ملفات تعريف الارتباط التحليلية واختبار أ / ب - فقط بعد الموافقة في أوروبا؟

تم التحديث في 19 فبراير 2020: ينص تحديث جديد من CNIL على أن اختبار A / B وقياس الجمهور معفيان الآن من الموافقة .

قد تعتقد أن اللائحة العامة لحماية البيانات تسببت في حدوث اضطراب فقط عندما دخلت حيز التنفيذ في مايو 2018.

الحقيقة هي أن أوروبا كانت في حالة اضطراب طوال عام 2019 وهذه ليست أخبارًا جيدة.

قامت سلطات حماية البيانات الفرنسية والمملكة المتحدة (CNIL و ICO) بتحديث ملاحظاتها الإرشادية الصادرة في يوليو 2019 ، والتي تسلط الضوء على أن ملفات تعريف الارتباط التحليلية (بما في ذلك اختبار A / B والتخصيص) تحتاج إلى موافقة صريحة قبل وضعها على جهاز الزائر. تشير على وجه التحديد إلى اللائحة العامة لحماية البيانات (GDPR) عند ذكر الموافقة (مثل الاشتراكات). يجب أن يعتمد على إجراء المستخدم النشط ، وليس على الإعدادات الافتراضية.

في فبراير 2020 ، غيّرت CNIL موقفها بشأن هذه المسألة (شكرًا بول شميت لتوجيهه إليّ). على الرغم من أن ICO و CNIL قد ذكروا سابقًا أن ملفات تعريف الارتباط الخاصة باختبار A / B والتحليلات تحتاج إلى موافقة ، فإن أحدث الإرشادات (باللغة الفرنسية) تنص على خلاف ذلك:

"الاستفادة من الإعفاء من الموافقة ، وفقًا لعدد معين من الشروط ، تُعفى ملفات تعريف الارتباط المستخدمة لقياس الجمهور من الموافقة. هذه الشروط ، كما هو محدد في الإرشادات الخاصة بملفات تعريف الارتباط وأدوات التتبع الأخرى ، هي (1) إبلاغ المستخدمين باستخدامها ؛ (2) لمنحهم سلطة معارضة ذلك ؛ (3) قصر النظام على الأغراض التالية فقط: قياس الجمهور واختبار أ / ب ".

هذا يعني أنه يمكن تثبيت أدوات التحليل التي تم إعدادها فقط لجمع البيانات من قبل منظمة (ولا تتم مشاركتها بأي شكل من الأشكال مع جهات خارجية) دون موافقة. قد يكون هذا التغيير صعبًا على Google Analytics. دفعت هذه الاتفاقية الخاصة من Mozilla Google Analytics إلى عدم مشاركة بياناتها مع الخدمات الأخرى. في الوقت الحالي ، ليس من المؤكد أن هذا الإعداد متاح لجميع المستخدمين. ومع ذلك ، إذا كانت أوروبا تفتح الباب أمام التحليلات دون موافقة ، أفترض أنه سيتعين على Google اتباع الدورة التدريبية وتقديم هذه الميزة لقاعدة عملائها الأوروبيين.

على الرغم من عدم وجود سلطات خصوصية أوروبية أخرى مع مثل هذه الإضافات إلى قوانين توجيه الخصوصية الإلكترونية (التي كانت سارية قبل القانون العام لحماية البيانات) ، فقد يكون هذا قد خلق فراغًا قانونيًا بين يوليو 2020 واللحظة التي ستحل فيها لوائح الخصوصية الإلكترونية الجديدة محل التوجيه الحالي.

ماذا حدث؟ ما الذي تغير؟

للحصول على ملخص للتغييرات الرئيسية في قوانين الخصوصية في أوروبا ، شاهد الفيديو أدناه ( إخلاء المسؤولية : في الفيديو أشرت خطأً إلى أن التغييرات تم تنفيذها في عام 2018 ، بينما تم تنفيذها في الواقع في عام 2019).

