Спливаючі вікна з файлами cookie: п'ять причин, чому вони не працюють

На багатьох веб-сайтах відвідувачів дратують спливаючі вікна з файлами cookie. Вони не тільки дратують, але й є ненадійними, а отже, породжують масу юридичних порушень. Ця стаття доводить, що інструменти згоди самі по собі ненадійні.

Вступ

Завантаження служби, як-от Google Analytics, на вебсторінку можливе лише після згоди відвідувача сторінки. Правова основа цього полягає у директиві про захист даних (ePrivacy-Richtlinie), особливо коли мова йде про файли cookie. Інші підстави для обов'язкової згоди надаються статтями 5 ДЗНП (мінімалізація даних) та статті 44ff ДЗНП (пересилання даних до небезпечних третіх країн).

Запит на отримання згоди на веб-сайтах часто називають спливаючим вікном файлів cookie, блокуванням файлів cookie, інструментом отримання згоди або спливаючим вікном згоди. Також часто згадуються платформи управління згодою.

Цей матеріал показує, що маркетингові обіцянки багатьох постачальників інструментів для отримання згоди не підтримуються. У практиці інструменти щодо згоди дуже часто погіршують роботу вебсайтів. Результатом цього є численні правові порушення. Я показав це у своєму великому практичному тесті щодо блокування cookie.

У цьому матеріалі ви дізнаєтеся, чому Інструменти згоди на використання файлів cookie об'єктивно та загалом ніколи не можуть бути надійними, якщо довіряти їхній автоматизації або використовувати звичайні інструменти від Google, Facebook, Vimeo тощо. Але навіть у інших випадках завжди існує невідповідність, оскільки куки можуть потрапити в кінцевий пристрій багатьма шляхами (а саме про це йде мова в директиві щодо захисту особистих даних).

Причини ненадійності блокувальників файлів cookie

Я назиму п'ять підстав, які будуть об'єктивними та загальновизнаними. Для мене важливо, щоб ви зрозуміли це. П'ять підстав ґрунтуються на твердих, непідвладних спекуляціям фактах.

1. Блокувальник файлів cookie

Перший ґрунт, чому Cookie Blocker не можуть працювати з вірою в свої сили, є чисто технічної природи. Робота одного Consent Scripts, як вона запропонована багатьма виробниками через їх рекламні заяви, відбувається наступним чином:

1. Скрипт згоди інтегрований на кожній сторінці веб-сайту, тому він завантажується перед усіма іншими скриптами та файлами.
2. Скрипт згоди нібито розпізнає всі процеси, що вимагають згоди, і блокує їх до тих пір, поки користувач не дасть свою згоду

Практика виглядає інакше. Сучасні браузери завантажують декілька файлів майже одночасно. Це відбувається головним чином тоді, коли файли завантажуються з різних серверів. Коли на вебсторінці наприклад інтегруються Google Maps, Google Шрифти та скрипт інструменту згоди, відбувається щось подібне:

1. Починається процес завантаження сценарію згоди
2. Процес завантаження для скрипту Google Maps починається ([1])
3. Починається процес завантаження Google Fonts
4. У якийсь момент до або після пункту 2 або 3 сценарій згоди завершує завантаження. Тільки після цього сценарій згоди може спробувати скасувати наступні процеси завантаження. Це працює лише для процесів завантаження, які ще не розпочалися

Неможливо передбачити, чи завантажиться скрипт згоди достатньо швидко, щоб бути повністю завантаженим і готовим до роботи до того, як почнуть завантажуватися Карти Google або Шрифти Google. На практиці тисячі разів можна побачити, що бажане переривання процесів завантаження не працює.

Я навмисно включив у приклад шрифти Google, оскільки вони, ймовірно, самі не встановлюють жодних файлів cookie. Очевидно, що завантаженню шрифтів Google на веб-сайти не перешкоджають інструменти згоди. Причина цього пояснюється нижче.

