Pikseli- nezakonito korištenje- da ili ne?

Šest norveških web stranica “dijelilo je ilegalno” podatke o svojim posjetiteljima putem Meta i Snapchat piksela za praćenje. Izrečena kazna je otprilike 25.000 eura (250.000 norveških kruna) zbog nenamjernog dijeljenja podataka ranjivih korisnika s platformama društvenih medija. Upozorenje nadzornog tijela je jasno: razumijevanje alata za praćenje sada je obvezno za usklađenost s pravilima o privatnosti podataka.

Što je piksel za praćenje?

Razumijevanje razlika između piksela i kolačića može pomoći u donošenju boljih odluka o privatnosti ispitanika i općim marketinškim strategijama. Navedeno je i nužno kako bi ispitanici bili adekvatno obaviješteni o obradama njihovih podataka.

Piksel za praćenje je sićušna, nevidljiva “slika” koja se učitava kada netko posjeti web stranicu, obično veličine samo 1 x 1 piksela. Iako su korisnicima gotovo nevidljivi, pikseli pomažu tvrtkama da razumiju ponašanje publike i uspješnost kampanje pošto prikupljaju podatke o ponašanju korisnika, poput otvaranja ili klikova.

Različite vrste piksela za praćenje služe različitim svrhama. Retargeting pikseli pomažu da se oglasi prikazuju ljudima koji su već posjetili određenu web stranicu, dok pikseli za konverziju prate kada netko dovrši željenu radnju, poput kupnje. Postoje i pikseli za mjerenje angažmana koji prate kako korisnici reagiraju tj. što rade s određenim sadržajem. Najpoznatiji primjer je Facebook piksel, koji oglašivač postavlja na svoju web stranicu kako bi pratio što korisnici rade nakon što s oglasa dođu na stranicu—npr. jesu li kliknuli, registrirali se ili obavili kupnju. Svaka vrsta piksela pruža jedinstven uvid u ponašanje ciljane publike i učinkovitost kampanje.

Piksel za praćenje funkcionira tako da se ugrađuje u vašu web stranicu, e-poštu ili oglase. Kada netko učita sadržaj koji sadrži kod piksela za praćenje, on pokreće zahtjev poslužitelju, bilježeći informacije o ponašanju posjetitelja, uključujući i na što kliknu. Tvrtke koje prikupljaju podatke o kupcima moraju se pridržavati određene regulative u vezi s privatnošću i podacima potrošača, kao što je GDPR. Razumijevanje načina rada piksela ključno je za održavanje standarda privatnosti prilikom prikupljanja potrebnih podataka.

Pikseli za praćenje obično se koriste za mjerenje uspješnosti oglasnih kampanja, praćenje stopa otvaranja e-pošte i izradu remarketing kampanja na različitim kanalima.

Na primjer, kada želite prikazivati Facebook oglase pojedincima koji su nedavno posjetili određenu stranicu na vašoj web stranici, koristit ćete piksel društvenih medija. Pikseli također mogu pratiti slanje obrazaca, klikove na gumbe ili vrijeme provedeno na određenim stranicama na vašoj web stranici.

Pikseli za praćenje vrlo su učinkoviti i postali su neizostavan alat za marketinške stručnjake kojima su potrebni pouzdani podaci o njihovim kampanjama. Evo nekoliko glavnih prednosti korištenja piksela za praćenje:

• Prikupljanje podataka u stvarnom vremenu - s pomoću praćenja piksela dobivate trenutačni uvid u ponašanje korisnika. Recimo da tvrtka pošalje newsletter. Odmah će znati tko od primatelja ga je otvorio, kada su kliknuli i što su nakon toga učinili na vašoj web stranici. Ova brzina omogućuje prilagođavanje kampanja u hodu i brzu reakciju.
• Funkcioniraju na svim uređajima - kada netko otvori na svom pametnom telefonu e-poštu firme koja koristi piksel za praćenje, a kasnije web stranicu iste firme sa svog računala, pikseli povezuju te točke. Ova cjelovita slika pomaže dobivanju uvida kako ljudi zapravo komuniciraju s određenim brendom na svim svojim uređajima, a ne samo što rade na jednom ekranu.
• Često je korisnicima teže blokirati piksele u usporedbi s kolačićima - pikseli za praćenje nude značajnu tehničku prednost u odnosu na kolačiće kada je u pitanju pouzdanost prikupljanja podataka. Dok korisnici mogu jednostavno izbrisati kolačiće svog preglednika ili prilagoditi postavke kako bi ih u potpunosti blokirali, pikseli za praćenje se ne mogu lako blokirati.

Prema GDPR-u, korisnici moraju biti (minimalno!) obaviješteni da web stranica prikuplja podatke. Korisnici također moraju imati mogućnost prigovora na praćenje, a da ne kažemo da moraju dati i validnu privolu za određene aktivnosti.

Razlika između piksela i kolačića

Funkcija

• Pikseli se koriste za praćenje ponašanja korisnika i prikupljanje podataka o njihovim interakcijama sa sadržajem na webu.
• Kolačići se koriste za pohranjivanje korisničkih podataka kao što su podaci za prijavu i postavke, kao i za praćenje i profiliranje korisničkog ponašanja.

Pohrana

• Pikseli se ne pohranjuju na korisnikovom uređaju, već su ugrađeni u web sadržaj.
• Kolačiće na korisnikovom uređaju pohranjuje web preglednik.

Korisnička kontrola

• Korisnici ne mogu izravno kontrolirati piksele jer su ugrađeni u web sadržaj.
• Korisnici mogu kontrolirati kolačiće putem postavki preglednika ili skočnog prozora za pristanak na kolačiće.

Kako su Meta Pixel i Snap pikseli za praćenje ugrozili (po mišljenju nadzornih tijela) privatnost korisnika 

Norveške web stranice za pomoć maloljetnicima bile su prikazane kao anonimne. U pozadini su Meta i Snapchat pratili svaki klik, prikupljajući podatke koji bi se mogli koristiti za profiliranje. 

Utvrđeno je da su web stranice za pomoć i savjetovanje maloljetnika i portali za zdravstvene informacije dijelili podatke o posjetiteljima s tehnološkim divovima bez ikakve pravne osnove.

Nakon toga je jedna javna služba dobila je kaznu od 25.000 eura (250.000 norveških kruna), dok su druge dobile formalne opomene. Važno je da je nadzorno tijelo izričito upozorilo da će ovaj put postupati samo upozoravajuće pošto je ovaj jedan od prvih takvih nadzora. Buduća kršenja suočit će se s mnogo strožim kaznama stoga tvrtke trebaju biti na oprezu.

Važno je napomenuti da su te organizacije pružale bitne usluge svojim zajednicama. Čini se da kršenja proizlaze i iz tehničkih propusta, a ne namjernih pokušaja iskorištavanja korisničkih podataka.

Ovi slučajevi otkrivaju važnu lekciju: čak i dobronamjerne organizacije mogu nenamjerno dijeliti podatke o posjetiteljima s trećim stranama zbog nedostataka u razumijevanju funkcioniranja tehnologija praćenja. Kaznu mogu dobiti svi posebno ako nadzorno tijelo utvrdi i druga kršenja propisa o zaštiti osobnih podataka i privatnosti.

Opseg nadzora

Kada je norveško nadzorno tijelo - DPA pokrenulo svoje istrage u ožujku 2024., nisu nasumično pregledavali web stranice. Strateški su odabrali šest platformi koje obrađuju posebno osjetljive informacije, vrste podataka koji otkrivaju najdublje ranjivosti i najprivatnije stvari.

