Consentimento de Cookies em Links Curtos: O Que a UE Exige

Precisa de um banner de cookies para um link curto? Para o redirecionamento em si, não - um simples 301 ou 302 que não armazena nada no dispositivo é um serviço que o utilizador pediu. Precisa de consentimento no momento em que o link curto define ou lê um cookie não essencial ou um identificador de dispositivo, para retargeting ou análise entre sites, porque a Diretiva ePrivacy exige esse consentimento antes de o armazenamento acontecer.

Esta única frase esconde duas regras distintas, e os profissionais de marketing continuam a misturá-las. A Diretiva ePrivacy rege o armazenamento ou leitura de qualquer coisa no dispositivo de um utilizador (a camada dos cookies). O GDPR rege o que se faz depois com os dados pessoais (a camada da base legal). Um link curto pode acionar uma, ambas, ou nenhuma delas, e saber qual é o que lhe diz se um banner é legalmente exigido ou apenas copiado sem necessidade para a página.

Este é um artigo do agrupamento de conformidade, por isso as regras são citadas e as fontes estão ligadas para a sua própria assessoria jurídica. Para o enquadramento completo por trás de tudo isto - o que o GDPR exige de qualquer encurtador - o artigo-pilar GDPR para encurtadores de URL percorre os Artigos relevantes um a um.

A Resposta Curta para Profissionais de Marketing e DPOs

O consentimento diz respeito ao armazenamento no dispositivo, não ao link. Faça uma pergunta: clicar no link curto faz com que algo seja escrito no ou lido do navegador do utilizador que não seja estritamente necessário para executar o redirecionamento?

Se não - o clique apenas resolve um destino e, no máximo, incrementa um contador do lado do servidor - não há qualquer gatilho de consentimento ePrivacy para o encurtador.
Se sim - um cookie de rastreio, um pixel, um identificador de fingerprinting dispara no salto de redirecionamento - o consentimento é obrigatório, e tem de vir antes do armazenamento.

O GDPR acrescenta depois uma segunda pergunta sobre o próprio registo de cliques, que quase sempre contém dados pessoais. Estas duas perguntas têm respostas diferentes, e o resto deste artigo aborda-as uma de cada vez.

Quando um Link Curto Não Precisa de Consentimento

Um redirecionamento que não define nenhum cookie situa-se do lado "estritamente necessário" da Diretiva ePrivacy. O Article 5(3) da Diretiva 2002/58/CE isenta o armazenamento que seja "estritamente necessário para que o prestador de um serviço da sociedade da informação explicitamente solicitado pelo assinante ou utilizador possa prestar esse serviço." Resolver um link em que o utilizador clicou deliberadamente é esse serviço. Não é devido nenhum banner para o salto.

A camada do GDPR continua, no entanto, a aplicar-se, porque o registo de cliques é um dado pessoal. Cada redirecionamento pode registar um endereço IP e um user agent, e o Tribunal de Justiça decidiu no caso Breyer (C-582/14) que um endereço IP dinâmico é um dado pessoal para quem for capaz de identificar a pessoa por trás dele. Por isso precisa de uma base legal para o registo, e para a contagem agregada de cliques essa base é normalmente o interesse legítimo ao abrigo do Article 6(1)(f) - desde que tenha realizado o teste de ponderação, minimizado o que guarda, e definido uma janela de retenção curta.

Na prática, isso significa que pode contar cliques, ver qual campanha os originou, e reportar a geografia ao nível do país sem pedir a ninguém para aceitar um cookie - desde que a análise seja agregada e os identificadores não sejam construídos para identificar uma única pessoa. É essa a faixa onde a maior parte do rastreio de links deveria viver, e é uma grande parte do que torna a análise de cliques com privacidade em primeiro lugar viável.

Quando um Link Curto Precisa de Consentimento

O banner torna-se obrigatório no instante em que um cookie não essencial ou identificador semelhante é armazenado. O Tribunal de Justiça definiu o padrão para esse consentimento no caso Planet49 (C-673/17): uma caixa pré-assinalada não é consentimento, e o utilizador tem de realizar uma ação afirmativa clara antes do armazenamento. As orientações do EDPB sobre consentimento apertam ainda mais o critério - o consentimento tem de ser livremente dado, específico, informado, e tão fácil de retirar como de dar.

Os links curtos criam aqui um problema de temporização incómodo. Se o seu encurtador colocar um cookie de retargeting no seu próprio domínio de redirecionamento, esse armazenamento acontece no salto, antes de o utilizador sequer chegar ao seu site e ao seu banner de consentimento. O cookie já está definido quando a sua plataforma de gestão de consentimento carrega. Quem o definiu é responsável por ter um consentimento válido, e nessa arquitetura ninguém recolheu nenhum. Isso não é uma lacuna de papelada, é um cookie definido sem base legal - exatamente o padrão que os reguladores já multaram.

Portanto, se um link curto estiver a fazer qualquer uma das seguintes coisas, está em território de consentimento e precisa de o provar:

Definir um cookie de rastreio ou retargeting no clique.
Ler ou escrever um fingerprint de dispositivo ou identificador persistente.
Disparar um pixel publicitário de terceiros através do redirecionamento.
Construir um perfil entre sites do indivíduo para segmentação publicitária.

O erro que vejo mais frequentemente é tratar "temos uma base legal ao abrigo do GDPR" como se isso resolvesse a questão dos cookies. Não resolve. As duas regras acumulam-se, e a da ePrivacy vem primeiro no tempo.