2. Сканер файлів cookie

Як вже вказує назва Cookie Blocker або Cookie Consent, багато інструментів щодо згоди намагаються заблокувати файли cookie. Праця таких блокувальників відбувається наступним чином:

1. Сканер файлів cookie проходить через веб-сайт
2. Кожна сторінка, знайдена на сайті, перевіряється на наявність файлів cookie
3. Зазначено процеси завантаження, яким можуть бути призначені файли cookie
4. Якщо доступ до веб-сайту здійснюється пізніше, інтегрований сценарій згоди тепер намагається запобігти всім процесам завантаження, які раніше були розпізнані як пов'язані з файлами cookie, доки не буде надано згоду

Навіщо це не працює для Google Schriften і також ні для відео YouTube із розширеними налаштуваннями захисту даних. Останнє означає, що навіть немає жодних файлів cookie від YouTube. Як я вже показував у своєму окремому повідомленні, обробка даних YouTube є дуже складною, тому навіть лише вона створює обов'язок щодо згоди згідно з статті 5 ДЗНП. Крім того, можна ще згадати про передачу даних до небезпечних третіх країн. ([1])

Інша причина об'єктивно визнаної ненадійності Інструментів згоди має технічний характер.

Уявіть, що веб-сайт завантажує Google Maps. Припустимо, що скрипт карти не встановлює власні файли cookie, а завантажує файли з адреси google.com.

Нині Cookies Сканнер проходить через вебсайт, на якому розміщена карта. Для цього симулює він браузер. Цей браузер відповідає тому, який був відкритий вперше у своєму житті. У цьому браузері ще жодного разу не було запущено ніякі Cookies. Браузер молода дівчина. Сканнер виявляє ні одного Cookies.

У реальності все інше. Допустімо, ви відкриєте сторінку google.com. При цьому будуть встановлені файли cookie. Це фактично так (станом на 03.02.2021). Переконайтеся у цьому самостійно! Тепер відкрийте сторінку, яка включає Google Maps. Вона завантажує файли з google.com. При цьому будуть передані файли cookie, які збережені в вашому приставці, на адресу завантаження (google.com). Карта завантажує файли cookie. Сканер файлів cookie не зміг їх розпізнати!

Аби це було можливе, треба знати, що кожен користувач у світі потенційно зберігав інші файли cookie на своєму кінцевому пристрої (ПК, смартфоні, ноутбуці, таблетці). Неможливо їх усіх знати. Про Google Tag Manager часто пояснюється, що він є доменою без cookies. Це брехня. Ви можете знайти нижче посилання на статтю "Брехливі основи" від мене щодо доказу протилежного. На моїм кінцевому пристрої, ймовірно, зберігаються файли cookie для домену googletagmanager.com і вони передаються на кожній сторінці, яка використовує Tag Manager. Це обов'язковий процес згоди.

Додаткова інформація про файли cookie ви можете знайти в моїй статті "Основи". ([1])

3. Брак знань про світ

Припустимо, що попереднє питання було вирішено, тобто що сканер файлів cookie знав би всі файли cookie у світі за назвою та вмістом. Звісно, це не так, і ви погодитеся зі мною, не довго думаючи.

Нині треба було б, що Cookie Scanner знає призначення кожного окремого файлу cookie. Від куди воно береться? Нехай ми візьмемо приклад: ви пропонуєте підписку на новину. Крім вас ніхто не знає хто написав останню листівку. Тепер же отримувач листівки повинен пояснити, хто її написав. Відкрито, що це неможливо без вашої допомоги.

Те ж саме відбувається і з файлами cookie: якщо постачальник інструменту, який використовує певні файли cookie, нічого не повідомляє про цілі цих файлів, то третя сторона не може зробити заяву про цілі цих файлів cookie.

Стаття 13 ДЗП примушує пояснити мету від cookies. Для цього ніхто не здатний, окрім власника cookies. Для Google-інструментів часто можна встановити, що власник, тобто концерн Google, майже нічого або зовсім нічого не говорить про мету cookie Google.

Майже всі пояснення щодо сторонніх файлів cookie, які ви знайдете в політиках конфіденційності або у формах згоди, є вигаданими або припущеннями. Наприклад, Google пояснює, що таке NID-файл cookie:

Файл cookie NID містить унікальний ідентифікатор, який ми використовуємо для зберігання ваших налаштувань та іншої інформації, наприклад, бажаної мови, кількості результатів пошуку на сторінці (наприклад, 10 або 20) і того, чи потрібно активувати фільтр Google SafeSearch.