تمت مؤخرًا إعادة تفسير "قانون ملفات تعريف الارتباط" للتوجيه الأوروبي بشأن الخصوصية الإلكترونية لعام 2011 وإصدار المملكة المتحدة ، ولوائح الخصوصية والاتصالات الإلكترونية (توجيه EC) لعام 2003 ("PECR"). يعني هذا التغيير طلب "الموافقة" على إسقاط أي ملفات تعريف ارتباط "غير أساسية" ، سواء تم جمع البيانات الشخصية أم لا.

في عام 2012 ، ذكرت منظمة ICO أنه تم السماح بالموافقة الضمنية (أي إلغاء الاشتراك بدلاً من الاشتراك):

لطالما كانت الموافقة الضمنية اقتراحًا معقولًا في سياق قانون حماية البيانات وتنظيم الخصوصية وتظل كذلك في سياق تخزين المعلومات أو الوصول إلى المعلومات باستخدام ملفات تعريف الارتباط والأجهزة المماثلة.

في 18 يوليو 2019 ، أصدرت هيئة الخصوصية الفرنسية (CNIL) إرشاداتها الجديدة المتعلقة باستخدام ملفات تعريف الارتباط. تنطبق القواعد المطبقة على ملفات تعريف ارتباط HTTP أيضًا على العديد من تقنيات التتبع الأخرى ("أجهزة التتبع") ، بما في ذلك الكائنات المشتركة المحلية وبصمات الأجهزة الطرفية ومعرفات الأجهزة والمعرفات التي تم إنشاؤها بواسطة أنظمة التشغيل. تمامًا مثل إرشادات ICO و GDPR ، هنا أيضًا لا يوجد قرار منفصل بشأن استخدام ملفات تعريف الارتباط ، لكن بصمات الأصابع تقع الآن تحت الموافقة.

ولكن بعد ذلك ، تجعل CNIL الأمر محيرًا بعض الشيء من خلال تحديث صفحة Github الخاصة بهم. تنص أحدث إرشادات CNIL على إعفاء قياس الجمهور واختبار A / B من الموافقة ويمكن وضعها على الفور (إلغاء الاشتراك).

أصدر مجلس حماية البيانات الأوروبي (EDPB) رأيًا مكتوبًا في مارس 2019 يتناول التفاعل بين توجيه الخصوصية الإلكترونية واللائحة العامة لحماية البيانات ، لأن القانون العام لحماية البيانات لا يذكر ملفات تعريف الارتباط وهناك فجوة بين القانونين.

فسر البعض رأي EDPB على أنه يعني أن جميع الإشارات إلى "الموافقة" في توجيه الخصوصية الإلكترونية تعني الموافقة على النحو المحدد في اللائحة العامة لحماية البيانات (GDPR). بالنسبة لملفات تعريف الارتباط ، هذا يعني أنه لا يمكنك وضع ملفات تعريف الارتباط دون أن يشترك الأشخاص بنشاط.

فلماذا قام ICO وكذلك CNIL بتغيير إرشاداتهما بعد عام من دخول اللائحة العامة لحماية البيانات حيز التنفيذ؟ لماذا تغيرت المعلومات المتعلقة "بإلغاء الاشتراك" في ملفات تعريف الارتباط إلى الموافقة على الموافقة في غضون 13 شهرًا؟

لدينا Planet49 لنشكره على ذلك.

في 30 تشرين الثاني (نوفمبر) 2017 ، تم تقديم Planet49 ، وهو موقع إلكتروني وشركة ألمانية ، إلى المحكمة بسبب ممارسات مشكوك فيها متعددة بالنظر إلى اللائحة العامة لحماية البيانات وتوجيه الخصوصية الإلكترونية.

على الرغم من أننا اضطررنا إلى انتظار النتائج (المرفقة بالكامل في نهاية المقالة) ، فقد حدد الحكم النبرة التي تلزم إرشادات أوضح لكل بلد.

