Sīkdatņu politika mājaslapai: kas jāiekļauj un kā prasīt piekrišanu

Kas ir sīkdatnes un kāpēc vajadzīga sīkdatņu politika?

Sīkdatne ir neliela teksta datne, ko mājaslapa saglabā apmeklētāja datorā vai telefonā, lai nākamreiz viņu atpazītu. Latvijā to regulē Informācijas sabiedrības pakalpojumu likuma 7.¹ pants: apmeklētāja ierīcē informāciju drīkst saglabāt tikai tad, ja viņš ir saņēmis skaidru informāciju par nolūku un devis piekrišanu.

Sīkdatņu politika ir vieta, kur šī informācija ir apkopota. Likuma pants pārņem ES e-privātuma direktīvas 5. panta 3. punktu, bet to, kas ir derīga piekrišana, nosaka GDPR. Datu valsts inspekcija (DVI) savās vadlīnijās sīkdatņu izmantošanai skaidro, kā abi noteikumi darbojas kopā.

Vienkārši sakot: ja mājaslapā ir Google Analytics, Facebook pikselis vai iegults YouTube video, jums vajag gan sīkdatņu politiku, gan baneri, kas prasa piekrišanu.

Kuras sīkdatnes drīkst izmantot bez piekrišanas?

Bez piekrišanas drīkst izmantot tikai tehniskās jeb nepieciešamās sīkdatnes. Tās vajadzīgas, lai mājaslapa vispār darbotos vai lai sniegtu pakalpojumu, ko apmeklētājs pats pieprasījis: saglabātu pirkumu grozu, pabeigtu maksājumu, noturētu pieteikšanos vai atcerētos viņa sīkdatņu izvēli. Visām pārējām sīkdatnēm piekrišana jāprasa, pirms tās tiek ievietotas.

DVI vadlīnijās tehniskās sīkdatnes sauktas arī par nepieciešamajām un funkcionālajām. Svarīgs ir nolūks, nevis nosaukums banerī. Ja sīkdatne nav vajadzīga, lai sniegtu to, ko apmeklētājs pats prasa, tai vajag piekrišanu, lai kā arī to sauktu.

Sīkdatņu politika: kas tajā jāieraksta

Eiropas Datu aizsardzības kolēģija (EDPB) brīdina, ka daļa mājaslapu par „nepieciešamām“ nosauc sīkdatnes, kas tādas nav, un ka mājaslapas īpašniekam jāspēj pamatot, kāpēc katra sīkdatne ir nepieciešama. DVI iesaka vēl vienkāršāk: ja kāda sīkdatne mājaslapas darbībai nav vajadzīga, to vispār neizmantojiet. Jo mazāk sīkdatņu, jo īsāka politika un vienkāršāks baneris.

Sīkdatņu politikai jāļauj vidusmēra apmeklētājam saprast, kādas sīkdatnes mājaslapa izmanto un kāpēc. DVI vadlīnijās noteikts, ka politikā jābūt vismaz sīkdatņu skaidrojumam, izmantoto sīkdatņu veidiem un nolūkiem, kā arī informācijai par to, kas datus saņem: jūs paši vai trešās puses.

Praksē pilnā sīkdatņu politikā ir:

• uzņēmuma nosaukums, reģistrācijas numurs un kontakti;
• īss skaidrojums, kas ir sīkdatnes;
• sīkdatņu kategorijas un katras kategorijas nolūks;
• saraksts ar katras sīkdatnes nosaukumu, nolūku un glabāšanas termiņu;
• trešās puses, kas saņem datus, piemēram, Google vai Meta;
• kā apmeklētājs dod piekrišanu, kā to atsauc un kā maina izvēli;
• saite uz privātuma politiku un tas, kā paziņosiet par izmaiņām.

Rakstiet vienkārši un konkrēti. DVI kā sliktu piemēru min teikumu „Mēs varam izmantot Jūsu personas datus, lai piedāvātu personalizētus pakalpojumus“, jo no tā nav skaidrs, ko nozīmē personalizēšana. Labāk pateikt, kas tieši notiks, piemēram, ka saglabāsiet pirkumu vēsturi, lai ieteiktu līdzīgus produktus. DVI arī iesaka izvairīties no vārdiem „var“, „varētu“ un „iespējams“.

Sīkdatņu politikas paraugs no DVI

DVI ir publicējusi sīkdatņu politikas paraugu izdomātam uzņēmumam. Tajā ir deviņas daļas: vispārīgie noteikumi, informācija par sīkdatnēm, nolūks un tiesiskais pamats, sīkdatņu veidi, mājaslapā lietoto sīkdatņu saraksts, informācija par piekrišanu, sīkdatņu noraidīšana, piekrišanas atsaukšana un politikas izmaiņas.

Paraugs der kā struktūra, bet sarakstu no tā nevar pārkopēt. Sarakstā jābūt tieši tām sīkdatnēm, kuras ievieto jūsu mājaslapa, ar to patiesajiem nosaukumiem un termiņiem. Ja politikā rakstīts viens, bet pārlūks rāda ko citu, politika neatbilst patiesībai.

