Pixelii de publicitate și consimțământul

Ce este un pixel

Ghidul 2/2023 al EDPB (versiunea 2.0, adoptată la 7 octombrie 2024) descrie pixelul de urmărire ca pe o legătură către o resursă, de obicei un fișier imagine, inclusă într-un site sau într-un e-mail. De regulă, pixelul nu are legătură cu conținutul cerut de vizitator: rolul lui este să stabilească automat o comunicare cu serverul care îl găzduiește, comunicare ce altfel nu ar fi avut loc. Pixelul poate conține și identificatori sau date despre activitatea vizitatorului pe site, iar acestea pot fi generate dinamic, printr-un cod executat în browser.

Ghidul 8/2020 privind publicitatea direcționată către utilizatorii rețelelor sociale (adoptat la 13 aprilie 2021) descrie mecanismul din perspectiva publicității.

Vizitatorul deschide paginaSite-ul conține fragmentul de cod al pixelului.
Browserul face cerereaBrowserul trimite automat o cerere către serverul furnizorului.
Furnizorul poate observa sesiuneaDatele observate pot servi, de exemplu, la includerea vizitatorului într-un public țintă.

Schemă simplificată, după nota de subsol 69 din Ghidul 8/2020 al EDPB.

De ce intră sub regulile privind cookie-urile

Articolul 5(3) din Directiva ePrivacy, transpus în România prin articolul 4 alineatul (5) din Legea nr. 506/2004, nu se aplică numai cookie-urilor. Potrivit Ghidului 2/2023, el acoperă și tehnologiile similare, iar pixelii sunt tratați explicit:

Stocarea: transmiterea pixelului către dispozitivul vizitatorului constituie stocare, cel puțin prin mecanismul de cache al software-ului folosit, chiar dacă nu este permanentă.
Accesul: pixelul instruiește dispozitivul să trimită înapoi un identificator. La pixelii generați dinamic, instrucțiunea este chiar codul distribuit, de obicei JavaScript. Colectarea identificatorilor poate fi considerată astfel „obținere a accesului”.

Prin hotărârea din 1 octombrie 2019 în cauza Planet49 (C-673/17), CJUE a stabilit, în privința cookie-urilor, că o casetă bifată implicit nu constituie un consimțământ valid, indiferent dacă informațiile stocate sunt sau nu date cu caracter personal. Potrivit aceleiași hotărâri, informarea trebuie să includă durata de funcționare a cookie-urilor și faptul că terții pot sau nu să aibă acces la ele.

Încadrarea sub articolul 5(3) nu încheie analiza. Ghidul 2/2023 nu tratează excepțiile și precizează că, în fiecare situație, trebuie evaluat dacă este necesar consimțământul sau dacă se aplică o excepție. Pentru publicitatea direcționată prin pixelul unei rețele sociale, Ghidul 8/2020 merge mai departe: EDPB consideră că interesul legitim nu poate fi un temei adecvat, deoarece direcționarea se bazează pe monitorizarea comportamentului persoanelor pe site-uri diferite, prin tehnologii de urmărire. Temeiul adecvat pentru prelucrarea ulterioară este, potrivit aceluiași ghid, probabil consimțământul persoanei.

Cum se împarte răspunderea

În cauza Fashion ID (C-40/17, hotărârea din 29 iulie 2019), un comerciant online german de îmbrăcăminte integrase în site butonul „Like” al Facebook. Potrivit comunicatului Curții, datele vizitatorilor păreau să fie transmise către Facebook la simpla accesare a paginii, fără ca vizitatorul să știe, indiferent dacă avea cont sau dacă apăsa butonul. Curtea a arătat că:

Colectarea și transmiterea: proprietarul site-ului poate fi considerat operator asociat împreună cu Facebook pentru aceste operațiuni.
Prelucrarea ulterioară: în principiu, proprietarul site-ului nu este operator pentru prelucrările efectuate ulterior numai de Facebook.
Informarea și consimțământul: proprietarul site-ului trebuie să furnizeze, în momentul colectării, informații precum identitatea sa și scopurile prelucrării. Când prelucrarea se bazează pe consimțământ, acesta trebuie obținut în prealabil pentru operațiunile la care proprietarul este operator asociat, adică pentru colectarea și transmiterea datelor.

Cauza a privit un buton social și a fost judecată în temeiul Directivei 95/46/CE, înlocuită între timp de GDPR. Ghidul 8/2020 privește rețelele sociale și tratează direct cazul pixelilor oferiți de acestea. Exemplul din ghid este un site de rucsaci care integrează pixelul unei rețele sociale pentru a afișa publicitate celor care l-au vizitat fără să cumpere. EDPB arată că, fără integrarea pixelului, colectarea și transmiterea datelor nu ar fi avut loc, și concluzionează că site-ul și rețeaua socială sunt operatori asociați pentru colectarea și transmiterea datelor prin pixel, pentru corelarea și afișarea publicității, precum și pentru raportarea campaniei. Ghidul adaugă că site-ul răspunde și pentru respectarea cerințelor din Directiva ePrivacy privind acest instrument.

Potrivit aceluiași ghid, cine colectează consimțământul depinde de cine intră primul în contact cu persoana vizată, iar operatorii asociați ar trebui să convină asupra modului în care consimțământul este colectat în practică. Termenii acordului dintre ei nu obligă însă autoritățile de supraveghere, care își pot exercita competențele față de oricare dintre operatorii asociați aflați sub competența lor.

Ce cer Meta și Google

Condițiile furnizorilor de publicitate conțin obligații proprii pentru proprietarii de site-uri.

