Zgoda na pliki cookie dla krótkich linków: czego wymaga UE

Czy potrzebujesz banera cookie dla krótkiego linku? Samo przekierowanie - nie: zwykłe 301 lub 302, które nic nie zapisuje na urządzeniu, to usługa, o którą poprosił użytkownik. Zgoda jest potrzebna w chwili, gdy krótki link zapisuje lub odczytuje niekonieczny plik cookie albo identyfikator urządzenia, na potrzeby retargetingu lub analityki międzywitrynowej, ponieważ dyrektywa ePrivacy wymaga tej zgody zanim dojdzie do zapisu.

To jedno zdanie kryje w sobie dwie odrębne zasady, które marketerzy wciąż ze sobą mylą. Dyrektywa ePrivacy reguluje zapisywanie lub odczytywanie czegokolwiek na urządzeniu użytkownika (warstwa cookie). RODO reguluje to, co następnie robisz z danymi osobowymi (warstwa podstawy prawnej). Krótki link może uruchomić jedną z tych zasad, obie naraz albo żadną, a wiedza, która to jest, mówi Ci, czy baner jest prawnie wymagany, czy po prostu wklejony na stronę na wszelki wypadek.

To artykuł z klastra compliance, więc przepisy są cytowane, a źródła podlinkowane, byś mógł zweryfikować je z własnym prawnikiem. Pełny szkielet tego zagadnienia - czego RODO wymaga od każdego skracacza - znajdziesz w artykule filarowym o RODO dla skracaczy URL, który omawia kolejne artykuły po kolei.

Krótka odpowiedź dla marketerów i inspektorów ochrony danych

Zgoda dotyczy zapisu na urządzeniu, a nie samego linku. Zadaj sobie jedno pytanie: czy kliknięcie krótkiego linku powoduje zapisanie lub odczytanie czegokolwiek w przeglądarce użytkownika, co nie jest ściśle niezbędne do wykonania przekierowania?

Jeśli nie - kliknięcie po prostu rozwiązuje adres docelowy i co najwyżej zwiększa licznik po stronie serwera - nie ma tu żadnego wyzwalacza zgody z dyrektywy ePrivacy dla skracacza.
Jeśli tak - w trakcie przekierowania uruchamia się plik cookie śledzący, piksel albo identyfikator fingerprintingowy - zgoda jest wymagana i musi pojawić się zanim dojdzie do zapisu.

RODO dokłada wówczas drugie pytanie, dotyczące samego logu kliknięć, który niemal zawsze zawiera dane osobowe. Te dwa pytania mają różne odpowiedzi, a reszta tego artykułu omawia je po kolei.

Kiedy krótki link nie wymaga zgody

Przekierowanie, które nie zapisuje żadnego pliku cookie, znajduje się po stronie "ściśle niezbędnej" w rozumieniu dyrektywy ePrivacy. Artykuł 5 ust. 3 dyrektywy 2002/58/WE zwalnia z obowiązku zgody zapis, który jest "ściśle niezbędny do świadczenia usługi społeczeństwa informacyjnego, wyraźnie żądanej przez abonenta lub użytkownika". Rozwiązanie linku, który użytkownik świadomie kliknął, jest właśnie taką usługą. Za samo przekierowanie baner się nie należy.

Warstwa RODO nadal jednak obowiązuje, ponieważ log kliknięć stanowi dane osobowe. Każde przekierowanie może zarejestrować adres IP i user agenta, a Trybunał Sprawiedliwości orzekł w sprawie Breyer (C-582/14), że dynamiczny adres IP jest daną osobową dla każdego, kto jest w stanie zidentyfikować stojącą za nim osobę. Potrzebujesz więc podstawy prawnej dla tego logu, a dla zagregowanego liczenia kliknięć podstawą tą jest zwykle prawnie uzasadniony interes z art. 6 ust. 1 lit. f) - pod warunkiem że przeprowadziłeś test równowagi interesów, zminimalizowałeś zakres przechowywanych danych i ustaliłeś krótki okres retencji.

Schemat decyzyjny dotyczący zgody dla krótkich linków: kliknięcie, które nie zapisuje niekoniecznego pliku cookie, nie wymaga banera i opiera się na prawnie uzasadnionym interesie w przypadku zagregowanego logowania, natomiast kliknięcie zapisujące plik cookie śledzący lub identyfikator wymaga uprzedniej zgody na mocy dyrektywy ePrivacy

W praktyce oznacza to, że możesz liczyć kliknięcia, sprawdzać, która kampania je wygenerowała, i raportować geografię na poziomie kraju bez proszenia kogokolwiek o akceptację pliku cookie - o ile analityka jest zagregowana, a identyfikatory nie są skonstruowane tak, by wyodrębnić konkretną osobę. To pas ruchu, w którym powinno żyć większość śledzenia linków, i to właśnie on w dużej mierze sprawia, że analityka kliknięć stawiająca prywatność na pierwszym miejscu w ogóle działa.