بسبب هذا الحكم ، بدأت CNIL و ICO في تحديث إرشاداتهما لتعكس كيف تغطي قوانين الخصوصية الحالية الموافقة ومشاركة المعلومات وملفات تعريف الارتباط (التحليلات والتتبع). سيتعين علينا الانتظار ومعرفة ما إذا كان CNIL يؤثر على الدول الأوروبية الأخرى للسماح بقياس الجمهور وملفات تعريف الارتباط لاختبار A / B.

معركة الإعفاء من ملفات تعريف الارتباط "الضرورية للغاية"

عندما تقوم شركات اختبار A / B بتكييف ممارسات الناتج المحلي الإجمالي ، يمكن تقديم التحليلات وملفات تعريف الارتباط لاختبار A / B للعملاء على أنها ضرورية للأعمال التجارية. بدلاً من ذلك ، كان التركيز أكثر على متتبعات الإعلانات.

في الوقت الحاضر ، قد يختبئ المرء وراء "الإعفاء من ملفات تعريف الارتباط" الضروري للغاية. حتى أنني سمعت أحدهم يقول "لكن فريقنا القانوني قال إنه يمكننا وضع ملف تعريف ارتباط Google Analytics بدون موافقة". كنت أيضًا في هذا المعسكر حتى قرأت إرشادات ICO الجديدة. يقدم موقعهم بعض الأمثلة الجيدة عن ملفات تعريف الارتباط الضرورية لعمل موقع الويب والتفاعل المناسب للمستخدم. مع ظهور إرشادات جديدة طوال الوقت ، قد يكون الالتزام الصارم بأحد الجانبين مربكًا. تتبع بعض الشركات الآن أحدث توصيات CNIL.

في الأمثلة أدناه ، يعد ملف تعريف الارتباط "ضروريًا للغاية" لتقديم خدمة للمستخدمين. في كل حالة ، تنطبق الإعفاءات ولا يلزم الحصول على موافقة:

• ملف تعريف ارتباط يستخدم لتذكر المنتجات التي يرغب المستخدم في شرائها عند الذهاب إلى الخروج أو إضافة البضائع إلى سلة التسوق الخاصة به ،
• ملفات تعريف الارتباط التي تعتبر ضرورية للامتثال لمبدأ أمان القانون العام لحماية البيانات (GDPR ) للنشاط الذي طلبه المستخدم - على سبيل المثال ، فيما يتعلق بالخدمات المصرفية عبر الإنترنت ،
• ملفات تعريف الارتباط التي تساعد على ضمان تحميل محتوى الصفحة بسرعة وفعالية من خلال توزيع عبء العمل عبر العديد من أجهزة الكمبيوتر (يُشار إلى ذلك غالبًا باسم "موازنة التحميل" أو "الوكيل العكسي").

من المهم أن تتذكر أن ما هو "ضروري للغاية" يجب أن يتم تقييمه من وجهة نظر المستخدم أو المشترك ، وليس وجهة نظرك. لذلك ، على سبيل المثال ، بينما قد تعتبر ملفات تعريف الارتباط الإعلانية "ضرورية للغاية" لأنها تجلب إيرادات تمول خدمتك ، فهي ليست "ضرورية تمامًا" من وجهة نظر المستخدم.

ملفات تعريف الارتباط التي ذكر ICO أنها تحتاج إلى موافقة المستخدم (الاشتراك الاستباقي من خلال إجراء المستخدم) هي على سبيل المثال:

• ملفات تعريف الارتباط المستخدمة للتحليلات ، على سبيل المثال لحساب عدد الزيارات الفريدة إلى موقع ويب (والتي قد تتضمن التخصيص واختبار أ / ب) ،
• ملفات تعريف الارتباط الإعلانية للطرف الأول والثالث (بما في ذلك تلك المستخدمة للأغراض التشغيلية المتعلقة بإعلانات الطرف الثالث ، مثل النقر فوق اكتشاف الاحتيال ، والبحث ، وتحسين المنتج ، وما إلى ذلك) ،
• تُستخدم ملفات تعريف الارتباط للتعرف على المستخدم عند عودته إلى موقع ويب بحيث يمكن تخصيص التحية التي يتلقاها (تم ذكر التخصيص على وجه التحديد من قبل ICO).