Pregledane web stranice prikazale su raznoliku sliku norveškog digitalnog okruženja:

• Web stranica za pomoć djeci koja doživljavaju nasilje, zlostavljanje ili druge traumatske situacije (kojom upravlja općina)
• Internetska ljekarna gdje ljudi kupuju lijekove i zdravstvene proizvode
• Platforma vjerske organizacije za distribuciju Biblije i primanje donacija
• Web stranica medicinskih usluga za rezerviranje liječničkih pregleda
• Usluga podrške posebno dizajnirana za djecu s roditeljima u zatvoru
• Sveobuhvatni portal zdravstvenih informacija koji pokriva različite bolesti i medicinska stanja

Što je ujedinjavalo ove naizgled različite platforme? Sve su koristile piksele za praćenje iz Mete (Facebook/Instagram) i/ili Snapa (Snapchat) koji su u pozadini prenosili podatke o posjetiteljima ovim tehnološkim divovima.

Još je zabrinjavajuće to što operateri web stranica često nisu bili svjesni što se zapravo događa. To ne čudi s obzirom na tehničku složenost modernih tehnologija praćenja i brz razvoj propisa o privatnosti.

Ključna kršenja korištenja piksela za praćenje koje je otkrilo norveško nadzorno tijelo (lipanj 2025.)

1. Neovlašteno dijeljenje podataka bez pravne osnove

Najalarmantnija činjenica je da nijedna web stranica nije ispunila najosnovniji GDPR zahtjev: imati zakonitu osnovu za obradu osobnih podataka.

Pikseli za praćenje nisu samo brojali anonimne posjete. Prenosili su mnoštvo osobnih identifikatora koji su, kada se pomiješaju s postojećim skupovima podataka velikih tehnoloških tvrtki, stvarali detaljne profile pojedinaca. To je uključivalo:

• Jedinstvene korisničke identifikatore koji traju tijekom sesija pregledavanja (pohranjeni u kolačićima poput _fbp i _scid)
• IP adrese koje mogu točno odrediti lokaciju i identificirati kućanstvo
• Detaljne URL-ove stranica koji točno otkrivaju koja zdravstvena stanja, probleme ili interese pojedinac istražuje
• Oznake uređaja, uključujući vrstu preglednika, razlučivost zaslona i operativni sustav
• Podatke o vremenskim oznakama koji prikazuju obrasce kada i koliko često pojedinci posjećuju

Ako ste slučajno prijavljeni na Facebook ili Snapchat u istom pregledniku, ove platforme mogle bi izravno povezati vaše osjetljive posjete web stranicama s vašim identitetom u stvarnom svijetu. To znači da Facebook ima podatke o problemima djeteta s mentalnim zdravljem ili da Snapchat prati posjete stranicama za podršku ovisnostima.

2. Obrada posebnih kategorija osobnih podataka

GDPR tretira određene vrste podataka kao posebno osjetljive – zdravstveni podaci, informacije o djeci, vjerska uvjerenja i seksualna orijentacija spadaju u ovu „posebnu kategoriju“, što zahtijeva dodatnu - strogu zaštita.

Norveško tijelo za zaštitu podataka nije ostavilo prostora za tumačenje: kada netko opetovano posjećuje stranice o epilepsiji, traži simptome depresije ili pristupa zdravstvenim resursima LGBTQ+, obrađuju se zdravstveni podaci.

Nije važno ispunja li se ikada obrazac ili stvara korisnički račun. Sam obrazac posjeta otkriva osjetljive zdravstvene podatke.

Jedna web stranica sa zdravstvenim informacijama tvrdila je da su posjetitelji možda samo znatiželjni ili istražuju za druge. Nadzorno tijelo za zaštitu podataka odbacilo je ovaj argument. Istaknuli su nedavne odluke suda EU koje potvrđuju da čak i neizravne zdravstvene informacije – one koje možete zaključiti iz obrazaca pregledavanja – zaslužuju punu zaštitu prema članku 9. GDPR-a.