Kiedy krótki link jednak wymaga zgody

Baner staje się obowiązkowy w chwili, gdy zapisywany jest niekonieczny plik cookie lub podobny identyfikator. Trybunał Sprawiedliwości ustalił standard takiej zgody w sprawie Planet49 (C-673/17): domyślnie zaznaczone pole nie stanowi zgody, a użytkownik musi podjąć wyraźne, potwierdzające działanie, zanim dojdzie do zapisu. Wytyczne EDPB dotyczące zgody zaostrzają to jeszcze bardziej - zgoda musi być dobrowolna, konkretna, świadoma i równie łatwa do wycofania, jak do wyrażenia.

Krótkie linki tworzą tu nieprzyjemny problem z czasem. Jeśli Twój skracacz zapisuje plik cookie retargetingowy na własnej domenie przekierowania, ten zapis następuje w trakcie przeskoku, zanim użytkownik w ogóle dotrze do Twojej witryny i Twojego banera zgody. Plik cookie jest już zapisany, zanim załaduje się Twoja platforma zarządzania zgodami. Odpowiedzialność za posiadanie ważnej zgody spoczywa na tym, kto ją zapisał, a w takiej architekturze nikt jej nie zebrał. To nie jest luka formalna, to plik cookie zapisany bez podstawy prawnej - dokładnie ten wzorzec, za który regulatorzy nakładali kary.

Jeśli więc krótki link robi cokolwiek z poniższych, znajdujesz się na terytorium zgody i musisz to udowodnić:

Zapisuje plik cookie śledzący lub retargetingowy przy kliknięciu.
Odczytuje lub zapisuje fingerprint urządzenia albo trwały identyfikator.
Uruchamia piksel reklamowy strony trzeciej w trakcie przekierowania.
Buduje profil danej osoby na potrzeby targetowania reklam w wielu witrynach.

Błąd, który widzę najczęściej, to traktowanie stwierdzenia "mamy podstawę prawną na mocy RODO" tak, jakby rozstrzygało ono kwestię cookies. Nie rozstrzyga. Obie zasady nakładają się na siebie, a ta z ePrivacy jest wcześniejsza w czasie.

Dyrektywa ePrivacy pyta: czy wolno Ci to zapisać lub odczytać na urządzeniu? Dla wszystkiego, co niekonieczne, odpowiedź brzmi "tak" wyłącznie po uzyskaniu uprzedniej zgody, a żadna podstawa prawna z RODO nie zastępuje tej zgody. Prawnie uzasadniony interes nie może upoważniać do zapisania pliku cookie marketingowego - etap zapisu wymaga zgody niezależnie od wszystkiego innego. Dopiero gdy masz już rozstrzygniętą kwestię zapisu, RODO zadaje własne pytanie: skoro posiadasz te dane osobowe, jaka jest Twoja podstawa prawna ich przetwarzania i czy spełniłeś obowiązki dotyczące przejrzystości, retencji i transferu?

Czytane w takiej kolejności, większość konfiguracji śledzenia linków szybko się porządkuje. Bezcookie'owe, zagregowane logowanie kliknięć: jedna warstwa (prawnie uzasadniony interes z RODO), bez banera. Retargeting oparty na cookies: obie warstwy (zgoda z ePrivacy na zapis pliku cookie, a następnie zgoda z RODO jako podstawa przetwarzania), baner wymagany i musi pojawić się jako pierwszy.

Jeśli Twój obecny skracacz narzuca Ci ten drugi wzorzec, choć chciałeś tylko atrybucji kampanii, warto to naprawić na poziomie narzędzia, zamiast maskować problem większym banerem. Elido utrzymuje analitykę kliknięć bezcookie'ową i rezydentną w UE, dzięki czemu typowy przypadek pozostaje w pasie bez banera.

Jak utrzymać krótkie linki lekkie pod względem zgody

Nie da się usunąć każdego obowiązku - jeśli robisz retargeting, zbierasz zgodę, kropka. Możesz jednak utrzymać zwykły przypadek prostym i zmniejszyć obszar, który musi obejmować baner.

Wybieraj skracacz, który rejestruje kliknięcia po stronie serwera bez pliku cookie na domenie przekierowania, dzięki czemu w trakcie przeskoku nie ma niczego, na co trzeba wyrazić zgodę.
Utrzymuj analitykę zagregowaną. Geografia na poziomie kraju i liczniki kampanii nie wymagają wyodrębniania konkretnej osoby; profile per użytkownik - owszem.
Minimalizuj i skracaj. Ucinaj lub haszuj adresy IP tam, gdzie to możliwe, i ustal okres retencji liczony w tygodniach, nie w latach, poparty udokumentowanym testem równowagi interesów.
Trzymaj dane w UE. Rezydencja nie usuwa kwestii zgody, ale usuwa osobną analizę transferu danych, którą dokłada skracacz z siedzibą w USA - lukę, którą omawia rozbiór czy Bitly jest zgodny z RODO, i z tego samego powodu Google Analytics rodzi własne pytania o zgodność z RODO.
Umieść uczciwe ujawnienie w polityce prywatności: co rejestruje przekierowanie, na jakiej podstawie i jak długo.

