refuz.

Două dispozitive răspund durabil acestor probleme. Un inventar al tracerilor verificat în condiții reale, nu pe documentație, refăcut după fiecare punere în producție. Și o înregistrare a consimțământului care consemnează versiunea banner-ului, finalitățile prezentate și alegerea exprimată — fără aceasta, conformitatea este afirmată, dar nu demonstrabilă, ceea ce revine la același rezultat în cazul unui control.