حكم محكمة العدل الأوروبية "Planet49" الصادر في 1 أكتوبر 2019

في أكتوبر 2019 ، قضت محكمة العدل في الاتحاد الأوروبي ("CJEU") في حكمها "Planet49" بأن الموافقة القياسية لـ GDPR تنطبق أيضًا على إعداد ملفات تعريف الارتباط بموجب توجيه الخصوصية الإلكترونية ، بعد التفسير القائل بأن CNIL و تم تنفيذ ICO منذ يوليو 2019.

لذلك ، يلزم الحصول على موافقة نشطة ومستنيرة لوضع ملفات تعريف الارتباط وتقنيات التنميط (مثل بصمات الأصابع) ، بما في ذلك ملفات تعريف الارتباط الإعلانية (ولكن ليست ملفات تعريف الارتباط الضرورية تمامًا).

المربعات المحددة مسبقًا ، مثل تلك التي حاول Planet49 التخلص منها ، ليست وسيلة صالحة للحصول على الموافقة.

نحن كشركة أعدنا بناء بنيتنا التحتية بالكامل للتأكد من امتثالنا للائحة العامة لحماية البيانات وعدم تخزين أي بيانات شخصية في ملفات تعريف الارتباط.

ينص حكم CJEU على أنه لا يهم ما إذا كان يتم جمع البيانات الشخصية من خلال ملفات تعريف الارتباط. يجب الحصول على الموافقة حتى عندما لا يتضمن وضع ملفات تعريف الارتباط معالجة البيانات الشخصية. يجب على المتحكم إبلاغ المستخدمين بعمر كل ملف تعريف ارتباط وبوصول أي طرف ثالث إلى المعلومات التي تم جمعها من خلال ملفات تعريف الارتباط هذه ، قبل الحصول على موافقتهم.

هل لديك أي أمل بعدم الموافقة على ملفات تعريف الارتباط الخاصة بالتحليلات واختبار A / B؟

لا يميز ICO بين ملفات تعريف الارتباط المستخدمة للتحليلات وتلك المستخدمة لأغراض أخرى ، لكن CNIL تفعل ذلك.

لا تندرج ملفات تعريف الارتباط التحليلية ضمن الإعفاء "الضروري للغاية" لـ ICO. هذا يعني أن الشركات بحاجة إلى إبلاغ المستخدمين بملفات تعريف الارتباط التحليلية والحصول على الموافقة على استخدامها في المملكة المتحدة ، بينما في فرنسا ، تسمح CNIL بالتحليلات (مع قيود) واختبار A / B دون موافقة.

يصف ICO (المملكة المتحدة) ملفات تعريف الارتباط المستخدمة للإعلان عبر الإنترنت أو تحليلات الويب على أنها غير ضرورية ، لذا فهي تتطلب موافقة مسبقة. يتضمن ذلك ملفات تعريف الارتباط الخاصة بالطرف الأول وملفات تعريف ارتباط الطرف الأول كما تم تعيينها بواسطة موفري الطرف الثالث (اقرأ التحويل أو Google Analytics). يتوافق التحويل مع لوائح CNIL أيضًا ولا يشارك مجموعات البيانات بين العملاء والتثبيتات لكل عميل فقط ، لذلك يُسمح باختبار A / B والتخصيص مع التراجع عن الاختبار.

تنص إرشادات ICO بوضوح على ما يلي:

الموافقة ضرورية لملفات تعريف الارتباط التحليلية للطرف الأول ، على الرغم من أنها قد لا تبدو متطفلة مثل الآخرين الذين قد يتتبعون مستخدمًا عبر مواقع أو أجهزة متعددة.

الموافقة ضرورية لملفات تعريف الارتباط التحليلية للطرف الأول ، على الرغم من أنها قد لا تبدو متطفلة مثل الآخرين الذين قد يتتبعون مستخدمًا عبر مواقع أو أجهزة متعددة.

