Har du brug for cookie-samtykke til et CDN? Myter om privatlivets fred, ødelagte

Næsten al forvirring om CDN'er og privatlivets fred kommer fra at kollapse to separate spørgsmål til et. "Har denne sæt cookies jeg har brug for samtykke til?" og "gør denne proces personlige data?" har forskellige svar, sidder under forskellige love, og kræver forskellige ting af dig.

Samtykke til cookies stammer fra ePrivacy-direktivet, som regulerer lagring og læsning af oplysninger på en anden persons enhed. Behandling af personoplysninger kommer fra GDPR, som styrer, hvad du gør med selve dataene. En ting kan kræve det andet uden at kræve det første - hvilket er præcis tilfældet for en CDN, og det er derfor, så mange mennesker kommer til det forkerte svar trygt.

Myte 1: "Anvendelse af et CDN betyder, at jeg har brug for et cookiebanner"

Falsk. Samtykkebannere findes til opbevaring eller læsning af oplysninger på en besøgendes enhed til ikke-væsentlige formål - analyse, reklame, profilering. Et CDN, der leverer dine egne billeder, stylesheets og sider, behøver ikke at gemme noget på enheden for at udføre dette arbejde.

De cookies, der udløser bannere, kommer fra dine analyse- og markedsføringsværktøjer, og de vil udløse dem, uanset om der fandtes et CDN eller ej. Hvis det eneste, der er ændret, er, hvor dine egne filer serveres fra, er dine bannerforpligtelser uændrede.

Myte 2: "En CDN sporer mine brugere"

Falsk, for et indholds-CDN. At levere indhold kræver behandling af tekniske data - hovedsagelig IP-adressen, fordi du ikke kan rute et svar uden at vide, hvor du skal sende det - men det er en kategorisk anderledes aktivitet end at opbygge en adfærdsprofil på tværs af websteder.

Det rimelige spørgsmål er ikke, om et CDN ser en IP-adresse, da alt, hvad der tjener dig, nødvendigvis gør det. Det er, hvad der sker med det bagefter: hvor længe logfiler opbevares, om adresser afkortes eller hashes, og om udbyderens forretningsmodel giver det nogen grund til at være interesseret i dine besøgende.

Myte 3: Sikkerhedscookies kræver også samtykke

Falsk. Cookies, der er strengt nødvendige for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om, er undtaget fra samtykke. En cookie, der husker, at en besøgende har bestået en bot-udfordring, så de ikke bliver udfordret gentagne gange, falder helt inden for denne undtagelse - det eksisterer udelukkende for at levere den side, de bad om.

Undtagelsen er dog snævrere, end folk ønsker. Det dækker, hvad der er strengt nødvendigt, ikke hvad der er praktisk. En sikkerhedscookie, der også indeholder analyseidentifikatorer, er ikke kvalificeret, og det er ikke nødvendigt at kalde noget "væsentligt".

Myte 4: “Det er en overtrædelse af GDPR at bruge et CDN”

Falsk som nævnt. Brug af en processor er helt almindeligt og udtrykkeligt overvejet af GDPR; det er, hvad artikel 28 er for. Det afgørende er, om du har papirarbejdet, og om personoplysninger ender et sted, hvor de ikke bør.

Det, du rent faktisk har brug for, er en databehandlingsaftale med udbyderen, en omtale i din privatlivspolitik og enten en gyldig overførselsmekanisme eller et arrangement, hvor europæisk trafik ikke forlader EØS. Det er en tjekliste, ikke et forbud.

Myte 5: "Det er fint, vi anonymiserer IP'erne"

Pas på. Afkortning eller hashing af IP-adresser i logfiler er virkelig umagen værd og reducerer din eksponering meningsfuldt - men det gør ikke behandlingen med tilbagevirkende kraft ikke er sket. Kantserveren havde den fulde adresse, da den besvarede anmodningen, fordi den ikke kunne have besvaret den på anden måde.

Anonymisering er dataminimering, hvilket er en forpligtelse, du har og bør opfylde. Det er ikke en undtagelse fra at have et lovligt grundlag og en DPA.

Myte 6: At tjene aktiver fra en tredjepart er juridisk risikabelt

Denne er ikke en myte, og det er værd at forstå præcist, fordi det ofte anvendes forkert.

En tysk domstol fandt i 2022, at et websted, der integrerer Google Fonts fra Googles servere, ulovligt havde overført besøgendes IP-adresser og tildelt skader. Denne afgørelse forårsagede en bølge af websteder, der selv var vært for deres skrifttyper, og en bølge af spekulative klagebreve.

Begrundelsen betyder mere end overskriften. Problemet var ikke, at en skrifttype blev indlæst fra en anden server. Det var, at besøgendes IP-adresser blev videregivet til en tredjepart i en anden jurisdiktion, uden samtykke og ingen nødvendighed, når webstedet trivielt kunne have tjent selve filen. Overførslen var undgåelig og unødvendig - det var problemet.

Det samme ræsonnement omfatter derfor ikke direkte et CDN, som du har engageret som din databehandler under en DPA, der betjener dit eget indhold, fra infrastrukturen inden for EØS. Forskellen er mellem at videregive data til en uafhængig tredjepart til deres egne formål og instruere en processor til at handle på dine vegne i henhold til kontrakten. At integrere et offentligt aktiv fra en andens produkt er det første. Brug af en CDN er den anden.

Hvad du rent faktisk har brug for

Hold de to spørgsmål adskilt, og det meste af forvirringen løser sig selv. Samtykke handler om, hvad du lægger på en andens enhed. GDPR handler om, hvad du gør med dine data. En CDN, der leverer dit eget indhold, rejser det andet og ikke det første - og det andet besvares med en kontrakt og et afsnit, ikke en pop-up.