Cookie-uri și consimțământ: bannerul care respectă legea

Un banner de cookie-uri e în regulă când nu pune nimic neesențial pe telefonul sau calculatorul vizitatorului înainte să apese „Accept”, când refuzul e la fel de ușor ca acordul și când omul își poate schimba decizia oricând. Culorile, textul și poziția bannerului contează doar în măsura în care nu-l păcălesc pe om să accepte.

Ce spune legea, fără jargon

Regula de bază vine din directiva europeană ePrivacy, articolul 5 alineatul (3): un site poate stoca sau citi informații de pe dispozitivul utilizatorului doar cu acordul lui, după ce i-a spus clar și complet la ce folosesc. Excepțiile sunt două: ce e strict necesar ca să transmiți comunicarea și ce e strict necesar ca să oferi serviciul pe care omul l-a cerut explicit.

Fiecare stat aplică directiva prin legea lui națională. Condițiile pentru un acord valid vin însă din GDPR, și acolo scrie limpede că tăcerea, căsuțele bifate dinainte sau lipsa unei acțiuni nu înseamnă consimțământ. Tot GDPR spune că retragerea acordului trebuie să fie la fel de ușoară ca acordarea lui.

Curtea de Justiție a UE a lămurit în 2019, în cauza Planet49, trei lucruri utile:

• o căsuță bifată dinainte, pe care omul trebuie s-o debifeze ca să refuze, nu e consimțământ valid;
• regula se aplică oricărei informații de pe dispozitiv, fie că e vorba de date personale sau nu;
• omul trebuie să afle cât timp funcționează cookie-urile și dacă au acces la ele și terți.

Care cookie-uri cer acord și care nu

Fără acord merg cele strict necesare pentru ce a cerut omul: coșul de cumpărături, sesiunea de autentificare, cookie-ul care ține minte chiar alegerea făcută în banner. Autoritățile europene au menționat și cookie-urile care rețin preferințele exprimate de utilizator pentru un serviciu ca fiind esențiale.

Cu acord merg, de regulă, statisticile de trafic, pixelii de reclamă și conținutul încorporat de la terți care își pune propriile cookie-uri.

Partea grea e lista. Cookie-urile se schimbă când adaugi un modul nou, un chat sau o hartă. Autoritățile au spus că e greu să existe o listă fixă de cookie-uri „esențiale” și că responsabilitatea de a ține lista la zi e a proprietarului site-ului.

Ce au spus autoritățile europene în ianuarie 2023

În ianuarie 2023, Comitetul european pentru protecția datelor (EDPB) a publicat raportul grupului de lucru care a analizat sute de plângeri despre bannere. Raportul nu e o lege și nu dă „aviz de conformitate”, dar arată pragul minim pe care îl acceptă autoritățile:

1. Refuzul pe primul ecran. Marea majoritate a autorităților consideră că lipsa unei opțiuni de refuz pe același nivel cu butonul de acceptare încalcă regulile.
2. Fără căsuțe prebifate în setările detaliate.
3. Refuzul nu se ascunde. Un link de refuz pierdut în text, fără nimic vizual care să-l arate, nu duce la un acord valid.
4. Contrastul. Nu există o regulă generală de culori, se judecă fiecare caz. Dar un buton de refuz cu textul aproape invizibil pe fundal e considerat înșelător.
5. „Interesul legitim” nu ține loc de acord pentru plasarea cookie-urilor.
6. Accesul la site nu se condiționează. Bannerul nu trebuie să dea impresia că fără „Accept” nu vezi conținutul.

Cum arată un banner corect, pas cu pas

1. Deschizi site-ul într-o fereastră privată și te uiți în instrumentele de dezvoltator ale browserului, la secțiunea de cookie-uri. Înainte de orice clic, acolo trebuie să fie doar cele strict necesare.
2. Pe primul ecran: „Accept”, „Refuz” și „Setări”, cu „Accept” și „Refuz” de aceeași mărime și la fel de vizibile.
3. În „Setări”: categorii explicate pe scurt, toate debifate.
4. În textul bannerului sau în pagina de cookie-uri: ce cookie-uri folosești, de ce, cine are acces (terți) și cât timp rămân.
5. Un link permanent, de exemplu „Setări cookie-uri” în subsolul paginii, prin care omul își schimbă decizia.
6. După „Refuz”, site-ul merge normal. Verifici din nou în fereastra privată că nu a apărut nimic în plus.
7. La fiecare modul nou pe site, refaci lista.

La pasul 1 apar cele mai multe surprize. O temă sau un modul de site poate încărca scripturile de statistică înainte ca bannerul să apuce să întrebe ceva. Bannerul arată bine, dar nu blochează nimic.

Bannerul face parte din site, nu e un adaos

Când facem un site, bannerul îl construim odată cu el, nu îl lipim la final. Așa știm ce scripturi pornesc și când. Dacă vrei să verificăm un site existent sau să pornești unul nou cu lucrurile astea puse la punct, vezi serviciile studioului web.