قائمة تحقق الموافقة على ملفات تعريف الارتباط وفق GDPR

يضع GDPR، مقروءاً مع قواعد ePrivacy التي تنقلها كل دولة في الاتحاد الأوروبي إلى تشريعها المحلي، سقفاً مرتفعاً لملفات تعريف الارتباط. فالموافقة يجب أن تكون حرة ومحدّدة ومستنيرة ولا لبس فيها، ويجب أن تسبق عمل أداة التتبّع. والشريط الذي يكتفي بالإعلان عن ملفات تعريف الارتباط، أو الذي يسمح للتحليلات بالعمل عند تحميل الصفحة، يسقط في هذا الاختبار مهما بدا أنيقاً.

وتستعرض قائمة التحقق هذه المتطلبات الملموسة. تعامل مع كل بند بوصفه أمراً يمكنك التحقق منه في المتصفح أو في سجلاتك، لا مجرد إعداد فعّلته مرة واحدة ثم نسيته.

الحجب المسبق هو الأساس. فإلى أن يوافق الزائر صراحةً، يجب أن يبقى كل نص برمجي غير ضروري خاملاً: التحليلات وبكسلات الإعلانات والتضمينات الاجتماعية وخرائط التفاعل ونوافذ المحادثة. ولا يجوز أن تعمل بلا موافقة سوى ملفات تعريف الارتباط الضرورية تماماً، أي تلك اللازمة لتقديم الصفحة أو الحفاظ على الجلسة.

تحقق من ذلك بتحميل موقعك في نافذة تصفح خاص ومراقبة تبويب الشبكة قبل النقر على أي شيء. فإذا رأيت اتصالات بنطاقات التتبّع قبل الموافقة، فأنت غير ممتثل، مهما كان ما يقوله الشريط.

كانت الجهات التنظيمية في ألمانيا وفرنسا وعموم الاتحاد الأوروبي صريحة في أن الرفض يجب ألا يكون أصعب من القبول. ويعني ذلك وجود زرّ قبول وزرّ رفض في المستوى نفسه وبالوزن البصري نفسه على الطبقة الأولى من الشريط. أما إخفاء الرفض خلف شاشة إدارة التفضيلات بينما القبول بنقرة واحدة فهو نمط مخادع معروف.

وقد فرضت CNIL الفرنسية على وجه الخصوص غرامات على مواقع كبرى بسبب هذا الاختلال بالذات. فإن كان تصميمك يجعل قول لا أبطأ أو أقل وضوحاً من قول نعم، فأصلح ذلك أولاً.

يجب أن تكون الموافقة محدّدة، لذا اجمع أدوات التتبّع في فئات واضحة مثل التحليلات والتسويق والتخصيص، ودع الزائر يختار لكل فئة على حدة. ولا يجوز أن يكون أي خيار محدّداً أو مفعّلاً مسبقاً. ولا بأس بزرّ قبول الكل الواحد ما دام زرّ رفض الكل متاحاً بالقدر نفسه وما دامت الضوابط التفصيلية موجودة لمن يريدها.

وقد قضت محكمة العدل في الاتحاد الأوروبي ببطلان الخانات المحدّدة مسبقاً، فالإعداد الافتراضي غير المحدّد ليس خياراً اختيارياً.

الموافقة التي لا يمكن سحبها ليست موافقة حرة. فالزوار يحتاجون إلى وسيلة دائمة وواضحة لتغيير رأيهم لاحقاً، مثل زرّ عائم صغير أو رابط يعيد فتح مركز التفضيلات. ويجب أن يكون السحب بسهولة الموافقة الأصلية، وبمجرد سحبها يجب أن تتوقف أدوات التتبّع.

ومن الثغرات الشائعة إتاحة السحب فقط في صفحة خصوصية مدفونة. أبقِ مُشغّل إعادة الفتح ظاهراً في كل صفحة.

إذا سألت جهة تنظيمية، يجب أن تكون قادراً على إظهار ما وافق عليه زائر بعينه ومتى. ويعني ذلك سجلاً لكل حدث موافقة يلتقط الاختيار والطابع الزمني، ويفضّل أن يلتقط أيضاً النسخة الدقيقة من الإشعار الذي رآه الزائر. والإيصالات الكاشفة لأي عبث التي تربط نسخة السياسة وبصمة تجزئة بكل سجل تحوّل هذا من ادعاء إلى دليل.

فمن دون سجلات، تكون معتمداً على أن تصدّقك الجهة التنظيمية على كلمتك، وهو موقف لا تريد أن تجد نفسك فيه أثناء تدقيق.

تطبّق ألمانيا GDPR إلى جانب قانون BDSG الاتحادي وقانون TDDDG الذي ينقل قاعدة التخزين في ePrivacy، وترفض السلطات الألمانية اعتبار مواصلة التصفح موافقة. أما فرنسا فتُنفّذ القواعد عبر CNIL التي تنشر إرشادات مفصّلة حول تصميم الشريط وتحرّكت بشأن الاختلال في زرّ رفض الكل وبشأن الاختيارات غير الواضحة.

وإن كنت تعمل في عموم الاتحاد الأوروبي، فصمّم وفق أشد التفسيرات صرامة. فالشريط الذي يُرضي الجهات التنظيمية الألمانية والفرنسية سيُرضي عادةً بقية دول التكتل.