Niezgodny baner cookies to najprostsze do stwierdzenia uchybienie w sklepie: wystarczy otworzyć stronę główną i inspektor przeglądarki. To także jedno z tych, które Prezes Urzędu Ochrony Danych Osobowych podejmuje regularnie.
Oto lista kontrolna i błędy, które wracają systematycznie.
Pięć zasad merytorycznych
Zgoda musi być dobrowolna. Odmowa nie może pociągać żadnych skutków dla dostępu do usługi, poza wąsko ujętym przypadkiem ściany śledzącej.
Konkretna. Zgody udziela się osobno dla każdego celu: pomiar ruchu, reklama, media społecznościowe, personalizacja. Jedna zbiorcza akceptacja nie spełnia tego wymogu.
Świadoma. Odwiedzający musi wiedzieć, kto zapisuje, po co i na jak długo, zanim dokona wyboru.
Jednoznaczna. Zakłada działanie pozytywne. Żadnych pól zaznaczonych z góry, żadnej zgody wywodzonej z przewijania strony ani z dalszego przeglądania.
Tak samo łatwa do wycofania jak do udzielenia. Stały link musi pozwalać wrócić do swojego wyboru w dowolnym momencie.
Osiem klasycznych błędów
- Przycisk odmowy na drugim poziomie. Akceptacja jednym kliknięciem, odmowa dopiero po otwarciu panelu preferencji. To uchybienie najczęstsze i najsurowiej oceniane. Oba przyciski muszą być na tym samym poziomie, na pierwszym ekranie.
- Odmowa zdeprecjonowana wizualnie. Przycisk akceptacji w żywym kolorze, odmowa w jasnej szarości albo jako zwykły podkreślony link. Różnica w traktowaniu wizualnym jest uznawana za przeszkodę w odmowie.
- Zapis przed wyborem. Skrypty ładują się razem ze stroną, baner pojawia się później. Na tym etapie znaczniki są już zapisane, a zgoda nie ma żadnego znaczenia. To najczęstszy błąd techniczny.
- Zgoda wywodzona z przewijania. Praktyka porzucona od lat, a mimo to wciąż obecna na działających stronach.
- Brak wycofania. Żadnego linku pozwalającego wrócić do wyboru albo link ukryty w informacjach prawnych.
- Nieograniczony czas. Zgoda zapisana bez terminu ważności, nigdy nieodnawiana.
- Znaczniki zwolnione traktowane jak pozostałe, albo odwrotnie. Blokowanie cookie koszyka do czasu zgody psuje sklep; uznanie znacznika reklamowego za zwolniony to naruszenie.
- Baner dekoracyjny. Pasek jest, wybory są zapisywane, a żaden skrypt nie jest od nich realnie uzależniony. Mechanizm niczego nie blokuje.
DataFirefly Cookie Manager: napędzany otwartoźródłowym silnikiem tarteaucitron.jsBaner cookie zgodny z RODO, bez rezygnacji z pomiaru.€220,00
Co jest zwolnione
Nie wszystkie znaczniki wymagają zgody. Zwolnione są te ściśle niezbędne do świadczenia usługi żądanej przez użytkownika.
W sklepie obejmuje to koszyk, uwierzytelnianie, sesję, wybór języka lub waluty, rozłożenie obciążenia oraz cookie zapisujące sam wybór dotyczący zgody.
Pomiar ruchu także może być zwolniony, ale pod ścisłymi warunkami: cel ograniczony do pomiaru na rzecz właściciela serwisu, brak łączenia z innymi operacjami przetwarzania, brak śledzenia między serwisami i aplikacjami, dane nieprzekazywane podmiotom trzecim i ograniczony okres przechowywania. Standardowa konfiguracja popularnego narzędzia analitycznego domyślnie tych warunków nie spełnia.
Dowód zgody
Musicie być w stanie wykazać, że każda zgoda została ważnie zebrana. Zakłada to przechowywanie, dla każdego odwiedzającego, zapisu ze znacznikiem czasu obejmującego: datę i godzinę, cele zaakceptowane i odrzucone, wyświetloną wersję banera oraz identyfikator techniczny pozwalający powiązać zapis.
Punkt często pomijany: wersja banera. Jeśli zmieniacie cele albo partnerów, wcześniejsze zgody nie pokrywają już nowego zakresu.
Terminy
Trzy odrębne terminy, często mylone.
Okres ważności zgody, po którym trzeba zapytać odwiedzającego ponownie. Polskie przepisy nie podają sztywnej liczby; w praktyce przyjmuje się od sześciu do dwunastu miesięcy, a punktem odniesienia są wytyczne organu nadzorczego.
Czas życia zapisanych znaczników, który według szeroko stosowanego punktu odniesienia nie powinien przekraczać trzynastu miesięcy.
Okres przechowywania danych zebranych za pośrednictwem tych znaczników, w praktyce ograniczany do dwudziestu pięciu miesięcy.
Punkt praktyczny: odmowę przechowuje się tak samo długo jak akceptację. Pytanie przy każdej wizycie kogoś, kto odmówił, jest zarazem uciążliwe i traktowane jako praktyka mająca wymusić zgodę zmęczeniem.
Test banera w dziesięć minut
Pięć sprawdzeń, w tej kolejności.
1. Otwórzcie serwis w trybie prywatnym z otwartą zakładką sieci. Przed jakimkolwiek kliknięciem spojrzyjcie na żądania wychodzące i zapisane cookies. Pojawić się mogą wyłącznie znaczniki zwolnione.
2. Policzcie kliknięcia potrzebne do akceptacji, a potem do odmowy. Liczba musi być identyczna.
3. Odmówcie, przeładujcie stronę i sprawdźcie, że nie ma żadnego znacznika wymagającego zgody.
4. Poszukajcie linku do wycofania zgody. Jeśli szukacie go dłużej niż dziesięć sekund, odwiedzający go nie znajdzie.
5. Sprawdźcie, czy skrypty modułów zewnętrznych rzeczywiście przechodzą przez mechanizm blokujący. Moduł czatu, mapy albo wideo dodany po wdrożeniu banera bywa pomijany.
Cookie Manager dla PrestaShop wdraża ten mechanizm na PrestaShop 8 i 9: blokowanie skryptów przed uzyskaniem zgody, odmowa na tym samym poziomie co akceptacja, zarządzanie według celów, zapis wyborów ze znacznikiem czasu i stały link do wycofania zgody.