מה ה-GDPR דורש מבאנר עוגיות

ה-GDPR והנחיית ePrivacy קובעים חמישה כללים בלתי ניתנים למשא ומתן להסכמה לעוגיות:

• ניתנת בחופשיות: דחיית עוגיות חייבת להיות קלה כמו קבלתן.
• ספציפית: יש לבקש הסכמה בנפרד לכל מטרה.
• מודעת: המשתמשים חייבים לדעת למה הם מסכימים לפני שהם מסכימים.
• חד-משמעית: תיבות מסומנות מראש והמשך גלישה אינם נחשבים.
• ניתנת לביטול: המשתמשים חייבים להיות מסוגלים לבטל את ההסכמה בכל עת.

דוגמה 1: באנר "קבל בלבד" (לא תואם)

איך זה נראה

סרגל קטן עם "אנחנו משתמשים בעוגיות כדי לשפר את החוויה שלך" וכפתור "אישור" אחד. ללא אפשרות דחייה, ללא הגדרות.

למה זה נכשל

אין בחירה אמיתית, אין מידע על עוגיות, אין דרך לסרב. CNIL קנסה את Google ב-150 מיליון EUR ואת Facebook ב-60 מיליון EUR ב-2022 בדיוק בגלל דפוס זה.

פסק דין: לא חוקי לפי GDPR.

דוגמה 2: קבל הכל + קישור קטן "נהל העדפות" (לא תואם)

איך זה נראה

כפתור בולט "קבל הכל" עם קישור אפור קטן "נהל העדפות". ללא כפתור "דחה הכל".

למה זה נכשל

ההיררכיה הוויזואלית דוחפת משתמשים לקבל. דחייה דורשת שני לחיצות בעוד קבלה דורשת אחת. מספר רשויות הגנת נתונים פסקו שזו אינה הסכמה שניתנת בחופשיות.

פסק דין: לא תואם. דחייה חייבת להיות נגישה כמו קבלה.

דוגמה 3: כפתורי קבלה ודחייה שווים (תואם)

איך זה נראה

שני כפתורים בגודל שווה: "קבל הכל" ו"דחה הכל". מתחתם, קישור "נהל העדפות". הסבר קצר על מטרות העוגיות.

למה זה עובד

בחירה חופשית אמיתית, שתי האפשרויות בולטות באותה מידה, לחיצה אחת לכל אחת. זהו הדפוס ש-CNIL המליצה עליו במפורש.

פסק דין: תואם. הבסיס שכל אתר צריך לעמוד בו.

דוגמה 4: קיר העוגיות (לא תואם)

איך זה נראה

שכבת-על במסך מלא שחוסמת את כל התוכן. האפשרות היחידה היא "קבל עוגיות".

למה זה נכשל

סעיף 7(4) ב-GDPR — הסכמה אינה ניתנת בחופשיות אם הגישה לשירות מותנית בה. רשות הגנת הנתונים ההולנדית הגיעה למסקנה שקירות עוגיות בדרך כלל אינם מותרים.

פסק דין: לא תואם ברוב תחומי השיפוט באיחוד האירופי.

דוגמה 5: תיבות סימון מסומנות מראש (לא תואם)

איך זה נראה

באנר מפורט המציג קטגוריות עוגיות עם תיבות סימון — אבל כולן מסומנות מראש.

למה זה נכשל

פסק דין Planet49 של בית הדין לצדק של האיחוד האירופי (2019) הכריע בכך סופית: תיבות מסומנות מראש אינן מהוות הסכמה תקפה. הסכמה דורשת פעולה חיובית ברורה.

פסק דין: לא חוקי במפורש לפי פסיקת בית הדין.

דוגמה 6: הגישה השכבתית (תואם — שיטה מומלצת)

איך זה נראה

שכבה ראשונה: באנר קומפקטי עם כפתורי קבל הכל, דחה הכל והתאם אישית. שכבה שנייה: מרכז העדפות מפורט עם מתגי קטגוריות בודדים ורשימת ספקים. שכבה שלישית: מדיניות עוגיות מלאה.

