Ρύθμιση cookie banner: σωστή ερώτηση για τα στατιστικά

Ένα cookie banner δεν είναι τυπική υποχρέωση, αλλά το σημείο όπου οι επισκέπτες αποφασίζουν αν επιτρέπεται να τρέχουν στατιστικά και διαφήμιση στη συσκευή τους. Το αν χρειάζεται συγκατάθεση και σε ποια νομική βάση γίνεται η επεξεργασία μετά, το διευκρινίζει το Συγκατάθεση ή έννομο συμφέρον: πώς αποφασίζετε. Το άρθρο αυτό ξεκινά ένα στάδιο αργότερα: πώς ρυθμίζετε το banner, ώστε η απόφαση των επισκεπτών να είναι έγκυρη και αποδείξιμη;

Είναι μια νηφάλια προσέγγιση και όχι νομική συμβουλή.

Οι τρεις κατηγορίες

Τα περισσότερα banner δουλεύουν με τρεις ομάδες:

Η νομική βάση για την πρόσβαση στη συσκευή είναι στη Γερμανία το § 25 TDDDG, στην Αυστρία το § 165 παρ. 3 TKG 2021. Ως απαραίτητο θεωρείται μόνο ό,τι είναι αναγκαίο για την υπηρεσία που επιθυμεί ο επισκέπτης. Τα στατιστικά, κατά την άποψη των γερμανικών εποπτικών αρχών, κατά κανόνα δεν ανήκουν εδώ. Κατατάξτε κάθε σενάριο του ιστότοπού σας σε μια κατηγορία. Για καταγραφή όλων των υπηρεσιών βοηθά μια ματιά στην καρτέλα δικτύου του προγράμματος περιήγησης ή μια λίστα που τηρεί ο προγραμματιστής σας.

Αποδοχή και απόρριψη ισότιμες

Το συχνότερο ελάττωμα είναι ένα μεγάλο, χρωματιστό κουμπί «Αποδοχή όλων» δίπλα σε έναν κρυμμένο σύνδεσμο για απόρριψη. Οι γερμανικές εποπτικές αρχές περιμένουν στον Οδηγό προσανατολισμού για τηλεμέσα (Orientierungshilfe Telemedien) η απόρριψη να είναι εξίσου εύκολη με την αποδοχή. Όποιος προσφέρει στο πρώτο επίπεδο ένα «Αποδοχή όλων», πρέπει να προσφέρει εκεί και ένα «Απόρριψη όλων». Και η έκθεση της ομάδας εργασίας για τα cookie banner του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων του Ιανουαρίου 2023 πραγματεύεται αυτό το ζήτημα. Εκεί οι αρχές έκριναν κατά πλειοψηφία αναγκαία μια επιλογή απόρριψης, ενώ μεμονωμένες αρχές είχαν διαφορετική άποψη. Σχεδιάστε γι' αυτό με την αυστηρότερη γραμμή.

Πρακτικοί κανόνες:

1. Ίδιο μέγεθος, ίδια προβεβλημένη εμφάνιση. Και τα δύο κουμπιά με παρόμοια μορφή, γραμματοσειρά και αντίθεση.
2. Ίδιο επίπεδο. Καμία παράκαμψη μέσω «Ρυθμίσεων» μόνο για την απόρριψη.
3. Τίποτα προεπιλεγμένο. Οι κατηγορίες εκτός από τα «Απαραίτητα» είναι στο «ανενεργό».
4. Σαφείς λέξεις. Τα «Αποδοχή» και «Απόρριψη» είναι πιο κατανοητά από τα «Κατάλαβα» ή «Συνέχεια».
5. Καμία πίεση. Ο ιστότοπος πρέπει να παραμένει χρησιμοποιήσιμος και μετά την απόρριψη. Η συνέχιση της κύλισης ή των κλικ δεν συνιστά συγκατάθεση (βλ. Κατευθυντήριες γραμμές 05/2020 του EDPB για τη συγκατάθεση).

