Alternatywy dla plików cookie stron trzecich: jakie konsekwencje wynikają ze zgody?

23 listopada 2021

Od kilku lat niektórzy interesariusze cyfrowi opracowują alternatywy dla plików cookies stron trzecich w celu kierowania reklam. CNIL, mając na uwadze te innowacje, przypomina, że technologie te muszą być zawsze zgodne z ramami prawnymi dotyczącymi ochrony danych, w szczególności z zasadami dotyczącymi zgody i praw osób, których dane dotyczą.

Co to jest plik cookie strony trzeciej?

Własne pliki cookie i pliki cookie stron trzecich: jaka jest różnica?

Pierwotnie stworzony w celu umożliwienia sesji przeglądania, na przykład poprzez utrzymywanie koszyka zakupów online dostępnego dla użytkownika, to podstawowe zastosowanie szybko przekształciło się w cele śledzenia reklam, dzięki czemu plik cookie jest szeroko stosowaną technologią w ekosystemie reklamy internetowej, w szczególności dzięki wykorzystaniu ciasteczka imprezowe.

Kiedy internauta odwiedza stronę internetową, w praktyce odwiedza „domenę”, która zwykle kończy się rozszerzeniem .com lub .fr (np. mojastrona.pl to domena). Treść odwiedzanej strony internetowej może być przesyłana z domeny odwiedzanej przez użytkownika lub za pośrednictwem innych domen, których użytkownik nie odwiedził i które należą do stron trzecich. W rzeczywistości każdy plik cookie jest powiązany z domeną i wysyłany lub odbierany za każdym razem, gdy przeglądarka „wywołuje” tę domenę. W praktyce:

• Własne pliki cookie są umieszczane przez witrynę internetową, którą odwiedza sam użytkownik, a dokładniej w domenie witryny. Mogą służyć do prawidłowego funkcjonowania serwisu lub do zbierania danych osobowych w celu śledzenia zachowania użytkownika w celach reklamowych;
• Pliki cookie stron trzecich to pliki cookie ustawiane przez domeny inne niż te, które odwiedza użytkownik, zazwyczaj zarządzane przez strony trzecie , które zostały zapytane przez odwiedzaną witrynę, a nie przez samego użytkownika Internetu: te pliki cookie mogą być również niezbędne do prawidłowego funkcjonowania strony internetowej, ale służą głównie do umożliwienia podmiotom trzecim zobaczenia, które strony w danej witrynie odwiedził użytkownik i zbierania informacji o nim, w tym w celach reklamowych.

Narzędzie szeroko stosowane w branży reklamowej

Podczas gdy własne pliki cookie umożliwiają śledzenie użytkownika tylko w witrynie, która je umieszcza, pliki cookie stron trzecich umożliwiają śledzenie zachowania użytkownika we wszystkich witrynach, które je integrują. To sprawia, że są narzędziem powszechnie używanym przez wielu interesariuszy branży reklamy internetowej. Na przykład wszystkie witryny, które dodają przycisk „Lubię to” na Facebooku lub wideo z YouTube, w praktyce umożliwiają tym podmiotom odbieranie i umieszczanie plików cookie przy każdej wizycie, a tym samym odbudowanie częściowej historii przeglądania.

Przechowywanie plików cookie stron trzecich umożliwia śledzenie użytkownika, gdy przechodzi on ze strony internetowej na stronę internetową, zbieranie lub wywnioskowanie na podstawie jego wizyt informacji o nim, takich jak wiek, miejsce zamieszkania lub wzorce konsumpcji.

Informacje te można następnie wykorzystać do stworzenia profilu użytkownika i dalszego jego rozwijania, co czasami może być bardzo szczegółowe i inwazyjne. Profil ten jest następnie używany do wyświetlania reklam, w które użytkownik prawdopodobnie się zaangażuje, a tym samym doprowadzi do zakupu.

