Consimțământ pentru cookie-uri la linkuri scurte: ce cere UE

Ai nevoie de un banner de cookie-uri pentru un link scurt? Pentru redirectul în sine, nu: un 301 sau 302 simplu, care nu stochează nimic pe dispozitiv, este un serviciu pe care utilizatorul l-a cerut. Ai nevoie de consimțământ în clipa în care linkul scurt setează sau citește un cookie ori un identificator de dispozitiv neesențial, pentru retargeting sau analitice cross-site, pentru că Directiva ePrivacy cere acest consimțământ înainte de stocare.

Propoziția aceasta ascunde două reguli separate, pe care specialiștii de marketing le amestecă mereu. Directiva ePrivacy reglementează stocarea sau citirea oricărui lucru pe dispozitivul utilizatorului (stratul cookie-urilor). GDPR reglementează ce faci apoi cu datele personale (stratul temeiului legal). Un link scurt poate încălca una dintre ele, ambele sau niciuna, iar a ști care dintre cazuri se aplică îți spune dacă bannerul este cerut legal sau doar lipit pe pagină din obișnuință.

Este o lectură din clusterul de conformitate, deci regulile sunt citate, iar sursele sunt linkate pentru juristul tău. Pentru cadrul complet din spatele tuturor acestora, adică ce cere GDPR de la orice scurtător, articolul-pilon despre GDPR pentru scurtătoarele de URL parcurge pe rând articolele relevante.

Răspunsul scurt pentru specialiștii de marketing și DPO

Consimțământul privește stocarea pe dispozitiv, nu linkul. Pune o singură întrebare: face clicul pe linkul scurt ca ceva să fie scris în browserul utilizatorului sau citit din el, fără să fie strict necesar pentru a efectua redirectul?

Dacă nu (clicul doar rezolvă o destinație și, cel mult, incrementează un contor pe server), scurtătorul nu declanșează nicio cerință de consimțământ ePrivacy.
Dacă da (un cookie de urmărire, un pixel, un identificator de fingerprinting se activează la saltul de redirect), consimțământul este necesar și trebuie obținut înainte de stocare.

GDPR adaugă apoi a doua întrebare, despre jurnalul de clicuri în sine, care aproape întotdeauna conține date personale. Cele două întrebări au răspunsuri diferite, iar restul articolului le ia pe rând.

Când un link scurt nu are nevoie de consimțământ

Un redirect care nu setează niciun cookie se află de partea „strict necesar" a Directivei ePrivacy. Articolul 5(3) din Directiva 2002/58/CE exceptează stocarea care este „strict necesară pentru ca furnizorul unui serviciu al societății informaționale solicitat în mod explicit de abonat sau de utilizator să poată furniza serviciul". Rezolvarea unui link pe care utilizatorul a dat clic deliberat este acel serviciu. Pentru acest salt nu se datorează niciun banner.

Stratul GDPR se aplică totuși, pentru că jurnalul de clicuri conține date personale. Fiecare redirect poate înregistra o adresă IP și un user agent, iar Curtea de Justiție a decis în Breyer (C-582/14) că o adresă IP dinamică este dată personală pentru oricine poate identifica persoana din spatele ei. Deci ai nevoie de un temei legal pentru jurnal, iar pentru numărarea agregată a clicurilor acest temei este de obicei interesul legitim din Articolul 6(1)(f), cu condiția să fi făcut testul de echilibrare, să fi minimizat ce păstrezi și să fi stabilit o perioadă scurtă de retenție.

În practică, asta înseamnă că poți număra clicurile, vedea ce campanie le-a generat și raporta geografia la nivel de țară fără să ceri cuiva să accepte un cookie, atât timp cât analiticele sunt agregate, iar identificatorii nu sunt făcuți ca să individualizeze o persoană. Acolo ar trebui să stea cea mai mare parte a urmăririi linkurilor și este o mare parte din motivul pentru care analiticele de clic orientate spre confidențialitate sunt viabile.

