zgodność z ePrivacy

Zgodność z ePrivacy dotyczy zasad wykorzystania plików cookie i komunikacji elektronicznej.

Zgodność z ePrivacy – czym jest i czego dotyczy

Zgodność z ePrivacy oznacza takie projektowanie stron internetowych, aplikacji, formularzy kontaktowych, newsletterów oraz innych kanałów komunikacji elektronicznej, aby sposób korzystania z danych i urządzeń użytkownika odpowiadał wymaganiom dotyczącym prywatności. W praktyce chodzi przede wszystkim o pliki cookie, podobne technologie zapisu i odczytu informacji, identyfikatory urządzeń, piksele śledzące, lokalne magazyny danych oraz treści przesyłane drogą elektroniczną. Zagadnienie to łączy się z ochroną danych osobowych, ale nie jest z nią tożsame. Przepisy dotyczące prywatności w łączności elektronicznej mogą mieć zastosowanie także wtedy, gdy konkretna informacja nie pozwala jeszcze na bezpośrednie rozpoznanie osoby.

Ocena zgodności z ePrivacy obejmuje nie tylko samą treść komunikatu o plikach cookie. Sprawdza się również, jakie narzędzia są uruchamiane przed uzyskaniem zgody, jakie informacje są przekazywane podmiotom zewnętrznym, jak długo utrzymywane są identyfikatory oraz czy użytkownik może łatwo zmienić swoją decyzję. Znaczenie ma też sposób prezentacji wyboru. Jeżeli zaakceptowanie wszystkich technologii jest proste, a odmowa wymaga przejścia przez wiele ekranów, rozwiązanie może być ocenione jako nieprzejrzyste albo utrudniające swobodne podjęcie decyzji.

Zgodność z ePrivacy a cookies, zgoda i komunikacja elektroniczna

Pliki cookie można podzielić według funkcji, czasu przechowywania oraz podmiotu, który je ustawia. Część z nich jest niezbędna do działania podstawowych funkcji witryny, na przykład utrzymania sesji, obsługi koszyka lub zapamiętania ustawień technicznych. Inne służą statystyce, personalizacji treści, analizie zachowania albo reklamie. Taki podział nie powinien być tworzony wyłącznie na podstawie nazwy narzędzia. Konieczne jest ustalenie, jakie dane są faktycznie zapisywane, w jakim celu oraz czy działanie danej technologii może rozpocząć się bez wcześniejszego wyboru użytkownika.

W wielu sytuacjach zgoda powinna być dobrowolna, konkretna, świadoma i możliwa do wycofania. Oznacza to potrzebę przedstawienia zrozumiałej informacji przed uruchomieniem technologii wymagających zgody. Samo dalsze korzystanie ze strony, przewijanie treści albo zamknięcie banera nie zawsze stanowi wystarczające potwierdzenie decyzji. Istotne jest także, aby pola wyboru nie były domyślnie zaznaczone, a przyjęcie i odrzucenie opcjonalnych technologii było porównywalnie dostępne.

Podobne zasady pojawiają się przy komunikacji elektronicznej. Wysyłka newslettera, wiadomości promocyjnej, powiadomienia o produkcie lub zaproszenia do ankiety wymaga rozróżnienia celu kontaktu, podstawy prawnej oraz charakteru odbiorcy. Należy ustalić, czy wiadomość jest odpowiedzią na zapytanie, realizacją zamówionej usługi, działaniem informacyjnym czy komunikatem marketingowym. W każdym przypadku przydatne są procedury dotyczące rejestrowania zgód, obsługi sprzeciwu, aktualizacji list odbiorców i szybkiego wycofania subskrypcji.

Zgodność z ePrivacy – typowe problemy na stronie i w aplikacji

Jednym z częstszych problemów jest uruchamianie narzędzi analitycznych lub reklamowych już przy pierwszym otwarciu strony, zanim pojawi się możliwość dokonania wyboru. Zdarza się także, że baner informuje ogólnie o „celach statystycznych”, choć w tle działa kilka niezależnych usług, z których każda może korzystać z innych identyfikatorów i przekazywać dane innemu odbiorcy. Niewystarczająca bywa również lista kategorii cookie, brak informacji o czasie przechowywania albo brak wskazania, jak zmienić ustawienia po zamknięciu komunikatu.

Weryfikacji wymaga także techniczna kolejność zdarzeń. Samo ukrycie skryptu przed użytkownikiem nie oznacza, że został on zablokowany. Należy sprawdzić żądania sieciowe, nagłówki, zapisy w pamięci przeglądarki, lokalne magazyny oraz działanie elementów osadzonych z zewnętrznych serwisów. Dotyczy to między innymi map, odtwarzaczy, formularzy, czatów, narzędzi do pomiaru ruchu i modułów reklamowych. Po wycofaniu zgody powinno być możliwe zatrzymanie dalszego odczytu lub zapisu informacji, a tam, gdzie jest to technicznie wykonalne, także usunięcie wcześniej zapisanych identyfikatorów.