Джерело: https://policies.google.com/technologies/cookies?hl=de

Нід-Кукі_ використовується переважно для ідентифікації користувача. Наприклад, після входу на google.de, ви отримуєте індивідуальну ідентифікацію, щоб не підтверджувати умови захисту даних кожного разу знову. У згаданій раніше пояснені вказуються інші дані. Ця заява майже непідвладна розмітці і не відповідає вимогам статті 12 ДЗНП щодо прозорості та повноти інформації.

Для багатьох інших cookie Google не надає жодної інформації, проте такі дані можна знайти в інтернет-ресурсах третіх осіб. Увагу цього статті привертає такий вислів, який я міг знайти лише на сайті компанії Google. Згідно з цим висловом, але воно дуже незрозуміле і тому не має жодного значення.

Всі ті речі, що стосуються кукі, теж стосуються Діслів (інструментів). Куки створюються та керуються діслами і не виникають просто так. Для діслів також повинні бути пояснені їх мети. У цьому випадку лише розробник діслу знає точні дані обробки, місця збору даних та одержувачі даних.

Крім цілей додатково треба зробити заяви щодо файлів cookie. Для цього належить позначення провайдера. Чи знаєте ви, коли "Google" говорить про "Google", якщо "Google" згадує це в багатьох повідомленнях про захист даних та умовах використання "Google"? Будь ласка, розповідіть мені. Під цим записом знаходиться поле коментарів. Звичайно ж, відповідач вебсторінки повинен мати можливість надати цю інформацію щодо усіх використовуваних послуг.

4. Cookies як центральний мотив

Нікчим не обґрунтовані багато інструментів отримання згоди називають блокувальниками cookie або подібними. Cookies є лише однією з кількох підстав, чому необхідно отримувати згоду від користувача. Правова основа цього полягає в ePrivacy Рахунковій директиві, зокрема, у статті 5 абзаци 3 цієї директиви.

Інший чинник згоди — принцип Данімінізації. На практиці це означає: зв'язуйте вебсторінку Google Schriften так, щоб шрифти завантажувалися з сервера Google, тоді потребуватиметься згода. Насправді, шрифт міг би не використовуватися взагалі. Рішенням проблеми було б просто: збережіть шрифт місцево та завантажуйте його зі свого власного сервера. За моїми відомостями, з Google Концерном неможливо укладати чинний DPA (авторизований акт згоди), який міг би виправдувати включення зовнішніх Google Schriften без згоди.

Наче пластичніше це відбувається при завантаженні відео з YouTube:

• Значна кількість файлів завантажуються з доменів youtube-nocookie.com, ytimg.com та ggpht.com.
• Шрифти Google завантажуються з домену gstatic.com.
• Довідковий трекер DoubleClick завантажується з домену doubleclick.net.
• Youtube відправляє після завантаження сторінки дані на сервер Google.
• DoubleClick відсилає в різний час дані на сервер Google.

Всім доведеться визнати, що це передача даних, якої можна було б уникнути. Тому законний інтерес тут виключається.

Після вирішення ЄСПЛ щодо Privacy Shield, здається, розповсюдилася інформація про те, що передача даних у США та інші нестабільні треті країни навіть з допомогою стандартних умов договору або Corporate Binding Rules не може бути забезпечена.

Cookies-орієнтовані рішення щодо згоди, здається, часто запитують лише про згода на використання куків. Але користувач повинен погоджуватися на послугу. Google Analytics наприклад встановлює в багатьох конфігураціях три кукі. Ніщо не говорить про те, щоб запитувати згоду саме на ці три кукі. Правильніше було б запитати згоду на використання Google Analytics. У цьому випадку пояснюється, що він використовує три кукі. Подробиці можна вказувати пізніше.

У будь-якому випадку, ніде не ставиться питання про те, чи приймає користувач Google Analytics чи ні. Для цього інструменту мета не вказується в запиті на згоду. Тому інформована згода неможлива. Помилка центрування файлів cookie особливо очевидна у випадку вбудованих відео YouTube. Той, хто пояснює, що файли cookie встановлюються, коли інтегрується відповідний скрипт YouTube, не пояснює мету скрипта YouTube. Це можна дуже добре продемонструвати на прикладі того, що скрипт YouTube можна завантажити і без файлів cookie.