W przypadku wielu stron internetowych duża część ich przychodów pochodzi ze sprzedaży ukierunkowanych powierzchni reklamowych. Transakcje te angażują wiele zainteresowanych stron i doprowadziły do rozwoju nowej części branży reklamowej, ogólnie określanej jako „AdTech” (od „technologii reklamowych”). Chociaż reklama jest całkowicie możliwa bez korzystania z plików cookie stron trzecich (na przykład witryna e-commerce specjalizująca się w turystyce może wyświetlać reklamy marek z tego sektora wszystkim swoim użytkownikom), rynek reklamy internetowej jest obecnie zorganizowany głównie wokół systemów w oparciu o pliki cookies podmiotów zewnętrznych i profilowanie użytkowników.

Dlaczego mówimy o zakończeniu plików cookie stron trzecich?

Korzystanie z plików cookie stron trzecich jest obecnie kwestionowane przez niektóre przeglądarki internetowe, które chcą ograniczyć możliwości śledzenia firm reklamowych. Prekursorem w tej dziedzinie była przeglądarka Safari firmy Apple, która wraz z uruchomieniem w 2017 r. programu ITP (od „Intelligent Tracking Prevention”) opracowała funkcje przeglądarki zaprojektowane specjalnie w celu ograniczenia niektórych praktyk sieci reklamowych. Proponowany system ma na celu identyfikację plików cookie powiązanych z praktykami śledzenia oraz ograniczenie możliwości oferowanych przez interfejsy API stronom internetowym, na przykład w zakresie czasu przechowywania plików cookie.

Pod koniec 2018 roku przyszła kolej na Firefoksa, który uruchomił podobną inicjatywę o nazwie „ETP” (od „Enhanced Tracking Protection”). W praktyce w przeglądarkach Firefox i Safari pliki cookie innych firm są teraz domyślnie ograniczone, co zmniejsza możliwości śledzenia użytkowników Internetu w oparciu o tę technikę.

Wreszcie, w sierpniu 2019 r. Google, którego przeglądarka Chrome ma około 70% udział w rynku w 2021 r., również ogłosił uruchomienie swojego projektu o nazwie „Prywatna piaskownica”, mającego na celu ograniczenie wykorzystywania plików cookie do reklam i proponowania rozwiązań technicznych zachować funkcje reklamowe, które obecnie wymagają plików cookie. Po tym ogłoszeniu firma Google zobowiązała się, że do 2023 r. Chrome nie będzie korzystał z plików cookie innych firm.

Jednak zaprzestanie stosowania plików cookies podmiotów trzecich nie oznacza zaprzestania śledzenia użytkowników w Internecie, w szczególności w celach reklamowych. Rzeczywiście, gracze w ekosystemie reklamowym nadal będą mogli korzystać z alternatywnych technologii pozwalających im śledzić przeglądanie i zachowanie użytkowników w celu ukierunkowania ich w szczególności na cele reklamowe.

System w poszukiwaniu alternatyw dla plików cookie stron trzecich

W ostatnich latach CNIL odnotował rozwój kilku alternatyw dla wykorzystywania plików cookie stron trzecich, które można podzielić na cztery kategorie.

Własne pliki cookie i odciski palców

 Niektóre techniki służą do ominięcia ograniczeń upublicznionych przez przeglądarki. Obecnie stosowane są różne metody, w sposób szczątkowy:

• pobieranie odcisków palców ma na celu jednoznaczną identyfikację użytkownika na stronie internetowej lub aplikacji mobilnej za pomocą parametrów technicznych jego przeglądarki. Rzeczywiście, sprzęt używany do połączenia zapewnia serwerowi pewną ilość informacji, na przykład rozmiar ekranu lub system operacyjny. Informacje te, jeśli są wystarczająco szczegółowe, mogą zostać wykorzystane do odróżnienia poszczególnych osób (w praktyce każdej przeglądarki) i śledzenia ich w sposób podobny do plików cookie.
• Własne pliki cookie witryny odwiedzanej przez internautę mogą zwracać dane za pośrednictwem wywołań adresów URL w domenie reklamodawcy lub za pomocą technik delegowania subdomen („maskowanie CNAME”). Techniki te umożliwiają interesariuszom, którzy umieścili pliki cookie stron trzecich, ominięcie blokowania przeglądarek poprzez wykorzystanie danych z plików cookie stron trzecich.