Când un link scurt are nevoie de consimțământ

Bannerul devine obligatoriu în clipa în care se stochează un cookie neesențial sau un identificator similar. Curtea de Justiție a stabilit standardul pentru acest consimțământ în Planet49 (C-673/17): o casetă bifată în prealabil nu este consimțământ, iar utilizatorul trebuie să facă o acțiune afirmativă clară înainte de stocare. Ghidurile EDPB privind consimțământul înăspresc și mai mult regula: consimțământul trebuie să fie liber, specific, informat și la fel de ușor de retras pe cât este de dat.

Aici, linkurile scurte creează o problemă urâtă de sincronizare. Dacă scurtătorul tău plasează un cookie de retargeting pe propriul domeniu de redirect, acea stocare are loc la salt, înainte ca utilizatorul să ajungă vreodată pe site-ul tău și pe bannerul tău de consimțământ. Cookie-ul este deja setat până când se încarcă platforma ta de gestionare a consimțământului. Cine l-a setat răspunde de existența unui consimțământ valid, iar în această arhitectură nimeni nu a colectat unul. Nu este o lacună de documente, ci un cookie setat fără temei legal, exact tiparul pe care autoritățile l-au sancționat.

Așadar, dacă un link scurt face oricare dintre următoarele, ești pe teritoriul consimțământului și trebuie să o poți dovedi:

Setează un cookie de urmărire sau de retargeting la clic.
Citește sau scrie o amprentă de dispozitiv ori un identificator persistent.
Activează un pixel publicitar terț prin redirect.
Construiește un profil cross-site al persoanei pentru targetarea reclamelor.

Greșeala pe care o văd cel mai des este să tratezi „avem un temei legal sub GDPR" ca și cum ar închide întrebarea despre cookie-uri. Nu o închide. Cele două reguli se suprapun, iar cea din ePrivacy vine prima în timp.

Directiva ePrivacy întreabă: ai voie să stochezi sau să citești asta pe dispozitiv? Pentru orice lucru neesențial, răspunsul este da doar cu consimțământ prealabil, iar niciun temei legal GDPR nu înlocuiește acest consimțământ. Interesul legitim nu poate autoriza setarea unui cookie de marketing, pentru că pasul de stocare cere consimțământ indiferent. Abia după ce ai lămurit întrebarea stocării, GDPR pune propria întrebare: acum că deții aceste date personale, care este temeiul tău legal pentru a le prelucra și ți-ai respectat obligațiile de transparență, retenție și transfer?

Citite în această ordine, majoritatea configurațiilor de urmărire a linkurilor se așază repede. Jurnalizare agregată, fără cookie-uri: un singur strat (interesul legitim GDPR), fără banner. Retargeting bazat pe cookie-uri: ambele straturi (consimțământ ePrivacy pentru a seta cookie-ul, apoi consimțământ GDPR ca temei al prelucrării), banner obligatoriu, iar acesta trebuie să se activeze primul.

Dacă scurtătorul tău actual te forțează spre al doilea tipar când tu voiai doar atribuire de campanie, merită remediat la nivelul instrumentului, nu acoperit cu un banner mai mare. Elido păstrează analiticele de clic fără cookie-uri și stocate în UE, așa încât cazul comun rămâne în culoarul fără banner.

Cum păstrezi linkurile scurte ușoare din punct de vedere al consimțământului

Nu poți elimina toate obligațiile: dacă faci retargeting, ceri consimțământ, punct. Dar poți păstra simplu cazul obișnuit și poți micșora suprafața pe care trebuie să o acopere un banner.

Preferă un scurtător care înregistrează clicurile pe server, fără cookie pe domeniul de redirect, ca să nu existe nimic la care să se consimtă la salt.
Păstrează analiticele agregate. Geografia la nivel de țară și numărul de clicuri pe campanie nu trebuie să individualizeze o persoană; profilurile per utilizator, da.
Minimizează și scurtează. Trunchiază sau aplică hash adreselor IP unde poți și stabilește o perioadă de retenție măsurată în săptămâni, nu în ani, susținută de un test de echilibrare documentat.
Păstrează datele în UE. Rezidența nu elimină întrebarea consimțământului, dar elimină analiza separată a transferurilor pe care o adaugă un scurtător din SUA, lacuna pe care o discută analiza este Bitly conform cu GDPR și același motiv pentru care Google Analytics ridică propriile întrebări GDPR.
Pune în notificarea ta de confidențialitate informarea sinceră: ce înregistrează redirectul, pe ce temei, pentru cât timp.

