Küpsiste tüübid: esimese ja kolmanda osapoole, seansi- ja püsiküpsised

Küpsiseid liigitatakse tavaliselt kolmel viisil: selle järgi, kes need seab (esimene või kolmas osapool), kui kaua need kehtivad (seansi- või püsiküpsis) ja milleks need on (rangelt vajalikud, eelistuste, analüütika- või turundusküpsised). Kaks esimest kirjeldavad tehnilist käitumist. Kolmas on privaatsusõiguse seisukohast kõige olulisem, sest just küpsise eesmärk otsustab, kas vajad enne selle seadmist nõusolekut.

Mis on küpsis tehniliselt?

Küpsis on väike tekstijupp, mille veebisait palub brauseril salvestada ja samale saidile tehtavate hilisemate päringutega tagasi saata. Serverid seavad küpsiseid HTTP-päisega Set-Cookie ning lehel olevad skriptid saavad neid seada document.cookie kaudu.

Igal küpsisel on nimi, väärtus ja atribuudid, mis määravad, kus ja kui kaua see elab:

Set-Cookie: session_id=8f2c1e; Path=/; Secure; HttpOnly; SameSite=Lax
Set-Cookie: lang=en; Max-Age=31536000; Path=/; Secure; SameSite=Lax

Domain ja Path määravad, millised päringud küpsist kaasas kannavad. Expires või Max-Age määrab selle eluea. Secure piirab selle HTTPS-iga, HttpOnly peidab selle JavaScripti eest ja SameSite määrab, kas seda saadetakse saitideüleste päringutega.

Mis vahe on esimese ja kolmanda osapoole küpsistel?

Esimese osapoole küpsis seatakse brauseri aadressiribal näidatud domeenile. Kolmanda osapoole küpsis seatakse mõnele teisele domeenile, tavaliselt lehele manustatud sisu poolt, näiteks reklaami, videopleieri või sotsiaalmeedia vidina kaudu.

Kui külastaja on saidil shop.example ja manustatud reklaam domeenilt ads.example-network.com seab küpsise, on see kolmanda osapoole küpsis. Kuna sama reklaamivõrgustik on manustatud paljudele saitidele, suudab selle küpsis tuvastada sama brauseri kõigil neil saitidel. Just see saitideülene tuvastamine tegi kolmanda osapoole küpsistest käitumuslikul sihtimisel põhineva reklaami selgroo.

Praktikas on olulised kaks nüanssi:

• Esimene osapool ei tähenda, et andmed jäävad sinu kätte. Paljud analüütika- ja reklaamiskriptid töötavad sinu lehel ja kirjutavad küpsiseid sinu enda domeenile. Tehniliselt on need esimese osapoole küpsised, kuid nendes hoitavad identifikaatorid saadetakse ikkagi teenusepakkujale.
• Brauserite tugi muutub. Safari ja Firefox piiravad kolmanda osapoole küpsiseid vaikimisi ning Chrome’i plaanid on mitu korda muutunud. Kontrolli hetkeseisu, enne kui ehitad midagi, mis neist sõltub.

Mis vahe on seansi- ja püsiküpsistel?

Seansiküpsisel puudub atribuut Expires või Max-Age, seega kustutab brauser selle seansi lõppedes. Püsiküpsisel on selgesõnaline aegumisaeg ja see säilib ka pärast brauseri taaskäivitamist kuni selle kuupäevani või seni, kuni kasutaja selle kustutab.

Seda, millal seanss lõpeb, otsustab brauser, mitte sinu sait. Mõned brauserid taastavad seansiküpsised, kui nad avavad uuesti varasemad vahelehed, seega võib seansiküpsis elada kauem, kui eeldad. Mõned brauserid lühendavad ka teatud JavaScriptiga seatud küpsiste eluiga, sõltumata sellest, millise aegumisaja sa määrad.

Eluiga on oluline ka nõuetele vastavuse seisukohast. Järelevalveasutused eeldavad, et küpsiste kehtivusaeg on eesmärgiga proportsionaalne, ja sinu küpsisepoliitika peaks märkima, kui kaua iga küpsis kehtib.

Millised on küpsiste kategooriad eesmärgi järgi?

Enamik nõusolekubännereid jagab küpsised nelja eesmärgipõhisesse kategooriasse. Nimetused erinevad, kuid loogika on sama:

• Rangelt vajalikud: vajalikud kasutaja selgesõnaliselt soovitud teenuse osutamiseks, näiteks sisselogituks jäämiseks, ostukorvi hoidmiseks või nõusolekuvaliku meelespidamiseks. Testi leiad artiklist mis loetakse rangelt vajalikuks küpsiseks.
• Eelistuste (ehk funktsionaalsed) küpsised: jätavad meelde valikud, mis kasutuskogemust parandavad, näiteks keele, piirkonna või kuvaseaded.
• Analüütikaküpsised (ehk statistikaküpsised): mõõdavad, kuidas külastajad saiti kasutavad, näiteks lehevaatamisi, liiklusallikaid ja konversiooniteekondi.
• Turundusküpsised (ehk reklaamiküpsised): loovad profiile, mõõdavad reklaamide tulemuslikkust, sihivad külastajaid uuesti või jagavad andmeid reklaamiplatvormidega.

Kuidas eri tüüpi küpsised omavahel võrdluses välja näevad?