على الرغم من أن ICO لا يمكنها استبعاد إمكانية اتخاذ إجراء رسمي في أي منطقة ، فقد لا يكون هذا هو الحال دائمًا حيث يؤدي إعداد ملف تعريف ارتباط تحليلات الطرف الأول إلى مستوى منخفض من التطفل وانخفاض خطر إلحاق الضرر بالأفراد. ومع ذلك ، يجب أيضًا ملاحظة أنه عند استخدام ملفات تعريف ارتباط تحليلات الطرف الأول المقدمة من طرف ثالث ، فلن يكون هذا هو الحال بالضرورة.

يجب أن تعلم أن هناك فترة سماح لاتباع إرشادات PECR الخاصة بـ ICO حتى يوليو 2020.

إذا تم تمرير المعلومات التي تم جمعها حول استخدام موقع الويب إلى جهة خارجية ، فيجب توضيح ذلك للمستخدمين. يجب أن يكون واضحًا أيضًا ما يفعله هذا الطرف الثالث بالمعلومات .

اعتمادًا على خدمتك ، يمكنك أيضًا أن تقدم للمستخدمين القدرة على تغيير إعدادات الحساب للحد من مشاركة المعلومات مع أطراف ثالثة ، بما في ذلك موفرو التحليلات. (قد توفر خدمة التحليلات أيضًا هذه الوظيفة ، ضع في اعتبارك تمكينها ، حيثما كان ذلك مناسبًا.) يجب عرض عناصر التحكم المقدمة للمستخدم بشكل بارز وعدم إخفاؤها بعيدًا.

في النهاية ، قدم معلومات واضحة للمستخدمين حول ملفات تعريف الارتباط التحليلية واطلب موافقتهم أو شارك المعلومات (لافتات ملفات تعريف الارتباط القديمة). من المحتمل أن يتضمن ذلك توضيح سبب فائدة ملفات تعريف الارتباط هذه للمستخدمين - ولكن يجب عليك التأكد من أنك لا تدفع المستخدم لاختيار خيار على آخر.

في جوانب معينة ، تذهب مستندات التوجيه إلى أبعد من المسودة الحالية للائحة الخصوصية الإلكترونية الجديدة (يوم 4 أكتوبر 2019) ، والتي ستحل محل توجيه الخصوصية الإلكترونية الحالي (والقوانين الحالية لـ PECR والقوانين الفرنسية). في المسودة الحالية ، تسمح للمشغلين بوضع ملفات تعريف ارتباط الطرف الأول أو الطرف الثالث على أجهزة المستخدمين دون موافقة "قياس الجمهور" (أي لتحليل حركة المرور التي تمر عبر مواقع الويب الخاصة بهم لتحسين الخدمة).

إذا كنت لا تزال في شك ، فإليك رسمًا تخطيطيًا من ICO يشرح استخدام ملفات تعريف الارتباط جيدًا.

تعطيه لي مباشرة

المشكلة التي يمكن أن تنشأ هنا هي أن الشركات التي تضع ملفات تعريف الارتباط ستحاول تفسير القانون بطريقتها الخاصة. ولكن على الرغم من أننا نجري التحليلات واختبار A / B وبرامج التخصيص ، فإننا سنقدمها لك مباشرة.

