Har du brug for cookie-samtykke til et CDN?

Næsten al forvirring om CDN'er og privatlivets fred kommer fra at kollapse to separate spørgsmål til et. "Har denne sæt cookies jeg har brug for samtykke til?" og "gør denne proces personlige data?" har forskellige svar, sidder under forskellige love, og kræver forskellige ting af dig.

Samtykke til cookies kommer fra ePrivacy-direktivet, som regulerer lagring eller læsning af oplysninger på en andens enhed. Behandling af personoplysninger kommer fra GDPR, som styrer, hvad du gør med selve dataene. En ting kan kræve det andet uden at kræve det første - hvilket er præcis tilfældet for en CDN, og det er derfor, så mange mennesker kommer til det forkerte svar trygt.

Myte 1: "Brug af et CDN betyder, at jeg har brug for en cookie banner"

Falsk. Samtykkebannere eksisterer til at gemme eller læse oplysninger på en besøgendes enhed til ikke-væsentlige formål - analyse, reklame, profilering. Et CDN, der leverer dine egne billeder, stylesheets og sider, behøver ikke at gemme noget på enheden for at gøre det job.

De cookies, der udløser bannere, kommer fra dine analyse- og marketingværktøjer, og de vil udløse dem, uanset om der eksisterede et CDN eller ej. Hvis det eneste, der er ændret, er, hvor dine egne filer serveres fra, dine banner forpligtelser er uændret.

Myte 2: "En CDN sporer mine brugere"

Falsk, for et indhold CDN. Levering af indhold kræver behandling af tekniske data - hovedsagelig IP-adressen, fordi du ikke kan rute et svar uden at vide, hvor du skal sende det - men det er en kategorisk anderledes aktivitet end at opbygge en adfærdsprofil på tværs af websteder.

Det rimelige spørgsmål er ikke, om en CDN ser en IP-adresse, da noget tjener dig en webside nødvendigvis gør. Det er, hvad der sker med det bagefter: hvor længe logfiler opbevares, om adresser afkortes eller hashes, og om udbyderens forretningsmodel giver det nogen grund til at være interesseret i dine besøgende.

Myte 3: “Sikkerhedscookies kræver også samtykke”

Falsk. Cookies, der er strengt nødvendige for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om, er undtaget fra samtykke. En cookie, der husker, at en besøgende har bestået en bot-udfordring, så de ikke bliver udfordret gentagne gange, falder lige inden for denne undtagelse - det eksisterer udelukkende for at levere den side, de bad om.

Undtagelsen er dog snævrere, end folk ønsker. Det dækker, hvad der er strengt nødvendigt, ikke hvad der er bekvemt. En sikkerhedscookie, der også indeholdt analyseidentifikatorer, ville ikke kvalificere sig, og at kalde noget "væsentligt" gør det ikke sådan.

Myte 4: "Brug af et CDN er en overtrædelse af GDPR"

Falsk som nævnt. Brug af en processor er helt almindelig og udtrykkeligt overvejet af GDPR; det er, hvad artikel 28 er til. Det afgørende er, om du har papirarbejdet, og om personoplysninger ender et sted, det ikke skal.

Det, du rent faktisk har brug for, er en databehandlingsaftale med udbyderen, en omtale i din privatlivspolitik og enten en gyldig overførselsmekanisme eller et arrangement, hvor europæisk trafik ikke forlader EØS. Det er en tjekliste, ikke et forbud.

Myte 5: "Det er fint, vi anonymiserer IP'erne"

Pas på. Afkortning eller hashing af IP-adresser i logfiler er virkelig umagen værd og reducerer din eksponering meningsfuldt - men det gør ikke behandlingen med tilbagevirkende kraft ikke er sket. Kantserveren havde den fulde adresse i det øjeblik, den besvarede anmodningen, fordi den ikke kunne have besvaret ellers.

Anonymisering er dataminimering, hvilket er en forpligtelse, du har og bør opfylde. Det er ikke en undtagelse fra at have et lovligt grundlag og en DPA.

Myte 6: "At tjene aktiver fra en tredjepart er lovligt risikabelt"

Denne er ikke en myte, og det er værd at forstå præcist, fordi det ofte fejlanvendes.

En tysk domstol fandt i 2022, at et websted, der integrerede Google Fonts fra Googles servere, ulovligt havde overført besøgendes IP-adresser og tildelt skader. Denne afgørelse forårsagede en bølge af websteder selvhosting deres skrifttyper og en bølge af spekulative klagebreve.

Begrundelsen betyder mere end overskriften. Problemet var ikke, at en skrifttype blev indlæst fra en anden server. Det var, at besøgendes IP-adresser blev videregivet til en tredjepart i en anden jurisdiktion, uden samtykke og ingen nødvendighed, når webstedet trivielt kunne have tjent selve filen. Overførslen var undgåelig og unødvendig - det var problemet.

Det samme ræsonnement omfatter derfor ikke direkte et CDN, som du har engageret som din databehandler under en DPA, der betjener dit eget indhold, fra infrastrukturen inden for EØS. Forskellen er mellem at videregive data til en uafhængig tredjepart til deres egne formål og instruere en processor til at handle på dine vegne i henhold til kontrakten. Indlejring af et offentligt aktiv fra en andens produkt er den første. Ved hjælp af en CDN er den anden.

Hvad du faktisk har brug for

Hold de to spørgsmål adskilt, og det meste af forvirringen løser sig selv. Samtykke handler om, hvad du lægger på en andens enhed. GDPR handler om, hvad du gør med dine data. En CDN, der leverer dit eget indhold, hæver den anden og ikke den første - og den anden besvares med en kontrakt og et afsnit, ikke en pop-up.