A Diretiva ePrivacy pergunta: pode armazenar ou ler isto no dispositivo? Para tudo o que não seja essencial, a resposta só é sim com consentimento prévio, e nenhuma base legal do GDPR substitui esse consentimento. O interesse legítimo não pode autorizar a definição de um cookie de marketing - a etapa de armazenamento exige consentimento independentemente disso. Só depois de ter resolvido a questão do armazenamento é que o GDPR faz a sua própria pergunta: agora que detém estes dados pessoais, qual é a sua base legal para os processar, e cumpriu os deveres de transparência, retenção, e transferência à volta deles?

Lida por essa ordem, a maioria das configurações de rastreio de links resolve-se rapidamente. Registo de cliques agregado e sem cookies: uma camada (interesse legítimo do GDPR), sem banner. Retargeting baseado em cookies: ambas as camadas (consentimento ePrivacy para definir o cookie, depois consentimento do GDPR como base de processamento), banner obrigatório e tem de disparar primeiro.

Se o seu encurtador atual lhe impõe o segundo padrão quando tudo o que queria era atribuição de campanhas, vale a pena corrigir isso ao nível da ferramenta em vez de disfarçar com um banner maior. A Elido mantém a análise de cliques sem cookies e residente na UE, para que o caso comum permaneça na faixa sem banner.

Como Manter os Links Curtos Leves em Consentimento

Não pode eliminar todas as obrigações - se faz retargeting, tem de ter consentimento, ponto final. Mas pode manter o caso comum simples e reduzir a superfície que um banner tem de cobrir.

Prefira um encurtador que regista cliques do lado do servidor sem nenhum cookie no domínio de redirecionamento, para que não haja nada a consentir no salto.
Mantenha a análise agregada. A geografia ao nível do país e as contagens por campanha não precisam de identificar uma pessoa; os perfis por utilizador precisam.
Minimize e reduza. Trunque ou aplique hash aos endereços IP sempre que possível, e defina uma janela de retenção medida em semanas, não anos, apoiada por um teste de ponderação documentado.
Mantenha os dados na UE. A residência não elimina a questão do consentimento, mas elimina a análise de transferência separada que um encurtador sediado nos EUA acrescenta por cima - a lacuna que a análise a Bitly é compatível com o GDPR aborda, e a mesma razão pela qual o Google Analytics levanta as suas próprias questões de GDPR.
Coloque a divulgação honesta no seu aviso de privacidade: o que o redirecionamento regista, com que base, e durante quanto tempo.

Nada disto é aconselhamento jurídico para a sua stack específica, e um encurtador que se comporta bem não isenta o site de destino dos seus próprios deveres relativos a cookies. Mas isso transforma o encurtador de "mais um fornecedor que o meu banner tem de contabilizar" em "um redirecionamento que regista um clique e fica por aí." Para o lado da residência da mesma decisão, a residência de dados na UE para marketing e o resumo dos melhores encurtadores de URL na UE cobrem quem se compromete a manter os dados na UE.

Leia a Série de Artigos-Pilar

Este artigo integra-se no agrupamento de conformidade. O artigo-pilar é GDPR para encurtadores de URL: o que o seu DPO realmente quer ver - comece por aí para o enquadramento artigo a artigo, depois use a página de confiança e solutions/compliance como os materiais voltados para a área de compras.

Relacionado no Blog

Perguntas frequentes

Os links curtos precisam de um banner de cookies?

O redirecionamento em si não precisa - um simples 301 ou 302 que não define nenhum cookie é um serviço que o utilizador pediu. Um banner torna-se necessário quando o encurtador armazena ou lê um cookie não essencial ou um identificador de dispositivo no clique, por exemplo para retargeting ou análise entre sites, porque a Diretiva ePrivacy exige consentimento antes de esse armazenamento acontecer.

Um encurtador de URL define cookies?

Alguns sim e outros não. Serviços construídos em torno de retargeting e análise entre campanhas normalmente colocam um cookie de rastreio ou identificador no domínio de redirecionamento. Um encurtador com privacidade em primeiro lugar pode registar um clique do lado do servidor sem nenhum cookie, o que é a diferença entre precisar de um banner de consentimento e não precisar.

O rastreio de links é permitido ao abrigo do GDPR sem consentimento?

A contagem agregada de cliques do lado do servidor pode assentar em interesse legítimo ao abrigo do Article 6(1)(f) se realizar um teste de ponderação e mantiver a retenção curta, porque um registo de cliques contém dados pessoais como endereços IP. O rastreio que traça o perfil de um indivíduo entre sites, ou que depende de um cookie não essencial, precisa de consentimento - tanto ao abrigo da Diretiva ePrivacy para o armazenamento como ao abrigo do GDPR para a definição de perfis.

Os links curtos são dados pessoais ao abrigo do GDPR?

Os eventos de clique por trás deles geralmente são. Cada redirecionamento pode registar um endereço IP e um user agent, e o Tribunal de Justiça decidiu no caso Breyer que um endereço IP dinâmico é um dado pessoal nas mãos de uma parte capaz de identificar a pessoa. Portanto, o fluxo de cliques que um encurtador regista está dentro do âmbito do GDPR, mesmo quando o próprio texto do link é anónimo.

Quem é responsável pelo consentimento, o profissional de marketing ou o encurtador?

Quem define o cookie é responsável por ter consentimento para tal. Se o seu encurtador colocar um cookie de rastreio no seu domínio de redirecionamento antes de o utilizador chegar ao seu site, esse armazenamento aconteceu fora do seu banner, o que constitui a lacuna de conformidade. Usar um encurtador que não define cookies não essenciais mantém a responsabilidade onde a sua plataforma de gestão de consentimento consegue realmente cobri-la.

Experimente Elido

Cole uma URL, obtenha um link curto

Sem cadastro. O link vive 30 dias. Cadastre-se para mantê-lo para sempre.

Grátis, sem necessidade de registo · 2 por dia