Meta: condițiile pentru instrumentele de business cer o notificare clară și vizibilă pe fiecare pagină pe care sunt folosiți pixelii Meta. Acolo unde legea cere consimțământ pentru stocarea și accesarea cookie-urilor, inclusiv în Uniunea Europeană, proprietarul site-ului trebuie să se asigure, „într-un mod ce se poate verifica”, că vizitatorul și-a dat consimțământul necesar înainte de folosirea instrumentelor Meta în acest scop.
Google: politica privind consimțământul utilizatorilor din UE se aplică vizitatorilor din Spațiul Economic European, Regatul Unit și Elveția. Proprietarul site-ului trebuie să obțină un consimțământ valabil din punct de vedere legal pentru cookie-uri, acolo unde legea îl cere, și pentru colectarea, partajarea și utilizarea datelor personale în scopul personalizării publicității. El trebuie, de asemenea, să păstreze evidențe ale consimțământului, să ofere instrucțiuni clare de retragere și să identifice fiecare parte care poate colecta, primi sau utiliza datele.

Modul în care alegerea vizitatorului ajunge la etichetele Google este explicat în articolul despre Consent Mode v2 pe Shopify.

Cum se documentează consimțământul

Articolul 7(1) din GDPR pune sarcina probei asupra operatorului. Ghidul 05/2020 al EDPB precizează că regulamentul nu stabilește o metodă anume, dar că operatorul trebuie să poată dovedi, în fiecare caz, că persoana a consimțit, fără a colecta mai multe date decât este necesar.

În mediul online, ghidul indică, ca exemplu, păstrarea informațiilor despre sesiunea în care a fost exprimat consimțământul, a documentației privind fluxul de consimțământ din acel moment și a unei copii a informațiilor prezentate persoanei. Simpla trimitere la configurarea corectă a site-ului nu este suficientă.

Potrivit ghidului, obligația durează cât timp se desfășoară prelucrarea. După încheierea ei, dovada se păstrează numai cât este strict necesar pentru o obligație legală sau pentru constatarea, exercitarea ori apărarea unui drept în instanță. Ghidul arată și că GDPR nu stabilește o durată de valabilitate a consimțământului; aceasta depinde de context, de sfera consimțământului inițial și de așteptările persoanei. Dacă prelucrările se schimbă considerabil, este necesar un nou consimțământ, iar EDPB recomandă, ca bună practică, reînnoirea consimțământului la intervale adecvate.

Configurarea pe Shopify

Documentația Shopify descrie cum se raportează pixelii la consimțământ:

Permisiunile: în piețele configurate să ceară consimțământ, de obicei Spațiul Economic European și Regatul Unit, pixelii web rulează numai după ce vizitatorii au acordat permisiunile cerute în configurarea pixelului. Implicit, pixelii noi cer permisiunile Marketing și Analytics.
Aplicațiile de banner: un instrument terț trebuie să sincronizeze consimțământul cu Shopify prin Customer Privacy API. Fără această sincronizare, pixelii din aplicații s-ar putea să nu pornească nici după ce vizitatorul și-a dat consimțământul.
Regiunile: regiunile de consimțământ din setările Customer privacy trebuie să coincidă cu cele din aplicația terță. Dacă diferă, date neesențiale pot fi prelucrate înainte ca vizitatorul să își dea consimțământul.
Codul din temă: la adăugarea unui pixel personalizat, codul de pixel existent trebuie eliminat manual din locuri precum theme.liquid. Separat, Shopify avertizează că folosirea fragmentelor de cod pentru a ocoli cerințele de consimțământ încalcă Termenii de utilizare și poate atrage răspunderea juridică a comerciantului.
Răspunderea: Shopify precizează că respectarea legii și obținerea consimțămintelor necesare revin comerciantului.

Întrebări de control pentru magazin

Pe baza documentelor de mai sus, configurarea pixelilor poate fi verificată cu următoarele întrebări. Lista este un instrument de lucru, nu o garanție de conformitate, și nu înlocuiește consultanța juridică.

Inventarul: știți ce pixeli și etichete sunt active, inclusiv cele adăugate direct în codul temei?
Momentul: pixelii de publicitate pornesc abia după alegerea vizitatorului?
Informarea: vizitatorul află cine primește datele, în ce scop, cât durează cookie-urile și dacă terții au acces la ele?
Regiunile: regiunile de consimțământ din Shopify coincid cu cele din aplicația de banner?
Retragerea: vizitatorul are instrucțiuni clare pentru retragerea consimțământului?
Dovada: puteți arăta cum și când a fost obținut consimțământul și ce informații au fost prezentate?

Despre Consentia

Consentia este o aplicație de consimțământ pentru cookie-uri destinată magazinelor Shopify. Informații suplimentare găsiți pe pagina Funcții. Un site poate fi verificat și cu scanerul gratuit de cookie-uri.

Articole conexe

Surse: EDPB, Ghidul 2/2023, versiunea 2.0 · EDPB, Ghidul 8/2020 · EDPB, Ghidul 05/2020, versiunea 1.1 · CJUE, comunicatul nr. 125/19 (Planet49) · CJUE, comunicatul nr. 99/19 (Fashion ID) · Meta, condițiile pentru instrumentele de business · Google, politica privind consimțământul utilizatorilor din UE · ANSPDCP, Legea nr. 506/2004 · Shopify Help Center: pixeli, pixeli din aplicații, pixeli personalizați, setări de confidențialitate. Fotografie: Unsplash.

Pixelii de publicitate și consimțământul: ce răspundere are proprietarul magazinului