5. Відсутність підходу до захисту даних

Відомо багатьом, що поряд із запитанням щодо згоди також важлива розсилка даних особистих даних. Для багатьох також відоме SSL- сертифікат, особливо коли він часто міститься у тарифі web-хостингу. Забувати про перенаправлення при зверненні до вебсторінки без https на версію SSL деякі можуть.

Посилання на політику конфіденційності є не на кожній сторінці домашньої сторінки на значній кількості веб-сайтів, за моїми оцінками, це 75%.

Багато хто все ще вбудовує відео на YouTube таким чином, що в гру вступають файли cookie. Цього не повинно бути, тому що є просте рішення.

Всі ці та інші моменти не враховуються в Consent Tools, але є важливими з юридичних міркувань.

Додатково: 5+1: скасування часто неможливе

Технічні сторонні файли cookie – це файли cookie, які існують у домені постачальника інструментів, що не збігається з доменом відвідуваного веб-сайту. Оператор веб-сайту не має технічного контролю над доменом третьої сторони. Це означає, що файли cookie в цьому домені можуть бути видалені (скасовані відвідувачем веб-сайту!) лише в тому випадку, якщо постачальник інструменту пропонує для цього відповідний інтерфейс. Такого інтерфейсу часто не існує. Тому відкликання об'єктивно неможливе. Якщо, як виняток, постачальник інструменту пропонує інтерфейс відкликання, він має бути прямо викликаний контролером (оператором веб-сайту). На жаль, це трапляється настільки рідко в тих небагатьох можливих випадках, що навряд чи варто це обговорювати.

Наприклад: відеоплівник YouTube (якщо вірити, що без cookies з доменом youtube-nocookie.com). Плівник встановлює проти імені домену cookie назви CONSENT. Це cookie можна видалити тільки власником YouTube самим. На даний час мені відомо, що YouTube для цього не пропонує жодної інтерфейсної можливості. Тому відеоплівник YouTube не може бути використаний згідно законодавства, оскільки відмову згідно статті 7 розділу 3 ДЗНП неможливо здійснити. Що стосується того, що відеоплівник YouTube вимагає згоди користувача, то це підтверджує не тільки cookie, а й інші причини. ([1])

Результат

Як було оголошено на початку, я зміг показати і довести наступне:

• Неможливо надійно запобігти завантаженню інструментів, які потребують згоди
• Інструменти, які не використовують файли cookie, не можуть бути надійно розпізнані автоматичною системою. Жоден з відомих мені інструментів згоди не робить значних спроб у цьому напрямку, ймовірно, через побоювання заблокувати файл, який є функціонально важливим для веб-сайту
• У кожного з вас на кінцевому пристрої зберігаються різні файли cookie. Жоден з широко розповсюджених сканерів файлів cookie не може визначити, які саме це файлиСookie-файли не можуть бути надійно розпізнані, а отже, не можуть оброблятися в юридично безпечний спосіб
• Для більшості популярних інструментів цілі сервісів і файлів cookie не є юридично відомими
• Фокус на файлах cookie в запиті на згоду є неправильним
• Існує багато інших правил для веб-сайтів на додаток до питання згоди

Моя Рекомендація: Видаліть запитання щодо згоди, коли тільки можливо. Тут коротка допомога (докладніше описано в моїх інших публікаціях):

• Відмова від інструментів, які насправді не потрібні
• Замініть такі інструменти, як Google Maps та інші, на альтернативні
  • Google Maps: Кнопка "Прокласти маршрут"
  • Google Analytics: Matomo
  • Відео з YouTube або Vimeo: локальне відео або попередній перегляд зображення з переходом на відеоплатформу
  • Google reCAPTCHA: Інше рішення, наприклад, плагін WordPress для контактної форми 7

Також цікаво

• Контрольний список для спливаючих вікон файлів cookie
• Кукігеддон: Практичний тест популярних рішень щодо згоди
• Альтернатива для Google Tools
• Базові брехня: Cookies не є текстовими файлами
• Базові речі: Додаток Google Tag Manager використовує своїми власними файли cookie ([1])