1. غيرت سلطات الخصوصية في المملكة المتحدة (ICO) وفرنسا (CNIL) إرشاداتها في يوليو 2019 تفيد بأن التحليلات واختبار A / B وبرامج التخصيص مثل Convert Experiences و Optimizely و AB Tasty و VWO و Adobe Target و PageSense و OmniConvert و Google Optimize ويحتاج الباقون جميعًا إلى الاشتراك باستخدام الموافقة لوضع ملفات تعريف ارتباط الطرف الأول والثالث لمواطنيهم.
2. غيرت فرنسا (CNIL) صفحتها على Github بإرشادات تستثني اختبار A / B والتحليلات الأساسية من الموافقة على ملفات تعريف الارتباط.
3. تتبع ألمانيا وإسبانيا إما المملكة المتحدة (ICO) أو فرنسا (CNIL) ويمكنك توقع تحديثات بشأن إرشاداتهما قريبًا.
4. قضت محكمة العدل في الاتحاد الأوروبي ("CJEU") في حكمها "Planet49" الصادر في أكتوبر 2019 بأن الموافقة القياسية لـ GDPR تنطبق أيضًا على إعداد ملفات تعريف الارتباط بموجب توجيه الخصوصية الإلكترونية. يؤكد الحكم من جديد أن المبادئ التوجيهية للمملكة المتحدة والفرنسية تحتاج إلى اعتمادها من قبل جميع سلطات الخصوصية الوطنية.
5. يحتوي القانون الجديد في المسودة المسمى "لوائح الخصوصية الإلكترونية" الذي سيحل محل "توجيه الخصوصية الإلكترونية" على استثناء لملفات تعريف الارتباط لاختبار A / B والتخصيص والتحليلات.
6. من غير المحتمل أن يقوم ICO أو CNIL بمطاردة الشركات التي تستخدم تحليلات الطرف الأول واختبار A / B والتخصيص في هذا الوقت. من المحتمل أن تدخل لوائح الخصوصية الإلكترونية حيز التنفيذ في (منتصف) 2021 وهناك فترة سماح حتى يوليو 2020. نطاق عمل هذه المنظمات واسع جدًا.
7. توصل إلى استنتاجاتك الخاصة بناءً على ما نعتبره تمثيلاً عادلاً لما حدث منذ يوليو 2019 في أوروبا. تحدث إلى مستشارك القانوني. لا تبني نصيحتك على أداة تبيع منصات إدارة الموافقة (يريدون كل الموافقة) ، ولكن لا تستند إلى مزودي التحليلات واختبار A / B وأدوات التخصيص ... نحن وهم.

آمل أن يكون هذا المقال قد ساعد في إلقاء بعض الضوء على التغييرات التي تحدث الآن في أوروبا.

على الرغم من أنه يضر بنموذج أعمالنا ، إلا أننا نسعى دائمًا لمشاركة الحقيقة.

نريد استخدام أدوات التحسين الخاصة بنا لتوفير أفضل تجربة للمستخدم ، بحيث يحصل المستخدمون على أفضل صفحة للمنتج ، والقائمة الأقل إرباكًا ، والنموذج الذي يوفر لهم الوقت لإكماله.

نحن نرى تحسين موقع الويب على أنه حرفة نبيلة ، من أجل مصلحة زوار ومالكي الموقع (عملائنا الذين يدفعون) على حد سواء. نريد أن يأخذ عملاؤنا الخصوصية بجدية وأن يضعوا التحذيرات والخصوصية في كل طبقة من أدواتنا. نقوم فقط بتخزين البيانات المجمعة - وليس البيانات الشخصية - في أدواتنا ، من أجل الامتثال والخصوصية.

نحن في الواقع نهتم. على الرغم من أننا قد نكون في موقف صعب بسبب ICO الحالي وإرشادات CNIL المتغيرة باستمرار ولوائح الخصوصية الإلكترونية ، فإننا نعلم أنه مع الشفافية الكاملة ، سنكون الشركة المفضلة للعلامات التجارية التي تهتم بالخصوصية والتي يمكن للمستهلكين الوثوق بها .

لهذا الغرض ، أطلقنا نافذة منبثقة صغيرة تعرض زوار الموقع ما هي التخصيصات واختبار أ / ب الذي يشكلون جزءًا منه.

إنه رمز اختياري يمكن للعملاء إضافته إلى Javascript العالمية الخاصة بهم داخل أداة اختبار وتخصيص Convert Experiences A / B (انظر الصورة أدناه حول كيفية عمل ذلك).

إذا كنت ترغب في مناقشة الخصوصية ، أو حلول CNAME التي نعمل عليها ، أو التطورات القانونية الجديدة ، فيرجى التواصل معي على LinkedIn.