Nimic din toate acestea nu este consultanță juridică pentru configurația ta specifică, iar un scurtător care se poartă bine nu scutește site-ul de destinație de propriile obligații privind cookie-urile. Dar mută scurtătorul din categoria „încă un furnizor pe care trebuie să-l acopere bannerul meu" în categoria „un redirect care înregistrează un clic și se oprește acolo". Pentru latura rezidenței din aceeași decizie, rezidența datelor în UE pentru marketing și clasamentul celor mai bune scurtătoare de URL din UE arată cine se angajează să păstreze datele în UE.

Citește seria articolelor-pilon

Articolul face parte din clusterul de conformitate. Articolul-pilon este GDPR pentru scurtătoarele de URL: ce vrea să vadă de fapt DPO-ul tău. Începe de acolo pentru cadrul articol cu articol, apoi folosește pagina de încredere și solutions/compliance ca documente pentru achiziții.

Articole conexe pe blog

Întrebări frecvente

Au linkurile scurte nevoie de banner de cookie-uri?

Redirectul în sine nu. Un 301 sau 302 simplu, care nu setează niciun cookie, este un serviciu pe care utilizatorul l-a cerut. Bannerul devine necesar când scurtătorul de linkuri stochează sau citește un cookie ori un identificator de dispozitiv neesențial la clic, de exemplu pentru retargeting sau analitice cross-site, pentru că Directiva ePrivacy cere consimțământ înainte ca stocarea să aibă loc.

Setează un scurtător de URL cookie-uri?

Unele da, altele nu. Serviciile construite în jurul retargetingului și al analiticelor între campanii plasează de obicei un cookie de urmărire sau un identificator pe domeniul de redirect. Un scurtător orientat spre confidențialitate poate înregistra un clic pe server, fără niciun cookie, iar asta face diferența dintre a avea nevoie de un banner de consimțământ și a nu avea.

Este permisă urmărirea linkurilor sub GDPR fără consimțământ?

Numărarea agregată a clicurilor, pe server, se poate sprijini pe interesul legitim din Articolul 6(1)(f) dacă faci testul de echilibrare și ții retenția scurtă, pentru că un jurnal de clicuri conține date personale precum adresele IP. Urmărirea care profilează o persoană pe mai multe site-uri sau care se bazează pe un cookie neesențial cere consimțământ, atât sub Directiva ePrivacy pentru stocare, cât și sub GDPR pentru profilare.

Sunt linkurile scurte date personale sub GDPR?

Evenimentele de clic din spatele lor de obicei sunt. Fiecare redirect poate înregistra o adresă IP și un user agent, iar Curtea de Justiție a decis în cauza Breyer că o adresă IP dinamică este dată personală în mâinile unei părți care poate identifica persoana. Așadar fluxul de clicuri pe care îl înregistrează un scurtător intră în sfera GDPR chiar și atunci când textul linkului este anonim.

Cine răspunde de consimțământ, specialistul de marketing sau scurtătorul?

Cine setează cookie-ul răspunde de existența consimțământului pentru el. Dacă scurtătorul tău plasează un cookie de urmărire pe domeniul său de redirect înainte ca utilizatorul să ajungă pe site-ul tău, acea stocare s-a petrecut în afara bannerului tău, iar acesta este golul de conformitate. Un scurtător care nu setează cookie-uri neesențiale păstrează responsabilitatea acolo unde platforma ta de gestionare a consimțământului o poate acoperi efectiv.

Încearcă Elido

Lipește un URL, obții un link scurt funcțional

Fără înregistrare. Linkul este activ timp de 30 de zile. Înregistrează-te ca să-l păstrezi pentru totdeauna.

Fără înregistrare. Creează un cont gratuit pentru 50 linkuri pe lună.