Настройка на банер за бисквитки: как да поискате съгласие за статистика

Банерът за бисквитки не е задължително упражнение, а мястото, където посетителите решават дали статистика и реклама могат да работят на тяхното устройство. Дали е нужно съгласие и на какво правно основание се обработва след това, изяснява Съгласие или законен интерес: как да решите. Тази статия започва една стъпка по-късно: как да настроите банера, така че решението на посетителите да е валидно и доказуемо?

Тя е трезва ориентация, а не правен съвет.

Трите категории

Повечето банери работят с три групи:

Правното основание за достъпа до устройството е в Германия § 25 TDDDG, в Австрия § 165 Abs. 3 TKG 2021. За необходимо се счита само онова, което е нужно за услугата, желана от посетителя. Статистиката според становището на германските надзорни органи по правило не спада към него. Разпределете всеки скрипт на Вашата страница в една категория. За списък на всички услуги помага поглед в раздела Network на браузъра или списък, който води Вашият разработчик.

Приемане и отказ с равна стойност

Най-честият недостатък е голям, цветен бутон „Приеми всички“ до скрита връзка за отказ. Германските надзорни органи очакват в своето ръководство Orientierungshilfe Telemedien, че отказът е толкова лесен, колкото и съгласието. Който предлага на първото ниво „Приеми всички“, трябва да предлага там и „Откажи всички“. И докладът на работната група за банери за бисквитки на Европейския комитет по защита на данните от януари 2023 г. разглежда този въпрос. Там органите в мнозинство смятат опцията за отказ за необходима, отделни органи имат друго мнение. Затова планирайте по-строгата линия.

Практически правила:

1. Еднакъв размер, еднаква забележимост. И двата бутона със сходна форма, шрифт и контраст.
2. Едно и също ниво. Без заобикалка през „Настройки“ само за отказа.
3. Нищо предварително отметнато. Категориите освен „Необходими“ стоят на „изключено“.
4. Ясни думи. „Приемам“ и „Отказвам“ са по-разбираеми от „Разбрах“ или „Напред“.
5. Без принуда. Страницата трябва да остава използваема и след отказ. Продължаване на превъртането или кликването не е съгласие (вижте Насоките 05/2020 на ЕКЗД относно съгласието).

Съгласие в Tag Manager

Банерът решава, Tag Manager изпълнява. За да си подхождат двете:

• Скриптовете за статистика се задействат само след съгласие. В Tag Manager ги свързвате с проверката за съгласие или със събитие, което банерът изпраща след съгласието.
• Банерът съобщава решението на Tag Manager. Без това предаване скриптовете работят или винаги, или никога.
• Услугите на Google познават Consent Mode. Той предава статуса на съгласието към тагове на Google (Google: Consent Mode). Той не замества банера. Дали и как да го използвате, изяснете с Вашето консултиране по защита на данните.
• Контролна проба. Отворете страницата в нов прозорец на браузъра, откажете и проверете в раздела Network, че не отиват заявки към услуги за статистика или реклама.

Оттегляне

Съгласието трябва според чл. 7, пар. 3 от GDPR да може да се оттегли толкова лесно, колкото е било дадено (GDPR, EUR-Lex). Тоест: постоянно достъпна връзка („Настройки за бисквитки“) в долната част на всяка страница, която отново отваря банера. След оттегляне скриптовете спират при следващото отваряне на страница. Услугите, които вече са получили данни, не са засегнати, но Вашата декларация за защита на данните трябва да каже как се третират данните след това.

Документиране

Според чл. 7, пар. 1 от GDPR трябва да можете да докажете, че съгласие е налице. Обичаен е протокол със:

• момента на решението,
• версията на текста на банера,
• избраните категории,
• случаен идентификатор, който сочи към посетителя, без да го назовава.

Запишете освен това кои услуги в коя категория са били. Ако променяте услуги или цели, питайте отново. Старо съгласие не покрива нови цели.

Швейцария

В Швейцария за скриптовете важи логика на информиране и отказ, а не предварително съгласие (чл. 45c от закона за далекосъобщенията). Който има посетители от ЕС, най-лесно минава с единен банер по стандарта на ЕС. Темата задълбочава Разпознаване на посетители и GDPR: трезва оценка.

Често задавани въпроси

Мога ли да се откажа от банер? Само ако Вашата страница не зарежда скриптове, за които се изисква съгласие, т.е. нито статистика, нито реклама, нито вградени услуги с достъп до устройството. Тогава остава задължението за информация в декларацията за защита на данните.

Достатъчно ли е указание „Използваме бисквитки“ с бутон „ОК“? За статистика и маркетинг не. Липсва възможност за избор. Съгласието трябва да е свободно и информирано.

Колко често мога да показвам банера отново? Законът не посочва твърд срок. Обичаен е период от няколко месеца или промяна на услугите. Не питайте отново при всяко посещение, това действа като натиск.