Referencirane odluke EU o privatnosti zdravstvenih informacija:
C-184/20 - O tome kako neizravne informacije mogu biti podaci posebne kategorije
C-252/21 - O praćenju na zdravstvenim/web stranicama za upoznavanje kao podacima posebne kategorije
C-21/23 - O kupnji u online ljekarnama koje otkrivaju zdravstvene podatke

Slučajevi kod usluga namijenjenih maloljetnicima bili su posebno ozbiljni. Djeca koja su tražila pomoć zbog zlostavljanja, nasilja ili obiteljske traume bila su praćena i profilirana. Nadzorno tijelo je naglasilo da djeca zaslužuju pojačanu zaštitu, posebno kada traže pomoć zbog traumatičnih iskustava.

3. Zavaravajuće ili nedostajuće informacije o privatnosti

Pregled dokumentacije o privatnosti od strane norveškog nadzornog tijela na svih šest web stranica otkrio je sustavne propuste u transparentnosti i točnosti - ne samo manje propuste, već temeljne probleme u komuniciranju i praksi prikupljanja podataka o korisnicima.

Najozbiljnije kršenje dogodilo se od web stranice za pružanje pomoći djeci, koja je istaknuto obećavala anonimnost na cijeloj svojoj web stranici, a istovremeno dostavljala podatke o posjetiteljima Meti i Snapchatu.

Ostali propusti uključivali su:

• Pravila o privatnosti koja tvrde da „ne obrađujemo osjetljive podatke“, dok su zdravstvene informacije slobodno tekle trećim stranama odnosno razmjenjivali su se posebne kategorije podataka;
• Obavijesti o kolačićima koje koriste složenu tehničku terminologiju neprikladnu za ciljanu publiku, posebno problematične na stranicama koje pomažu djeci ili ljudima u nevolji;
• Ne spominjanje Meta Pixela ili Snap Pixela u dokumentaciji o privatnosti;
• Nije postojalo objašnjenje o obradi podataka i čuvanju podataka – što bi te tvrtke učinile s podacima ili koliko dugo bi ih čuvale;
• Općenite izjave o „poboljšanju korisničkog iskustva“ bez objašnjenja stvarne svrhe: ciljano oglašavanje (nužno je transparentno obavijestiti ispitanike o svemu);
• Pravila o privatnosti jedne web stranice nisu ažurirana od 2018. – godinama prije nego što su uopće postavili piksele za praćenje.

4. Nevažeći mehanizmi pristanka

Nadzorno tijelo je također pronašlo školske primjere „dark patternsa“ – trikova koji vas guraju prema najmanje privatnoj opciji.

Skočni prozor s kolačićima je imao tri opcije:

„Prihvati sve kolačiće“ (u jarkoj, privlačnoj plavoj boji)
„Prilagodi“ (u jedva vidljivoj sivoj boji)
„Samo nužno“ (također u sivoj boji, stapa se u pozadini)

Nadzorno tijelo je to nazvalo psihološkom manipulacijom, posebno problematičnom kada se cilja na ranjive skupine stanovništva.

Ostale nepravilnosti pri davanju pristanka uključivali su:

• Unaprijed označene kućice za marketinške kolačiće (zabranjeno prema GDPR-u)
• Slaganje različitih svrha u jednu, prisiljavanje na izbor "sve ili ništa"
• Ažuriranje i prihvaćanje različitih opcija davanja privola prilagođenih pojedinim svrhama zahtijeva više klikova dok je "Prihvati sve" bilo moguće jednim klikom
• Korištenje izraza koji izazivaju strah, sugerirajući da stranica neće ispravno raditi bez praćenja

DPA je jasno dao do znanja: pravi pristanak znači pravi izbor, predstavljen na jasan i jednostavan način, bez trikova ili pritiska usmjerenih ispitaniku.