Kā izskatās pareizs sīkdatņu baneris?

Pareizā banerī jau pirmajā logā ir divas līdzvērtīgas pogas, „Piekrītu“ un „Nepiekrītu“, un saite uz sīkdatņu politiku vai iestatījumiem. Kamēr apmeklētājs nav izvēlējies, mājaslapa neievieto nevienu sīkdatni, kurai vajag piekrišanu. Ja viņš atsakās, mājaslapa darbojas tāpat, tikai bez analītikas un reklāmas sīkdatnēm.

Tā raksta DVI, un līdzīgi 2023. gadā secināja EDPB sīkdatņu baneru darba grupa: lielākā daļa ES datu aizsardzības iestāžu uzskata, ka baneris ar pogu „Piekrītu“, bet bez atteikuma iespējas tajā pašā logā, pārkāpj noteikumus.

Atsaukt piekrišanu jābūt tikpat vienkārši kā to dot. To nosaka GDPR 7. panta 3. punkts, un DVI piebilst, ka norāde „mainiet iestatījumus savā pārlūkprogrammā“ šo prasību neizpilda. Eiropas Savienības Tiesa jau 2019. gadā lietā Planet49 nosprieda, ka iepriekš atzīmēta rūtiņa nav derīga piekrišana sīkdatnēm.

Kas ir Google Consent Mode un vai tas jums vajadzīgs?

Google Consent Mode nodod apmeklētāja izvēli no jūsu banera Google rīkiem, piemēram, Google Analytics un Google Ads. Pats piekrišanu tas nesavāc: Google raksta, ka par piekrišanas iegūšanu atbildat jūs, tāpēc baneris joprojām vajadzīgs. Ja izmantojat Google reklāmas vai remārketingu, bez Consent Mode signāliem neiztiksiet.

Consent Mode nodod četrus signālus:

• ad_storage – vai drīkst izmantot reklāmas sīkdatnes;
• analytics_storage – vai drīkst izmantot analītikas sīkdatnes;
• ad_user_data – vai datus drīkst sūtīt Google reklāmu vajadzībām;
• ad_personalization – vai drīkst rādīt personalizētas reklāmas, piemēram, remārketingu.

Pēdējie divi ir vajadzīgi kopš 2024. gada marta. Saskaņā ar Google norādījumiem mērījumi, reklāmu personalizācija un remārketings Eiropas Ekonomikas zonas apmeklētājiem darbojas tikai tad, ja mājaslapa savāc piekrišanu un nodod Google šos signālus.

Pamata vai paplašinātais režīms?

Google piedāvā divus režīmus. Pamata režīmā Google tagi neielādējas, līdz apmeklētājs izdara izvēli banerī. Ja viņš atsakās, Google nesaņem neko, pat ne pašu atteikumu. Paplašinātajā režīmā tagi ielādējas uzreiz un līdz piekrišanai sūta signālus bez sīkdatnēm, ko Google izmanto trūkstošo mērījumu modelēšanai.

Pamata režīms ir piesardzīgākā izvēle, jo pirms piekrišanas Google nekas netiek sūtīts. Paplašinātais dod detalizētākus reklāmu mērījumus, tāpēc pirms tā izvēles pārrunājiet to ar savu juristu vai datu aizsardzības speciālistu.

Kā sakārtot sīkdatnes mājaslapā: soli pa solim

Sāciet ar to, kas mājaslapā jau ir, nevis ar banera rīka izvēli. Tikai tad, kad zināt visas sīkdatnes, varat uzrakstīt patiesu politiku un iestatīt baneri, kas tiešām aptur liekos skriptus. Ja plānojat jaunu mājaslapu, iekļaujiet piekrišanu jau mājaslapas izstrādes uzdevumā.

Kas notiek, ja sīkdatnes nav sakārtotas?

Sīkdatņu izmantošanu Latvijā uzrauga Datu valsts inspekcija. Tā pārbauda mājaslapas un, ja atrod pārkāpumus, uzdod tos novērst līdz noteiktam datumam. Par piekrišanas noteikumu pārkāpumiem GDPR 83. pants paredz naudas sodus līdz 20 miljoniem eiro vai 4 % no uzņēmuma gada apgrozījuma visā pasaulē, atkarībā no tā, kura summa ir lielāka.

DVI 2023. un 2024. gadā pieņēma lēmumus par vairākām Latvijas mājaslapām. Divos no tiem, tostarp lēmumā par ziņu portālu, inspekcija konstatēja, ka analītikas un reklāmas sīkdatnes tiek ievietotas bez apmeklētāja piekrišanas un reālas iespējas atteikties nav. Visos gadījumos DVI uzdeva ieviest piekrišanas mehānismu, kas ļauj patiesi piekrist vai atteikties.

Godīgs baneris palīdz arī attiecībās ar apmeklētājiem. Ja atteikties ir tikpat viegli kā piekrist, viņi redz, ka ar viņu datiem rīkojaties atbildīgi.