הבסיס המשפטי

חובות הסכמה לעוגיות נובעות מ-GDPR (Regulation 2016/679) ומ-ePrivacy Directive (2002/58/EC). ה-ePrivacy Directive דורשת הסכמה לפני אחסון מידע במכשיר המשתמש (Article 5(3)), בעוד ש-GDPR מגדיר הסכמה תקפה (Article 4(11), Article 7, Recital 32).

14 הדרישות

1. הסכמה מוקדמת

עוגיות לא חיוניות אסור שייטענו לפני שהמשתמש מסכים. Article 5(3) של ePrivacy Directive מפורש. CNIL קנסה את Google ב-150 מיליון אירו (2022) על טעינת עוגיות לפני אינטראקציה של המשתמש.

2. הסכמה חופשית

הסכמה לא יכולה להיות תנאי לגישה (GDPR Article 4(11)). אין לאגד הסכמת עוגיות עם תנאי שימוש.

3. בחירת מטרות מפורטת

משתמשים חייבים להסכים לכל מטרה בנפרד — אנליטיקה, פרסום, פונקציונלי (GDPR Recital 43). כפתור "קבל הכל" יחיד ללא בחירת קטגוריות אינו מספיק.

4. בולטות שווה לקבלה ולדחייה

דחייה חייבת להיות גלויה כמו קבלה. CNIL דורשת כפתור "סרב הכל" בשכבה הראשונה עם משקל חזותי שווה. Microsoft נקנסה ב-60 מיליון אירו (2022) בין היתר על הסתרת אפשרות הדחייה.

5. ללא תיבות מסומנות מראש

פסק דין CJEU Planet49 (C-673/17, 2019): תיבות מסומנות מראש אינן הסכמה תקפה. כל הקטגוריות חייבות להיות כבויות כברירת מחדל.

6. ללא חומות עוגיות

חסימת גישה לאתר עד למתן הסכמה אינה עומדת בדרישות באופן כללי. ה-EDPB וה-DPA ההולנדי אישרו זאת.

7. שפה ברורה ופשוטה

GDPR Article 7(2) — בקשות הסכמה חייבות להשתמש בשפה ברורה ופשוטה. "אנחנו משתמשים בעוגיות כדי לשפר את החוויה שלך" אינו מספיק.

8. התאמת שפה

GDPR Article 12(1) — המידע חייב להיות מובן. הבאנר צריך להתאים לשפת האתר.

9. קישור למדיניות עוגיות

GDPR Articles 13-14 דורשים מידע מקיף. הבאנר חייב לכלול קישור למדיניות עוגיות מלאה המפרטת כל עוגיה.

10. משיכת הסכמה קלה

GDPR Article 7(3) — משיכת הסכמה חייבת להיות קלה כמו מתן הסכמה. ווידג'ט קבוע או קישור בתחתית העמוד חייבים לאפשר פתיחה מחדש של ממשק ההסכמה.

11. תיעוד הסכמות

GDPR Article 7(1) — עליך להוכיח שהתקבלה הסכמה. תעד חותמות זמן, בחירות וגרסאות באנר.

12. גילוי צדדים שלישיים

GDPR Article 13(1)(e) — גלה את כל מקבלי הנתונים מצד שלישי. תחת TCF 2.3, רשימת הספקים חייבת להיות נגישה מממשק ההסכמה.

13. שקיפות בשמירת נתונים

GDPR Article 13(2)(a) — גלה כמה זמן העוגיות נשמרות.

14. רספונסיביות למובייל

אין פטור GDPR למובייל. הכפתורים חייבים להיות ניתנים ללחיצה, הטקסט קריא והממשק פונקציונלי בכל גדלי המסך.

רשימת ביקורת מהירה

• עוגיות לא חיוניות לא נטענות לפני הסכמה
• קבלה ודחייה גלויות באופן שווה בשכבה הראשונה
• בחירת קטגוריות בודדת זמינה
• אין מתגים מסומנים מראש לקטגוריות לא חיוניות
• האתר נגיש גם אם המשתמש דוחה הכל
• שפת הבאנר תואמת לשפת התוכן
• נעשה שימוש בשפה ברורה ולא טכנית
• קישור למדיניות עוגיות מלאה גלוי בבאנר
• מדיניות העוגיות מפרטת כל עוגיה לפי שם, מטרה ומשך
• ווידג'ט קבוע מאפשר פתיחה מחדש של ממשק ההסכמה
• משיכת הסכמה דורשת אותו מספר לחיצות כמו מתן הסכמה
• רשומות הסכמה נשמרות עם חותמות זמן
• מקבלי צד שלישי מפורסמים
• הבאנר פונקציונלי במכשירים ניידים
• אין צבעים, גדלים או ניסוחים מניפולטיביים

הפוך את זה לאוטומטי: FlexyConsent מטפל בכל דרישה מהקופסה — CMP מאושר Google עם IAB TCF 2.3, Consent Mode V2, יותר מ-43 שפות, תוכניות מ-0 EUR/חודש. התחל ב-panel.flexyconsent.com.