Kazna od 25.000 eura: Poruka nadzornog tijela web stranicama javnog interesa privatnog sektora

DPA je iznio nekoliko otegotnih okolnosti:

Četiri faktora koja su eskalirala ovo kršenje u izricanje novčane kazne

• Kršenje vladine dužnosti. Kao vladina služba koju financiraju porezni obveznici, web stranica za pomoć djeci imala je povećanu dužnost skrbiti za najosjetljivije građane. Građani bi trebali moći vjerovati javnim službama u svojim najranjivijim trenucima. Kada općina obeća anonimnu pomoć zlostavljanoj djeci, ali nenamjerno omogući komercijalno praćenje, to narušava javno povjerenje u vladine službe.
• Utjecaj na ranjive maloljetnike. Usluga je postavljena za djecu u dobi od 7 do 18 godina koja doživljavaju nasilje, zlostavljanje ili zanemarivanje.
• Pogrešno predstavljanje prakse obrade podataka. Web stranica je istaknuto oglašavala anonimnost na više mjesta.
• Opsežan opseg kršenja. S otprilike 73.800 posjeta samo u 2023. godini, uključujući 11 000 posjeta stranicama posebno za "Djecu 7-12 godina" i "Tinejdžere 13-18 godina", kršenje je utjecalo na tisuće ranjivih maloljetnika diljem Norveške.

Zanimljivo je da je DPA izvorno planirao kazniti ih s 30.000 eura (300.000 norveških kruna), ali je smanjio kaznu na 25.000 eura (250.000 norveških kruna) sve radi priznanja i suradnje odnosno jer su uložili hitne napore da otklone neusklađenost.

Specifične implikacije šest slučajeva za industriju

1. Web stranice zdravstvene i farmaceutske industrije: slučajevi online ljekarne i zdravstvenog portala

Slučaj zdravstvenog portala- inspekcija je 19. ožujka 2024. otkrila značajna kršenja od strane najvećeg norveškog pružatelja zdravstvenih informacija, koji opslužuje stotine tisuća tjednih posjetitelja. Ponudili su provjeru simptoma i bazu podataka o bolestima koja pokriva 2.187 stanja. Stranica je čak unaprijed pitala posjetitelje jesu li zdravstveni djelatnici kako bi "personalizirali" sadržaj.

Evo što je njihovo korištenje Meta Pixela učinilo posebno problematičnim:

• Čini se da je organizacija pogrešno shvatila da čak i anonimni obrasci pregledavanja mogu predstavljati obradu zdravstvenih podataka.
• Posjetitelji koji su istraživali specifična stanja nesvjesno su podijelili svoje zdravstvene interese s Metom
• Praćenje se dogodilo unatoč njihovoj politici privatnosti koja tvrdi da "općenito ne obrađuju osjetljive osobne podatke"
• Njihov detaljan banner o pristanku s 81 partnerom nije ih mogao spasiti - pristanak nije bio valjan u odnosu na zdravstvene podatke

Poruka “zdravstvenim” stranicama?

Cijela vaša web stranica obrađuje podatke posebne kategorije. Svaki pregled stranice potencijalno otkriva zdravstvene informacije. Ako netko opetovano posjećuje stranice o dijabetesu, depresiji ili spolno prenosivim bolestima, morate pretpostaviti da ima osobni zdravstveni interes.

Slučaj online ljekarne potvrdio je ovaj stav. Kada ljudi pregledavaju kategorije lijekova ili zdravstvenih proizvoda, otkrivaju zdravstvene informacije - bez obzira na to jesu li izvršili kupnju ili ne. Jasno je dano do znanja da osjetljiva priroda zdravstvenih podataka znači da marketinški interesi gotovo nikada neće nadmašiti prava na privatnost u procjeni legitimnog interesa.

2. Vjerske organizacije i organizacije koje okupljaju pojedince istih uvjerenja: slučaj distribucije Biblije

Web stranica vjerske organizacije bavila se objavljivanjem biblijskih tekstova, prodajom knjiga i prikupljanjem donacija. Iako se činilo manje osjetljivom od zdravstvenih stranica, DPA je istaknuo jedinstvene rizike za privatnost:

• Redoviti posjeti vjerskom sadržaju mogu otkriti duhovna uvjerenja ili vjersku pripadnost
• Obrasci donacija mogu ukazivati na razinu vjerske predanosti
• Djeca koja pristupaju vjerskom sadržaju zaslužuju posebnu zaštitu od komercijalnog praćenja

Korištenje Meta i Snapchat piksela od strane organizacije značilo je da bi te platforme potencijalno mogle identificirati pojedince koji istražuju kršćanstvo, možda tijekom ranjivih trenutaka duhovnog traženja ili krize. Poput mnogih organizacija, nisu bili svjesni da obrasci angažmana u vjerskom sadržaju mogu otkriti zaštićene podatke o uvjerenjima.

