Postavljanje cookie bannera: uredno pitati za statistiku

Cookie banner nije obvezna vježba, nego mjesto na kojem posjetitelji odlučuju smiju li statistika i oglašavanje raditi na njihovu uređaju. Je li privola potrebna i na kojoj se pravnoj osnovi nakon toga obrađuje, razjašnjava članak Privola ili legitimni interes: kako odlučiti. Ovaj članak počinje jedan stupanj kasnije: kako postaviti banner da odluka posjetitelja bude valjana i dokaziva?

To je trijezna orijentacija, a ne pravni savjet.

Tri kategorije

Većina bannera radi s tri skupine:

Pravna osnova za pristup uređaju u Njemačkoj je § 25 TDDDG, u Austriji § 165 Abs. 3 TKG 2021. Nužnim se smatra samo ono što je potrebno za uslugu koju posjetitelj želi. Statistika prema mišljenju njemačkih nadzornih tijela u pravilu ne spada u to. Svaku skriptu na svojoj stranici razvrstajte u jednu kategoriju. Pri popisivanju svih usluga pomaže pogled u karticu Network u pregledniku ili popis koji vodi Vaš programer.

Prihvaćanje i odbijanje ravnopravni

Najčešći nedostatak je veliki, obojeni gumb „Prihvati sve“ pokraj skrivene poveznice za odbijanje. Njemačka nadzorna tijela u svojoj Orijentacijskoj pomoći za telemedije očekuju da odbijanje bude jednako jednostavno kao pristanak. Tko na prvoj razini nudi „Prihvati sve“, trebao bi ondje ponuditi i „Odbij sve“. I izvješće radne skupine za cookie bannere Europskog odbora za zaštitu podataka iz siječnja 2023. obrađuje to pitanje. Ondje je većina tijela smatrala opciju odbijanja potrebnom, pojedina su tijela zastupala drukčije mišljenje. Zato planirajte prema strožoj liniji.

Praktična pravila:

1. Ista veličina, ista uočljivost. Oba gumba sličnog oblika, pisma i kontrasta.
2. Ista razina. Bez zaobilaznog puta preko „Postavki“ samo za odbijanje.
3. Ništa unaprijed označeno. Kategorije osim „Nužni“ stoje na „isključeno“.
4. Jasne riječi. „Prihvati“ i „Odbij“ razumljivije su od „Razumijem“ ili „Dalje“.
5. Bez prisile. Stranica mora ostati upotrebljiva i nakon odbijanja. Daljnje listanje ili klikanje nije privola (vidi Smjernice EDPB-a 05/2020 o privoli).

Privola u Tag Manageru

Banner odlučuje, Tag Manager izvršava. Da bi se oboje uskladilo:

• Skripte za statistiku aktiviraju se tek nakon pristanka. U Tag Manageru ih vežete uz provjeru privole ili uz događaj koji banner šalje nakon pristanka.
• Banner javlja odluku Tag Manageru. Bez tog prosljeđivanja skripte rade ili uvijek ili nikada.
• Googleove usluge poznaju Consent Mode. On prenosi status privole Googleovim oznakama (Google: Consent Mode). Ne zamjenjuje banner. Hoćete li ga i kako koristiti, razjasnite sa svojim savjetnikom za zaštitu podataka.
• Protuprovjera. Otvorite stranicu u svježem prozoru preglednika, odbijte i u kartici Network provjerite da ne idu zahtjevi prema uslugama statistike ili oglašavanja.

Opoziv

Privola se prema čl. 7. st. 3. GDPR-a mora moći opozvati jednako jednostavno kako je dana (GDPR, EUR-Lex). To znači: trajno dostupna poveznica („Postavke kolačića“) u podnožju svake stranice koja ponovno otvara banner. Nakon opoziva skripte prestaju pri sljedećem otvaranju stranice. Na usluge koje su već primile podatke to ne utječe, ali Vaša izjava o zaštiti podataka trebala bi reći kako se s podacima nakon toga postupa.

Dokumentacija

Prema čl. 7. st. 1. GDPR-a morate moći dokazati da privola postoji. Uobičajen je zapisnik s:

• vremenom odluke,
• verzijom teksta bannera,
• odabranim kategorijama,
• nasumičnom oznakom koja upućuje na posjetitelja, a da ga ne imenuje.

Zabilježite i koje su usluge bile u kojoj kategoriji. Ako mijenjate usluge ili svrhe, pitajte ponovno. Stara privola ne pokriva nove svrhe.

Švicarska

U Švicarskoj za skripte vrijedi logika informiranja i odbijanja, a ne prethodna privola (čl. 45c Zakona o telekomunikacijama). Tko ima posjetitelje iz EU, najjednostavnije prolazi s jedinstvenim bannerom prema standardu EU. Temu produbljuje članak Prepoznavanje posjetitelja i GDPR: trijezna procjena.

Često postavljana pitanja

Mogu li bez bannera? Samo ako Vaša stranica ne učitava skripte koje traže privolu, dakle ni statistiku ni oglašavanje ni ugrađene usluge s pristupom uređaju. Tada ostaje obveza informiranja u izjavi o zaštiti podataka.

Je li dovoljna napomena „Koristimo kolačiće“ s gumbom „OK“? Za statistiku i marketing nije. Nedostaje mogućnost izbora. Privola mora biti dobrovoljna i informirana.

Koliko često smijem ponovno prikazati banner? Zakon ne navodi fiksni rok. Uobičajeno je razdoblje od nekoliko mjeseci ili promjena usluga. Ne pitajte ponovno pri svakom posjetu, to djeluje kao pritisak.