Consimțământul pentru cookie-uri: ce cer regulile ePrivacy

Bannerele de cookie-uri sunt partea cea mai vizibilă a legislației UE privind confidențialitatea și partea cel mai des greșit implementată. Regulile provin din două instrumente care funcționează împreună: Directiva ePrivacy 2002/58/CE stabilește când este necesar consimțământul, iar GDPR definește ce înseamnă consimțământ.

Regula într-o singură frază

Articolul 5 alineatul (3) din Directiva ePrivacy, astfel cum a fost modificat în 2009, permite stocarea de informații pe dispozitivul unui utilizator sau accesarea informațiilor deja stocate acolo numai dacă utilizatorul și-a dat consimțământul după ce a primit informații clare și complete, cu excepția cazului în care stocarea sau accesul servesc exclusiv transmiterii unei comunicări ori sunt strict necesare pentru furnizarea unui serviciu solicitat explicit de utilizator.

Rezultă trei consecințe:

• Este neutră din punct de vedere tehnologic. Cookie-urile, stocarea locală, pixelii de urmărire, fingerprintingul dispozitivului și tehnicile similare sunt toate acoperite. Ghidurile CEPD 2/2023 explică cât de larg sunt interpretate noțiunile de „stocare” și „acces”.
• Nu se limitează la datele cu caracter personal. În cauza Planet49 (C-673/17), Curtea de Justiție a confirmat că articolul 5 alineatul (3) se aplică indiferent dacă informațiile stocate sunt sau nu date cu caracter personal.
• Consimțământul vine primul. Scripturile neesențiale nu au voie să ruleze înainte ca vizitatorul să decidă.

Ce face consimțământul valabil

Deoarece Directiva ePrivacy preia definiția consimțământului din legislația privind protecția datelor, se aplică standardul GDPR (articolul 4 punctul 11, articolul 7 și articolul 94 alineatul (2), care redirecționează trimiterile la vechea Directivă 95/46/CE către GDPR). Consimțământul trebuie să fie:

1. Liber exprimat: refuzul nu trebuie să ducă la condiții mai proaste decât acceptarea, dincolo de ceea ce este strict necesar. Așa-numitele „cookie walls”, care blochează accesul dacă vizitatorul nu acceptă, sunt considerate pe scară largă de autoritățile de reglementare din UE incompatibile cu această cerință.
2. Specific: scopurile distincte (analiză, publicitate, personalizare) necesită alegeri distincte.
3. Informat: vizitatorul trebuie să știe cine colectează ce, în ce scop și pentru cât timp. Hotărârea Planet49 a statuat că informațiile privind durata cookie-urilor și posibilitatea ca terții să le acceseze fac parte din această cerință.
4. Lipsit de ambiguitate: o acțiune afirmativă clară. Hotărârea Planet49 a exclus căsuțele bifate în prealabil; derularea paginii sau „continuarea navigării” nu reprezintă nici ele consimțământ (Ghidurile CEPD 05/2020).

GDPR adaugă două obligații operaționale: operatorul trebuie să poată demonstra consimțământul (articolul 7 alineatul (1)), iar retragerea consimțământului trebuie să fie la fel de simplă ca acordarea lui (articolul 7 alineatul (3)). În practică, aceasta înseamnă o evidență stocată a consimțământului și o modalitate permanentă de redeschidere a bannerului.

Designul bannerului: ce au contestat autoritățile

În ianuarie 2023, CEPD a publicat raportul grupului său operativ pentru bannerele de cookie-uri, care rezumă pozițiile comune ale autorităților naționale. Practicile considerate problematice de majoritatea autorităților includ:

• lipsa unui buton „Respinge” pe primul nivel atunci când acolo există un buton „Acceptă”;
• căsuțe de scopuri sau de furnizori bifate în prealabil pe al doilea nivel;
• un link înșelător în locul unui buton pentru opțiunea de respingere;
• culori și contraste înșelătoare ale butoanelor, care fac din „Acceptă” singura alegere evidentă;
• invocarea „interesului legitim” pentru o urmărire care necesită consimțământ;
• clasificarea cookie-urilor neesențiale drept „esențiale”;
• lipsa unei modalități simple de retragere ulterioară a consimțământului.

Aplicarea la nivel național urmează aceleași linii. CNIL din Franța, de exemplu, a amendat Google și Facebook la sfârșitul anului 2021 (anunț în ianuarie 2022), deoarece refuzarea cookie-urilor necesita mai multe clicuri decât acceptarea lor.

Ce este exceptat

Excepția pentru stocarea „strict necesară” este restrânsă și se apreciază din perspectiva vizitatorului: stocarea fără de care serviciul nu poate funcționa. Exemple tipice sunt un cookie pentru coșul de cumpărături, un cookie de sesiune după autentificare, un cookie de echilibrare a încărcării sau cookie-ul care reține chiar alegerea privind consimțământul. Analiza traficului, testele A/B, publicitatea și pixelii rețelelor sociale nu sunt, în general, strict necesare, chiar și atunci când sunt proprii sau „anonimizate”. Unele autorități naționale acceptă fără consimțământ o măsurare a audienței configurată restrictiv; verificați regulile țării vizate înainte de a vă baza pe acest lucru.

Framework-uri de consimțământ și managere de etichete

Platformele de gestionare a consimțământului (CMP) și IAB Transparency & Consent Framework standardizează modul în care alegerile sunt transmise către agenții de publicitate. În cauza IAB Europe (C-604/22), Curtea de Justiție a statuat că „TC String”, care codifică preferințele unui utilizator, poate constitui date cu caracter personal și că organizația care administrează un astfel de framework poate fi operator asociat. O CMP este un instrument, nu o garanție: o CMP configurată greșit încarcă în continuare trackerele prea devreme. La fel, „modurile de consimțământ” din browser, care ajustează comportamentul etichetelor, nu înlocuiesc consimțământul; ele schimbă doar ce se trimite după decizie.

Cum vă testați propriul banner în zece minute

1. Deschideți o fereastră privată, deschideți instrumentele pentru dezvoltatori pe filele Network și Application și încărcați pagina principală. Nu dați clic pe nimic.
2. Notați fiecare cookie, intrare de stocare și cerere către terți. Tot ce depășește strictul necesar este o constatare.
3. Dați clic pe „Respinge”. Navigați pe încă două pagini. Cererile neesențiale trebuie să rămână oprite.
4. Ștergeți totul, reîncărcați și dați clic pe „Acceptă”. Comparați: diferența este ceea ce controlează efectiv bannerul dumneavoastră.
5. Căutați calea de întoarcere: un link sau o pictogramă care redeschide bannerul pe fiecare pagină.

Scannerele automate fac exact acest lucru la scară mare și îl repetă după fiecare versiune nouă; aici își justifică prețul. Comparați serviciile pe care le evaluăm pe pagina de comparație.