Συγκατάθεση στο Tag Manager

Το banner αποφασίζει, το Tag Manager εκτελεί. Για να ταιριάζουν και τα δύο:

• Τα σενάρια στατιστικών ενεργοποιούνται μόνο μετά τη συγκατάθεση. Στο Tag Manager τα συνδέετε με τον έλεγχο συγκατάθεσης ή με ένα συμβάν που στέλνει το banner μετά τη συγκατάθεση.
• Το banner αναφέρει την απόφαση στο Tag Manager. Χωρίς αυτή τη διαβίβαση τα σενάρια τρέχουν είτε πάντα είτε ποτέ.
• Οι υπηρεσίες της Google γνωρίζουν το Consent Mode. Μεταβιβάζει την κατάσταση συγκατάθεσης στα tags της Google (Google: Consent Mode). Δεν αντικαθιστά το banner. Το αν και πώς θα το χρησιμοποιήσετε, το διευκρινίζετε με τη συμβουλή προστασίας δεδομένων σας.
• Αντιπαράδειγμα. Ανοίξτε τη σελίδα σε νέο παράθυρο προγράμματος περιήγησης, απορρίψτε και ελέγξτε στην καρτέλα δικτύου ότι δεν αποστέλλονται αιτήματα σε υπηρεσίες στατιστικών ή διαφήμισης.

Ανάκληση

Η συγκατάθεση πρέπει σύμφωνα με το άρθρο 7 παρ. 3 GDPR να ανακαλείται το ίδιο εύκολα όπως δόθηκε (GDPR, EUR-Lex). Δηλαδή: ένας μόνιμα προσβάσιμος σύνδεσμος («Ρυθμίσεις cookies») στο υποσέλιδο κάθε σελίδας, που ανοίγει ξανά το banner. Μετά από ανάκληση τα σενάρια σταματούν στην επόμενη προβολή σελίδας. Υπηρεσίες που έχουν ήδη λάβει δεδομένα δεν επηρεάζονται, η δήλωση προστασίας δεδομένων σας πρέπει όμως να λέει πώς αντιμετωπίζονται τα δεδομένα μετά.

Τεκμηρίωση

Σύμφωνα με το άρθρο 7 παρ. 1 GDPR πρέπει να μπορείτε να αποδείξετε ότι υπάρχει συγκατάθεση. Συνηθισμένο είναι ένα πρωτόκολλο με:

• τον χρόνο της απόφασης,
• την έκδοση του κειμένου του banner,
• τις επιλεγμένες κατηγορίες,
• έναν τυχαίο αναγνωριστικό κωδικό που παραπέμπει στον επισκέπτη χωρίς να τον κατονομάζει.

Καταγράψτε επιπλέον ποιες υπηρεσίες ανήκαν σε ποια κατηγορία. Αν αλλάξετε υπηρεσίες ή σκοπούς, ρωτήστε ξανά. Μια παλιά συγκατάθεση δεν καλύπτει νέους σκοπούς.

Ελβετία

Στην Ελβετία ισχύει για τα σενάρια μια λογική ενημέρωσης και απόρριψης, όχι προηγούμενης συγκατάθεσης (άρθρο 45c του νόμου περί τηλεπικοινωνιών, Fernmeldegesetz). Όποιος έχει επισκέπτες από την ΕΕ, τα βγάζει συνήθως πιο εύκολα με ένα ενιαίο banner σύμφωνα με το πρότυπο της ΕΕ. Το θέμα εμβαθύνει το Αναγνώριση επισκεπτών και GDPR: μια νηφάλια τοποθέτηση.

Συχνές ερωτήσεις

Μπορώ να παραλείψω το banner; Μόνο αν ο ιστότοπός σας δεν φορτώνει σενάρια που απαιτούν συγκατάθεση, δηλαδή ούτε στατιστικά ούτε διαφήμιση ούτε ενσωματωμένες υπηρεσίες με πρόσβαση στη συσκευή. Τότε παραμένει η υποχρέωση ενημέρωσης στη δήλωση προστασίας δεδομένων.

Αρκεί μια ένδειξη «Χρησιμοποιούμε cookies» με κουμπί «OK»; Για στατιστικά και μάρκετινγκ όχι. Λείπει η δυνατότητα επιλογής. Μια συγκατάθεση πρέπει να είναι ελεύθερη και ενημερωμένη.

Πόσο συχνά επιτρέπεται να εμφανίζω ξανά το banner; Ο νόμος δεν ορίζει σταθερή προθεσμία. Συνηθισμένο είναι ένα διάστημα πολλών μηνών ή μια αλλαγή των υπηρεσιών. Μη ρωτάτε ξανά σε κάθε επίσκεψη, αυτό λειτουργεί ως πίεση.