Nieprawidłowości mogą wystąpić również w aplikacjach mobilnych i programach instalowanych na urządzeniu. Należy wtedy ocenić uprawnienia, identyfikatory reklamowe, powiadomienia, telemetrię oraz sposób przekazywania informacji do dostawców narzędzi. Problematyczne może być także łączenie kilku funkcji pod jednym przełącznikiem, gdy użytkownik nie może osobno zdecydować o statystyce, personalizacji i reklamie. Przejrzystość wymaga przedstawienia tych celów w sposób pozwalający zrozumieć ich skutki.

Zgodność z ePrivacy – praktyczne wskazówki do wdrożenia

Prace warto rozpocząć od inwentaryzacji wszystkich technologii używanych w serwisie. Dla każdego elementu przydatne jest zapisanie jego nazwy, dostawcy, celu, kategorii, zakresu informacji, czasu działania, miejsca przechowywania oraz momentu uruchomienia. Następnie można sprawdzić, czy dana technologia jest niezbędna, czy wymaga zgody i czy jej działanie jest zgodne z opisem przedstawionym użytkownikowi. Taka ewidencja ułatwia późniejsze aktualizacje, audyty oraz wyjaśnienie, dlaczego określone rozwiązanie zostało zastosowane.

Baner powinien przekazywać najważniejsze informacje bez zasłaniania podstawowej treści strony. W pierwszej warstwie można wskazać główne kategorie technologii oraz udostępnić równorzędne opcje akceptacji i odmowy. W bardziej szczegółowym panelu powinny znaleźć się opisy celów, dostawców, okresów przechowywania oraz sposobu zmiany decyzji. Przycisk pozwalający ponownie otworzyć ustawienia powinien być dostępny także po zamknięciu banera, na przykład w stopce lub w ustawieniach konta.

Warto testować rozwiązanie w kilku przeglądarkach, na urządzeniach mobilnych i przy różnych ustawieniach prywatności. Sprawdzeniu podlega również obsługa blokad skryptów, wycofanie zgody, usunięcie danych lokalnych oraz przejście między podstronami. Dokumentacja powinna być aktualizowana po zmianie dostawcy narzędzia, wdrożeniu nowego formularza, modyfikacji kampanii albo zmianie sposobu analizy ruchu. Regularna kontrola zmniejsza ryzyko, że stary skrypt pozostanie aktywny mimo zmiany polityki prywatności.

• sporządzenie listy wszystkich cookie i podobnych technologii,
• sprawdzenie, które elementy uruchamiają się przed wyborem użytkownika,
• oddzielenie funkcji niezbędnych od opcjonalnych,
• zapewnienie łatwego wycofania zgody,
• udokumentowanie zmian i wyników testów.

Zgodność z ePrivacy – kiedy zgłosić się do serwisu komputerowego

Wsparcie techniczne może być potrzebne wtedy, gdy nie ma pewności, jakie skrypty działają w witrynie, baner cookie nie zatrzymuje narzędzi analitycznych albo po wycofaniu zgody nadal pojawiają się nowe zapisy i połączenia. Pomocne bywa również sprawdzenie komputera, przeglądarki i rozszerzeń, gdy problemy z prywatnością wynikają z niepożądanych dodatków, przekierowań lub nietypowego zachowania stron. W Warszawie takie czynności może wykonać Warszawskie Pogotowie Komputerowe 24/7, po wcześniejszym ustaleniu zakresu potrzebnej diagnostyki.

Przed zgłoszeniem warto przygotować adresy stron, opis obserwowanego zachowania, nazwę używanej przeglądarki oraz informację, czy problem występuje na jednym urządzeniu, czy na kilku. Przydatne mogą być także zrzuty ekranu komunikatów, eksport ustawień narzędzia do zarządzania zgodami i lista ostatnio instalowanych dodatków. Nie należy usuwać dowodów działania skryptów przed analizą, ponieważ informacje o czasie wystąpienia i kolejności zdarzeń mogą ułatwić ustalenie przyczyny.

Trzeba pamiętać, że zgodność z ePrivacy nie sprowadza się do umieszczenia jednego komunikatu na stronie. Obejmuje warstwę prawną, treść informacji, konfigurację techniczną, sposób prowadzenia komunikacji i bieżącą kontrolę zmian. Dopiero połączenie tych elementów pozwala ocenić, czy użytkownik rzeczywiście otrzymuje jasny wybór, a technologie związane z cookie i komunikacją elektroniczną działają w granicach przedstawionych zasad.