الموافقة على ملفات تعريف الارتباط مقابل سياستها: ما الفرق

كثيراً ما يستخدم الناس المصطلحين بالتبادل، لكنهما يعالجان مشكلتين مختلفتين. سياسة ملفات تعريف الارتباط توثيق، والموافقة على ملفات تعريف الارتباط إنفاذ. الأولى تخبر الزوار بما تفعله، والثانية تضمن ألا تفعله إلا بعد موافقتهم وتحتفظ بسجل يثبت ذلك.

وإدراك هذا الفرق مهم، لأن امتلاك سياسة ملفات تعريف ارتباط مصاغة بإتقان بينما تعمل أدوات التتبّع فور تحميل الصفحة يُعدّ إخفاقاً في الامتثال، وكذلك شريط موافقة أنيق لا يرتبط بأي سياسة على الإطلاق.

سياسة ملفات تعريف الارتباط صفحة أو قسم ثابت يشرح بلغة واضحة ملفات تعريف الارتباط والتقنيات المشابهة التي يضعها موقعك، ومن يضعها، وما تفعله، وكم تدوم، وكيف يمكن للزائر التحكم بها. وهي تقع عادة إلى جانب سياسة الخصوصية أو داخلها، ويُشار إليها برابط في تذييل موقعك وفي شريط الموافقة نفسه.

وظيفتها هي الشفافية. فهي تحقق شرط «المستنيرة» في الموافقة المستنيرة بتزويد الناس بالتفاصيل التي يحتاجونها لاتخاذ اختيار حقيقي. والسياسة الجيدة تدرج ملفات تعريف الارتباط حسب الفئة وتسمّي الأطراف الخارجية المعنيّة، بدل تقديم صياغة عامة غامضة.

الموافقة على ملفات تعريف الارتباط هي النظام التفاعلي الذي يعمل في متصفح الزائر. فهو يحجب ملفات تعريف الارتباط غير الضرورية إلى أن يقرر الزائر، ويعرض عليه الخيارات، وينفّذ قراره بإطلاق أدوات التتبّع أو مواصلة حجبها، ويخزّن سجلاً بما اختاره ومتى.

فحيث تكون السياسة كلمات على صفحة، تكون الموافقة سلوكاً في الوقت الفعلي. وهي الجزء الذي يمنع فعلياً أداة تتبّع من وضع ملف تعريف ارتباط قبل موافقة الزائر، وهي الجزء الذي ينتج الدليل الذي ستعرضه على الجهة التنظيمية.

صُمّم الاثنان ليعزّز كل منهما الآخر. فشريط الموافقة يرتبط بسياسة ملفات تعريف الارتباط ليتمكن الزوار من قراءة التفاصيل قبل الاختيار. والسياسة تصف الفئات التي يتيح شريط الموافقة للناس تفعيلها أو تعطيلها. وعندما تضيف أداة تتبّع أو تزيلها، تحدّث الاثنين: نص السياسة وربط الفئات في الشريط.

وإبقاؤهما متطابقين هو ما تنحرف عنه مواقع كثيرة. إذ تُضاف أداة تتبّع عبر أداة تسويق، ولا يُحدَّث الشريط لحجبها، ولا تذكرها السياسة أبداً. وعندها تتناقض الطبقات الثلاث جميعها. أما الفحص الاستكشافي الذي يعثر على كل ملف تعريف ارتباط ويغذّي به الشريط والسياسة معاً فيُبقيهما متوائمين.

في معظم الولايات القضائية، نعم. فقواعد GDPR وePrivacy تتوقع موافقة مستنيرة، وهو ما يتطلب الإفصاح الذي توفره سياسة ملفات تعريف الارتباط، وموافقة مسبقة، وهو ما يتطلب آلية الموافقة. وقانون DPDPA الهندي يتوقع إشعاراً مفصّلاً وموافقة قابلة للتحقق، أي طبقتين مرة أخرى. وحتى أنظمة الرفض مثل كاليفورنيا تتوقع إفصاحاً واضحاً عن الخصوصية وآلية رفض عاملة معاً.

والجواب العملي هو أن السياسة من دون موافقة تترك أدوات التتبّع تعمل بصورة غير قانونية، والموافقة من دون سياسة تترك الزوار غير مطّلعين. فأنت بحاجة إلى المستند وإلى الآلية، مع إبقائهما متسقين مع بعضهما.