Jednokrotne logowanie

Single Sign-On (lub „SSO”) polega na umożliwieniu połączenia z dużą liczbą witryn, aplikacji lub usług za pośrednictwem jednego konta użytkownika i pojedynczego uwierzytelnienia.

System ten ma na celu ułatwienie połączenia użytkownika , ale przede wszystkim pozwala grupie witryn lub usług mieć ogólną i ujednoliconą wizję przeglądania przez użytkownika wszystkich witryn, aplikacji lub usług: konto użytkownika staje się trackerem, który podąża za użytkownika podczas jego przeglądania.

Pamiętaj, że: ta funkcja nie jest pierwotnie przeznaczona do kierowania reklam. Ponadto obecność SSO niekoniecznie jest związana z celami reklamowymi (np. France Connect).

Unikalne identyfikatory

Unikalne identyfikatory - opracowane analogicznie do identyfikatorów reklamowych przypisanych do smartfonów (np. IDFA), umożliwiają śledzenie użytkownika za pomocą deterministycznego hashowania danych, zbieranych podczas nawigacji użytkownika w serwisie.

Ta technika może wykorzystywać adres e-mail lub login podany przez użytkownika do logowania się do różnych usług online w celu łączenia tych kont i śledzenia korzystania z tych usług przez użytkownika.

Ta technika jest czasami połączona z pobieraniem odcisków palców, przy czym jedna jest używana do umożliwienia drugiej.

Kierowanie reklam na podstawie kohorty

 Niektórzy interesariusze, tacy jak Apple czy Google, opracowują systemy kierowania oparte na kohorcie. W tym zakresie niektóre rozwiązania proponowane na przykład w piaskownicy prywatności (opracowanej przez Google) mają w szczególności na celu odtworzenie obecnych możliwości plików cookie w kontekście reklamy ukierunkowanej, przy jednoczesnym dążeniu do wprowadzenia ograniczeń w celu zmniejszenia inwazyjnego charakteru tych praktyki.

Na ograniczenia te składają się na przykład:

• Cohort based targeting (FLoC w przypadku Google Privacy Sandbox), który polega na unikaniu targetowania jednostki poprzez skupienie się na budowaniu grupy osób o podobnych cechach (obszary zainteresowań itp.), które będą identyfikowane przez unikalny i trwały identyfikator, współdzielony przez wszystkich użytkowników z tej samej kohorty i poziomu zarządzanej przeglądarki lub systemu operacyjnego. W przypadku piaskownicy prywatności lista domen odwiedzanych w przeglądarce Chrome służy do obliczania kohorty członkostwa przeglądarki, chyba że menedżerowie tych domen sprzeciwili się kierowaniu;
• Wdrażanie rozwiązań technicznych, które dostarczają interesariuszom jedynie zagregowane wyniki , tj. wyniki, które są prezentowane tylko w formie zagregowanej (np. tylko liczba osób, które widziały kampanię reklamową), bez dostępu do danych o poszczególnych odsłonach;
• Deportowanie niektórych operacji (np. aukcji reklamowych) na terminal użytkownika w celu ograniczenia możliwości gromadzenia informacji przez interesariuszy ekosystemu reklamowego podczas tych operacji.

Kierowanie na kohortę jest zasadniczo mniej inwazyjne niż pliki cookie stron trzecich : powinno umożliwiać kierowanie do grupy użytkowników o podobnych zachowaniach, a nie do pojedynczego użytkownika.

Jednak ocena konsekwencji takiego systemu, a w szczególności zagrożeń dla praw i wolności użytkowników, zależy jednak od konkretnej analizy sposobu, w jaki realizowane jest targetowanie bez plików cookie stron trzecich w celu ograniczenia indywidualnego śledzenia Internautów (ryzyko ponownej identyfikacji indywidualnej itp.) oraz przestrzeganie zasady minimalizacji danych.

Jakich zasad należy przestrzegać?

Różne opisane powyżej techniki powodują problemy z ochroną danych osobowych, ale także z ochroną urządzeń końcowych i komunikacji użytkowników. CNIL przypomina obowiązujące przepisy.