Porównanie dwóch modeli analityki linków: ścieżka śledzenia oparta na plikach cookie, która wymaga banera zgody i wiąże się z retargetingiem, w zestawieniu ze ścieżką bezcookie'ową i zagregowaną, z uciętym adresem IP, rezydencją w UE i krótką retencją, opierającą się na prawnie uzasadnionym interesie

Nic z tego nie jest poradą prawną dla Twojego konkretnego stosu technologicznego, a skracacz, który zachowuje się właściwie, nie zwalnia witryny docelowej z jej własnych obowiązków dotyczących cookies. Przesuwa jednak skracacz z kategorii "kolejny dostawca, który musi uwzględnić mój baner" do kategorii "przekierowanie, które rejestruje kliknięcie i na tym kończy". W kwestii rezydencji danych, będącej częścią tej samej decyzji, rezydencja danych w UE dla narzędzi marketingowych oraz zestawienie najlepszych unijnych skracaczy URL pokazują, kto zobowiązuje się trzymać dane w UE.

Przeczytaj serię filarową

Ten artykuł należy do klastra compliance. Artykułem filarowym jest RODO dla skracaczy URL: co naprawdę chce zobaczyć Twój inspektor ochrony danych - zacznij od niego, by poznać szkielet artykuł po artykule, a następnie skorzystaj ze strony zaufania i solutions/compliance jako materiałów pod kątem działu zakupów.

Powiązane wpisy na blogu

Najczęściej zadawane pytania

Czy krótkie linki wymagają banera cookie?

Samo przekierowanie nie - zwykłe 301 lub 302, które nie zapisuje żadnego pliku cookie, to usługa, o którą poprosił użytkownik. Baner staje się konieczny, gdy skracacz przy kliknięciu zapisuje lub odczytuje niekonieczny plik cookie albo identyfikator urządzenia, na przykład na potrzeby retargetingu lub analityki międzywitrynowej, ponieważ dyrektywa ePrivacy wymaga zgody, zanim dojdzie do takiego zapisu.

Czy skracacz adresów URL zapisuje pliki cookie?

Niektóre tak, inne nie. Usługi zbudowane wokół retargetingu i analityki międzykampanijnej zazwyczaj zapisują plik cookie śledzący lub identyfikator na domenie przekierowania. Skracacz stawiający prywatność na pierwszym miejscu może rejestrować kliknięcie po stronie serwera bez żadnego pliku cookie, co stanowi różnicę między koniecznością wyświetlenia banera zgody a jej brakiem.

Czy śledzenie linków jest dozwolone na mocy RODO bez zgody?

Zagregowane liczenie kliknięć po stronie serwera może opierać się na prawnie uzasadnionym interesie z art. 6 ust. 1 lit. f), jeśli przeprowadzisz test równowagi interesów i utrzymasz krótki okres retencji, ponieważ log kliknięć zawiera dane osobowe, takie jak adresy IP. Śledzenie, które profiluje osobę w różnych witrynach lub opiera się na niekoniecznym pliku cookie, wymaga zgody - zarówno na mocy dyrektywy ePrivacy w zakresie samego zapisu, jak i na mocy RODO w zakresie profilowania.

Czy krótkie linki są danymi osobowymi w rozumieniu RODO?

Zdarzenia kliknięć, które za nimi stoją, zazwyczaj tak. Każde przekierowanie może zarejestrować adres IP i user agenta, a Trybunał Sprawiedliwości orzekł w sprawie Breyer, że dynamiczny adres IP stanowi dane osobowe w rękach podmiotu zdolnego zidentyfikować daną osobę. Strumień kliknięć rejestrowany przez skracacz mieści się więc w zakresie RODO, nawet jeśli sam tekst linku jest anonimowy.

Kto odpowiada za zgodę - marketer czy skracacz?

Za posiadanie zgody odpowiada ten, kto zapisuje plik cookie. Jeśli Twój skracacz zapisuje plik cookie śledzący na swojej domenie przekierowania, zanim użytkownik dotrze do Twojej witryny, ten zapis nastąpił poza Twoim banerem, co stanowi lukę w zgodności. Korzystanie ze skracacza, który nie zapisuje niekoniecznych plików cookie, utrzymuje odpowiedzialność tam, gdzie Twoja platforma zarządzania zgodami faktycznie może ją objąć.

Wypróbuj Elido

Wklej URL, otrzymaj krótki link

Bez rejestracji. Link działa 30 dni. Zarejestruj się, aby zachować go na zawsze.

Za darmo, bez rejestracji · 2 dziennie