Sloboda vjeroispovijesti uključuje pravo na privatno istraživanje uvjerenja, bez komercijalnog nadzora, naglasilo je nadzorno tijelo.

3. Službe podrške i ranjive skupine stanovništva: slučajevi web stranica za pomoć djeci

Dva slučaja uključivala su usluge posebno namijenjene djeci u krizi ili s problemima o kojima ne mogu razgovarati s bilo kim – općinsku uslugu pomoći žrtvama zlostavljanja i službu podrške za djecu s roditeljima u zatvoru. Ovi slučajevi otkrili su ozbiljne implikacije na privatnost kada službe podrške pogrešno prate ponašanje korisnika.

Slučaj službe podrške za djecu čiji su roditelji u zatvoru istaknuo je kako naizgled uski slučajevi korištenja mogu utjecati na ranjive skupine stanovništva. Djeca kada traže podršku online, ne bi se trebali brinuti da će tehnološke tvrtke izgraditi profile na temelju njihove obiteljske traume.

Obje stranice su napravile slične pogreške:

• Uobičajena zabluda koja je dovela do ovih kršenja bila je vjerovanje da se obećanja anonimnosti za izravan kontakt protežu na sve interakcije na web stranici.
• Pretpostavka da je obećanje povjerljivosti za izravan kontakt (telefon/chat) dovoljno
• Nerazumijevanje da pikseli za praćenje bilježe cjelokupni posjet, a ne samo slanje obrazaca
• Podcjenjivanje kako obrasci posjeta mogu otkriti situaciju djeteta posrednicima podataka

Odluka nadzornog tijela bila je beskompromisna: ako pružate usluge ranjivim skupinama, posebno djeci u krizi, praćenje treće strane gotovo je sigurno neprikladno.

Odnos povjerenja na kojem ove usluge ovise nije kompatibilan s komercijalnim nadzorom.

4. Medicinske usluge: slučaj platforme za rezervaciju termina

Web stranica za rezervaciju liječničkih termina predstavljala je još jedan oblik izloženosti zdravstvenim podacima.

Čini se da je platforma pogrešno shvatila da podaci o rezervaciji termina zahtijevaju istu zaštitu kao i izravni zdravstveni podaci. Za razliku od pasivnih informativnih stranica, ova platforma je olakšala stvarne rezervacije medicinskih usluga, stvarajući dodatne komplikacije s privatnošću:

• Posjetitelji nisu samo istraživali – poduzimali su konkretne korake prema liječenju.
• Vrste specijalista koje su pregledavali ili rezervirali mogle su otkriti specifična zdravstvena stanja.
• Obrasci zakazivanja termina tijekom vremena mogli bi ukazivati na kronična stanja ili tekuće tretmane.

Slučaj je potvrdio da svaka web stranica koja se dotiče zdravstvene zaštite – bilo da pruža informacije, prodaje proizvode ili usluge rezervacije – mora tretirati sve podatke posjetitelja kao potencijalno otkrivajuće zdravstvene informacije.

Preporuke za usklađenost norveškog DPA-a (vodič za usklađenost iz lipnja 2025.)