Igal küpsisel on korraga osapool, eluiga ja eesmärk, näiteks esimese osapoole püsiv analüütikaküpsis. See tabel näitab, kuidas iga tüüp on EL-i reeglite järgi nõusolekuga seotud.

Tüüp	Liigitamise alus	Tüüpiline näide	Kas EL-i reeglite järgi on nõusolek vajalik?
Esimene osapool	Seadev domeen	Sisselogimisseanss sinu enda domeenil	Sõltub eesmärgist
Kolmas osapool	Seadev domeen	Manustatud reklaami reklaamivõrgustiku küpsis	Sõltub eesmärgist; praktikas tavaliselt jah
Seansiküpsis	Eluiga	Ostukorv, mis tühjeneb brauseri sulgemisel	Sõltub eesmärgist
Püsiküpsis	Eluiga	Aastaks meelde jäetud keele-eelistus	Sõltub eesmärgist
Rangelt vajalik	Eesmärk	Autentimine, koormuse jaotamine, nõusolekukirje	Ei, vabastatud
Eelistused	Eesmärk	Meelde jäetud keel või teema	Tavaliselt jah; kitsad erandid kasutaja aktiivselt valitud seadete puhul
Analüütika	Eesmärk	Külastajate ja lehevaatamiste mõõtmine	Üldjuhul jah; mõni riiklik järelevalveasutus lubab kitsaid erandeid
Turundus	Eesmärk	Uuesti sihtimise ja reklaamikonversioonide küpsised	Jah

Tehnilised tüübid ei vasta nõusoleku küsimusele kunagi iseseisvalt. Sellele vastab ainult eesmärk.

Kas privaatsusõigust huvitab küpsise tüüp või eesmärk?

Eesmärk. E-privaatsuse direktiivi artikli 5 lõige 3 kehtib igasuguse teabe salvestamisele kasutaja seadmesse või sellele juurdepääsule ning selle erandid on määratletud eesmärgi kaudu. Kui salvestamine ei ole rangelt vajalik kasutaja soovitud teenuse jaoks või seda ei kasutata üksnes side edastamiseks, vajad eelnevat nõusolekut.

Sellest tuleneb kolm järeldust:

1. Reeglid on tehnoloogianeutraalsed. localStorage, sessionStorage, IndexedDB, jälgimispikslid ja seadme sõrmejälje tuvastamine on hõlmatud samamoodi nagu küpsised. Kuidas need kaks EL-i õigusakti omavahel toimivad, loe artiklist e-privaatsuse direktiiv vs. IKÜM.
2. Kui andmed on isikuandmed, kehtib lisaks isikuandmete kaitse üldmäärus (IKÜM, GDPR). IKÜM nimetab küpsiste identifikaatoreid nende võrguidentifikaatorite hulgas, mille abil saab inimest tuvastada, seega on enamik jälgimisküpsiseid seotud isikuandmetega.
3. USA seadused kasutavad teistsugust mudelit. CCPA ja CPRA järgi võivad reklaamiküpsised tähendada isikuandmete „müümist“ või „jagamist“. Aktiivse nõusoleku kogumise asemel pead pakkuma loobumisvõimalust ja austama Global Privacy Controli signaale.

Kuidas teada saada, milliseid küpsiseid minu sait kasutab?

Alusta brauseri arendajatööriistadest, mis näitavad küpsiseid ja muud salvestatud teavet iga domeeni kohta, millega leht suhtleb. See annab kiire ülevaate, kuid jätab kahe silma vahele küpsised, mis ilmuvad ainult teatud lehtedel, pärast sisselogimist või pärast seda, kui külastaja on nõusoleku andnud.

Usaldusväärsem protsess:

1. Ava sait puhtas privaatses aknas ja pane kirja kõik, mis seatakse enne nõusoleku andmist.
2. Nõustu kõigi küpsistega, sirvi olulisi lehti ja voogusid ning pane kirja, mis ilmub.
3. Märgi iga küpsise juurde selle nimi, seadev domeen, eluiga ja eesmärk.
4. Määra igale küpsisele eesmärgipõhine kategooria ja veendu, et enne nõusolekut ei ilmunud midagi mittehädavajalikku.
5. Korda seda regulaarselt, sest uusi märgendeid lisandub iga kord, kui turundus- või tootetiimid uusi tööriistu kasutusele võtavad.

Meie juhend küpsiste auditi läbiviimise kohta käsitleb seda protsessi põhjalikumalt ja selle tulemused lähevad otse sinu küpsisepoliitikasse.

Kokkuvõte

Esimene või kolmas osapool ning seansi- või püsiküpsis kirjeldavad, kuidas küpsis käitub. Eesmärk kirjeldab, miks see olemas on, ja just eesmärk otsustab, kas vajad nõusolekut. Koosta oma küpsistest nimekiri, liigita igaüks eesmärgi järgi ja blokeeri kõik mittehädavajalik, kuni külastaja nõustub. Sellised tööriistad nagu Cookiesh suudavad küpsiste skannimise automatiseerida ja hoida märgistatud skripte kinni, kuni külastaja nõusoleku annab.

See artikkel on üldine teave, mitte õigusnõustamine. Oma konkreetse olukorra kohta otsuste tegemiseks pea nõu kvalifitseeritud privaatsusspetsialistiga.