CNIL przypomina, że rozwój alternatyw dla plików cookie stron trzecich nie może odbywać się kosztem prawa użytkownika Internetu do ochrony jego danych osobowych i prywatności. Muszą być używane zgodnie z zasadami obowiązujących przepisów, a mianowicie RODO, ale także dyrektywy o prywatności i łączności elektronicznej (znanej jako „ePrivacy”), która ma na celu szczególną ochronę komunikacji osób fizycznych, zgodnie z transpozycją do francuskiej ustawy o informacji technologii, zbiorów danych i swobód obywatelskich (ustawa nr 78-17 z dnia 6 stycznia 1978 r.)

Te ramy prawne gwarantują każdemu ochronę prywatnej komunikacji oraz urządzeń końcowych.

Zbieranie zgody: wolny wybór internauty

Przedstawione powyżej techniki praktycznie wszystkie polegają na dostępie do urządzenia końcowego użytkownika (smartfon, laptop, komputer stacjonarny itp.) w celu uzyskania dostępu do informacji już przechowywanych na tym urządzeniu (identyfikator reklamowy, identyfikator kohortowy, dane dotyczące ustawień przeglądarki).

Na przykład w odniesieniu do FLoC ( Google Privacy Sandbox ) możliwe jest, aby dowolna domena uruchamiająca skrypty ze strony internetowej uzyskała dostęp do identyfikatora kohorty za pośrednictwem interfejsu oferowanego stronie przez przeglądarkę Chrome.

Rzeczywiście, operacje niezbędne do utworzenia profilu indywidualnego lub grupowego oraz dostarczania ukierunkowanej reklamy, wymagają uprzedniej zgody użytkownika, niezależnie od tego, czy przetwarzane są dane osobowe, o ile nie są one bezpośrednio częścią bezpośrednio zamówionej usługi przez użytkownika (dyrektywa o prywatności i łączności elektronicznej oraz art. 82 francuskiej ustawy o technologii informacyjnej, zbiorach danych i swobodach obywatelskich).

Użytkownicy muszą zatem mieć możliwość swobodnego i świadomego wyboru:

• być obiektem śledzenia, które nie jest bezwzględnie konieczne do świadczenia żądanej usługi, na przykład w celu zmaksymalizowania trafności prezentowanej reklamy lub zgadzając się na korzystanie z takich elementów śledzących w celu wniesienia wkładu w stronę lub aplikację; lub
• odmówić takiego śledzenia.

Należy pamiętać, że: Śledzenie w celach reklamowych, gdy opiera się na informacjach o przeglądarce lub terminalu, musi polegać na świadomym wyborze użytkownika Internetu, niezależnie od zastosowanej techniki. Wytyczne i zalecenia CNIL dotyczące plików cookies i innych urządzeń śledzących mają zatem zastosowanie również do korzystania z tych technik.

Inne punkty uwagi narzucone przez przepisy

Pozwól użytkownikom zachować kontrolę nad swoimi danymi

W celu zapewnienia, że korzystanie z tych technologii szanuje prywatność użytkowników:

• Niezbędna jest integracja, już na etapie projektowania, środków umożliwiających użytkownikom zachowanie kontroli nad ich danymi osobowymi.

Niezbędne jest również umożliwienie i ułatwienie wykonywania wszystkich praw osób, których dane dotyczą, poprzez przyjazne dla użytkownika interfejsy, co jest kluczowym elementem podejścia „prywatności w fazie projektowania” narzuconego przez RODO.

CNIL zachęca twórców systemu do przewidywania tych ograniczeń, szczególnie w odniesieniu do ekranów informacyjnych i ustawień tych nowych technik.

Unikanie przetwarzania danych wrażliwych

Wrażliwe dane są szczególnie chronione na mocy RODO: ich zbieranie i przetwarzanie, które co do zasady jest zabronione, wymaga zatem najwyższej czujności. Każdy podmiot musi zapewnić, że tworzone przez niego grupy docelowe nie powodują dyskryminacji nawet pośrednio.

Pozostając odpowiedzialnym za wdrożenie tych technik

Wreszcie, interesariusze (administratorzy danych, podmioty przetwarzające) muszą przeanalizować swoje role i obowiązki we wdrażaniu tych technik śledzenia w celu określenia ich odpowiednich obowiązków.

źródlo https://www.cnil.fr