Svaki vlasnik web stranice treba paziti na:

1. Provođenje temeljite revizije praćenja i redovno ažuriranje dokumentacije namijenjene korisnicima

Mnogim organizacijama nedostaje svijesti o tome koje se tehnologije praćenja nalaze na njihovim web stranicama. Preporučuje se:

• Mapiranje svake pojedine tehnologije praćenja: Korištenje automatiziranih alate za skeniranje. Ručno pregledavanje koda web stranice, upravitelja oznaka i integracije trećih strana. Nadzorno tijelo je pronašlo piksele za koje vlasnici web stranica nisu ni znali da postoje!
• Razumjeti tok podataka koje obradujete: Za svaki tracker dokumentirati točno koje podatke prikuplja, gdje šalje te podatke i što se s njima događa nakon toga. Ako se to ne može jasno objasniti, ne bi se trebao koristiti tracker.
• Obratiti posebnu pozornost na "nevidljivo" praćenje: Pikseli se ne pojavljuju u skenerima kolačića, ali mogu biti još invazivniji. Potrebno je provjeravati izvorni kod za skripte s facebook.com, snapchat.com, google-analytics.com i sličnih domena.
• Redoviti pregledi: Web stranica za pomoć djeci dodala je trackere za kampanju iz 2020. i zaboravila na njih. Preporučuju se tromjesečni pregledi kako bi se uočili zastarjeli alati za praćenje koji više nemaju svrhu te kako bi se posljedično ažurirala dokumentacija.

2. Procjenu osjetljivosti svoje publike i sadržaja

Organizacije moraju dobro procijeniti svoje rizike za privatnost. To znači:

• Razmisliti o najranjivijim posjetiteljima: Zdravstvena stranica može služiti starijim osobama koje istražuju demenciju, tinejdžerima koji istražuju seksualnost ili roditeljima koji istražuju dječje poremećaje. Potrebno je osmisliti zaštitu privatnosti za najranjivije korisnike, a ne za prosječnog posjetitelja.
• Razmisliti o kumulativnim obrascima: Jedan posjet članku o depresiji možda ne znači ništa. Ali tjedni posjeti tijekom tri mjeseca? Obrasci tijekom vremena otkrivaju više od pojedinačnih pregleda stranica.
• Ispitati tzv. "neizravne zaključke": Religiozna stranica tvrdila je da su samo pružili biblijske tekstove. No, nadzorno tijelo je primijetilo da redovita interakcija s vjerskim sadržajem, posebno u kombinaciji s podacima o donacijama, otkriva zaštićena, vjerska uvjerenja.
• Paziti na intersekcionalnost: Posjetitelj stranice za podršku djece s roditeljima u zatvoru mogao bi se također suočavati sa siromaštvom, rasnom diskriminacijom ili izazovima mentalnog zdravlja. 

3. Implementaciju dizajna koji stavlja privatnost na prvo mjesto

Ako obrađujete osjetljive podatke ili su vam ciljana publika ranjive skupine, jednostavno nemojte imati opciju praćenja trećih strana. Ali ako morate pratiti, onda morate ispuniti i stroge zahtjeve usklađenosti:

• Skočni prozor: Gumb "odbij sve" bi trebao biti jednako istaknut i jednostavan za kliknuti kao "prihvati sve" - iste boje, iste veličine, istog broja klikova. Plavi gumb "prihvati" na zdravstvenom portalu u odnosu na sivu opciju "odbij" posebno je označen kao manipulacija.
• Anonimnost: Potrebno je provjeriti funkcionira li i da li stvarno postoji. Nadzorno tijelo je predložilo analitiku koja čuva privatnost i obrađuje podatke pri poslužiteljima bez dijeljenja informacija o posjetiteljima s trećim stranama.
• Stupanjska kontrola privatnosti: Implementirati privatnost na više razina - anonimno prema zadanim postavkama, opcionalni računi s jasnim rukovanjem podacima, detaljne kontrole za sve poboljšane značajke i sl.
• Testiranje sa stvarnim korisnicima: Nadzorno tijelo je primijetilo da politike privatnosti koje pišu odvjetnici često zbunjuju obične ljude. Preporučuje se testiranje svoje komunikacije o privatnosti sa stvarnim korisnicima, posebno iz ranjivih skupina.

