Co robi baner zgody
Baner zgody, nazywany też banerem cookies albo informacją o plikach cookie, pojawia się przy pierwszej wizycie w serwisie. Zwykle jest to nakładka, pasek u dołu strony albo okno modalne. Przetwarzanie inne niż niezbędne może ruszyć dopiero po tym, jak odwiedzający zareaguje na baner.
Baner to widoczna część szerszego obowiązku z zakresu ochrony danych. Za nim stoi platforma zarządzania zgodami albo własny skrypt, który działa w trzech krokach:
- 1
Najpierw informacja
Baner pokazuje, kto ustawi technologie, w jakim celu i jakie wybory są dostępne.
- 2
Blokada do wyboru
Pliki cookie, piksele i skrypty inne niż niezbędne pozostają zablokowane, dopóki odwiedzający nie zdecyduje.
- 3
Zapis i ponowna oferta
Wybór zapisuje się ze znacznikiem czasu i wersją informacji. Link w stopce pozwala zmienić go później.
Podstawa prawna: ePrivacy i RODO
W Unii Europejskiej zasada wynika z art. 5 ust. 3 dyrektywy ePrivacy. Zapisywanie lub odczytywanie informacji na urządzeniu użytkownika, czyli to, co robią pliki cookie i podobne znaczniki, wymaga zgody. Wyjątek obejmuje tylko przechowywanie ściśle niezbędne do usługi, o którą użytkownik wyraźnie prosił, na przykład zawartość koszyka czy sesję logowania. Pliki analityczne i reklamowe nigdy do niego nie należą.
RODO określa, jaka zgoda jest ważna: dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona wyraźnym działaniem potwierdzającym. Gdy na podstawie zgody przetwarzane są dane wrażliwe, RODO wymaga, by zgoda była wyraźna. ePrivacy decyduje, kiedy zgoda jest potrzebna, a RODO, co uznaje się za ważną zgodę. Przepisy krajowe dodają szczegóły, więc brzmienie różni się nieco między państwami członkowskimi. Zasada opt-in obowiązuje w UE, EOG i Wielkiej Brytanii.
Modele opt-in i opt-out
Nie każdy baner pyta o zgodę w ten sam sposób. Dominują dwa modele, a międzynarodowe serwisy często stosują oba naraz. Zgodnie z amerykańskimi przepisami stanowymi, takimi jak CCPA, sygnał rezygnacji wysłany przez przeglądarkę lub urządzenie musi być respektowany.
| Model | Gdzie obowiązuje | Co oznacza |
|---|---|---|
| Opt-in | UE, EOG i Wielka Brytania | Nic spoza niezbędnego nie działa, zanim odwiedzający się zgodzi. |
| Opt-out | Stanowe przepisy USA, np. CCPA | Śledzenie startuje po informacji. Odwiedzający może zrezygnować ze sprzedaży lub udostępniania danych. |
| Warstwowy | Serwisy międzynarodowe | Jedna konfiguracja wykrywa region odwiedzającego i pokazuje właściwy baner. |
Zapisy zgód i ich wycofanie
Niezależnie od modelu wybór musi dać się udowodnić, bo ciężar dowodu spoczywa na operatorze serwisu. Zgodna konfiguracja zapisuje dla każdej decyzji poniższe dane, a prowadzenie tego zapisu to część zarządzania zgodnością:
- kiedy zgoda została udzielona lub odmówiona
- jakich celów i dostawców dotyczył wybór
- którą wersję informacji zobaczył odwiedzający
Ciemne wzorce i kiedy baner jest niezgodny z prawem
Baner może być na ekranie i mimo to być nieważny. Organy nadzorcze i sądy wielokrotnie orzekały przeciwko projektom, w których zaakceptowanie jest łatwiejsze niż odmowa.
Regulatorzy stosują prosty test: symetrię. Odmowa musi wymagać jednego kliknięcia i być równie widoczna jak akceptacja. Ta sama symetria dotyczy wycofania: cofnięcie zgody ma być tak samo łatwe jak jej udzielenie. Zgoda uzyskana manipulacją nie jest dobrowolna, a zgoda niedobrowolna nie istnieje.
| Wzorzec | Co idzie nie tak | Status |
|---|---|---|
| Wstępnie zaznaczone wybory | Zaznaczone pola lub przełączniki nie są aktywnym wyborem. | Nieważne |
| Nierówne przyciski | Jasne Akceptuj wszystko obok zblakłej lub wieloetapowej odmowy. | Nieważne |
| Ukryta odmowa | Odrzuć wszystko jest schowane głębiej niż Akceptuj wszystko. | Nieważne |
| Zgoda domniemana | Dalsze przeglądanie lub przewijanie nie jest wyraźnym działaniem. | Nieważne |
| Nakłanianie i mury cookies | Teksty wywołujące poczucie winy albo treść zablokowana do zgody. | Kwestionowane |
Kontekst TCF
W reklamie online dominującą metodą sygnalizacji jest IAB Transparency and Consent Framework, zwykle skracany do TCF. Platforma zgód, która go obsługuje, koduje wybory odwiedzającego, takie jak zgoda na cele, dopuszczeni dostawcy i sprzeciw wobec przetwarzania w prawnie uzasadnionym interesie, w standardowym ciągu zgody. Dostawcy reklamowi w łańcuchu mogą ten ciąg odczytać i powinni go respektować.
TCF to standard branżowy, a nie przepis prawa. Udział opiera się na umowie, a sam standard i oparte na nim informacje o zgodach budzą zainteresowanie regulatorów. Niezależnie od narzędzia liczy się zasada: żadnego śledzenia spoza niezbędnego przed ważnym i symetrycznym wyborem, a behawioralne profilowanie na potrzeby reklamy wymaga tej samej wyraźnej zgody.
Czytaj dalej: System DLP Anexet Ultimate jako wsparcie w spełnianiu wymagań RODO.
Baner, który utrudnia odmowę bardziej niż akceptację, już nie przeszedł testu, bez względu na to, jak dopracowany jest jego wygląd.
Anexet Team