למה זה עובד

מאזן מידע עם שימושיות. השכבה הראשונה מספקת בחירה, השנייה פרטים, השלישית שקיפות מלאה. מומלץ במפורש על ידי ה-EDPB.

פסק דין: שיטה מומלצת. תקן הזהב לעמידה בתקנות.

דוגמה 7: תוויות כפתורים מטעות (לא תואם)

איך זה נראה

"אני מסכים" מול "אני לא מסכים לדחות עוגיות לא חיוניות". או: "קבל הגדרות מומלצות" מול "השתמש בגרסה מוגבלת".

למה זה נכשל

מבוא 42 של ה-GDPR דורש שפה ברורה ופשוטה. שלילות כפולות, השלכות מרומזות ותוויות מניפולטיביות אינן תואמות.

פסק דין: לא תואם. השתמשו בתוויות ברורות וניטרליות.

דוגמה 8: הבאנר התואם שנעשה נכון

איך זה נראה

סרגל תחתון נקי עם: כותרת ברורה, הסבר קצר, שלושה כפתורים בסגנון אחיד (קבל הכל, דחה הכל, נהל העדפות) וקישור למדיניות העוגיות. נהל העדפות פותח מרכז העדפות עם מתגים בודדים, רשימת ספקים וכפתור שמירה.

למה זה עובד

עומד בכל הדרישות: בחירה חופשית, כפתורים סימטריים, מידע שכבתי, שפה פשוטה, ללא תיבות מסומנות מראש, ביטול קל באמצעות אייקון הגדרות עוגיות.

פסק דין: תואם לחלוטין.

קנסות אמיתיים על באנרים גרועים

• Google (צרפת, 2022): 150 מיליון EUR — אפשרות הדחייה הייתה קשה יותר למצוא מאשר הקבלה.
• Facebook (צרפת, 2022): 60 מיליון EUR — אותה בעיית אסימטריה.
• Microsoft (צרפת, 2022): 60 מיליון EUR — עוגיות פרסום הוגדרו ללא הסכמה תקפה.
• TikTok (צרפת, 2023): 5 מיליון EUR — דחיית עוגיות דרשה יותר צעדים מאשר קבלה.

רשימת בדיקת עמידה בתקנות

• האם יש כפתור "דחה הכל" גלוי בשכבה הראשונה?
• האם קבלה ודחייה בולטות באותה מידה?
• האם כל תיבות הסימון לא מסומנות כברירת מחדל?
• האם הבאנר מוצג לפני שעוגיות לא חיוניות מוגדרות?
• האם משתמשים יכולים לגשת לבקרות מפורטות לפי קטגוריה?
• האם ההסכמה נרשמת עם חותמת זמן?
• האם משתמשים יכולים לשנות את ההסכמה בכל עת?
• האם הבאנר בשפת המשתמש?
• האם לחיצה על דחייה אכן מונעת עוגיות לא חיוניות?

איך FlexyConsent מטפל בזה מהקופסה

FlexyConsent הוא CMP מאושר על ידי Google עם תמיכה ב-IAB TCF 2.3. הוא עונה על כל דרישות העמידה בתקנות:

• כפתורי קבלה ודחייה שווים בשכבה הראשונה
• גישה שכבתית מובנית (שכבה ראשונה לבחירה, שנייה לבקרות מפורטות)
• ללא תיבות מסומנות מראש — כל הקטגוריות האופציונליות לא מסומנות כברירת מחדל
• Google Consent Mode V2 משולב מהקופסה
• 43 שפות עם זיהוי אוטומטי
• מיקוד גיאוגרפי לבאנרים ספציפיים לאזור
• רישום הסכמה והוכחות לביקורות
• תוכניות מ-0 EUR/חודש

הגדירו באנר תואם בפחות מחמש דקות ב-panel.flexyconsent.com.