4. Ispravan mehanizam pristanka (izbjegavanje "dark patternsa" i poštivanje izbora korisnika)

Važeći pristanak nije samo pravni potvrdni okvir - radi se o poštivanju autonomije posjetitelja.

Dakle, zahtjevi nadzornog tijela uključuju:

• Vizualna jednakost: Svaka opcija pristanka mora biti jednako vidljiva i dostupna. Nema trikova s bojama, nema razlika u veličini, nema skrivanja opcija koje su prilagođene privatnosti iza dodatnih klikova.
• Detaljna kontrola: Posjetitelji moraju moći dati pristanak zasebno za različite svrhe. Spajanje analitike, personalizacije i marketinga u jedan izbor "prihvati" krši GDPR. Nadzorno tijelo je posebno pohvalilo rješenja koja omogućuju donošenje odluka za svaku svrhu pojedinačno.
• Komunikacija primjerena dobi: Web stranica za pomoć djeci koristila je tehnički žargon za opis praćenja djece od sedam godina. Nadzorno tijelo zahtijeva jednostavan jezik prilagođen vašoj stvarnoj publici. Ako djeca koriste vašu stranicu, dijete bi trebalo razumjeti vašu obavijest o privatnosti.
• Transparentnost: Posjetitelji moraju razumjeti što se događa kada daju pristanak. "Poboljšanje vašeg iskustva" nije dovoljno. Objasnite da će Meta kombinirati podatke o posjetima s profilima na društvenim mrežama za ciljanje oglasa diljem interneta.
• Pravi i stvaran izbor: Stranica za medicinske rezervacije prikazala je da pristanak za praćenje izgleda kao da je nužan za rezervaciju termina. Nadzorno tijelo je pojasnilo: osnovne usluge moraju raditi bez pristanka za praćenje. Nema prisile, nema blokiranja značajki, nema emocionalne manipulacije.

Kazna od 25.000 eura šalje jasan signal: nadzorno tijelo je ovaj put dalo edukativna upozorenja – ali je izričito navelo da se buduća kršenja suočavaju s mnogo težim posljedicama.

Tehnička razmatranja za timove digitalnog marketinga

Razumijevanje piksela za praćenje: od marketinškog alata do rizika za privatnost je nužno.

Evo ključne točke koju su otkrili norveški slučajevi: mnoge organizacije imale su instalirane piksele za praćenje, ali nisu razumjele kada su se aktivirali ili koje podatke su slali.

Razjasnimo ovo:

Mit: „Naši pikseli prate samo kada ispitanici daju pristanak, a podaci su ionako anonimni.“

Stvarnost u ovim norveškim slučajevima piksela za praćenje:

• Pikseli su se aktivirali prije nego što je dobiven valjani pristanak (ili uz manipulirani pristanak)
• Kada su se aktivirali, slali su puno više od „anonimnih“ podataka
• Jedinstveni identifikatori koji traju na web stranicama (_fbp kolačić)
• IP adrese koje omogućuju identifikaciju na razini kućanstva
• Točni URL-ovi koji otkrivaju koja su zdravstvena stanja ili probleme ljudi istraživali
• Oznake preglednika koji mogu jedinstveno identificirati uređaje
• Izravno podudaranje profila kada su korisnici bili prijavljeni na Facebook

Što to znači za marketinške stručnjake:

Ako niste osobno provjerili poštuju li vaši pikseli sve zahtjeve valjanog pristanka, u opasnosti ste. Web stranica za pomoć djeci mislila je da samo mjere doseg kampanje. Umjesto toga, dijelili su podatke djece s Metom. Njihova pogreška? Pretpostavili su da je piksel "siguran za privatnost" bez stvarne provjere.

Pouka nije da je svaka upotreba piksela nezakonita - već da morate razumjeti i kontrolirati kada se pikseli aktiviraju i koje podatke dijele te da sve svoje aktivnosti morate adekvatno uskladiti sa svim zahtjevima propisa o zaštiti osobnih podataka i privatnosti.

Bez pravilnog upravljanja pristankom, to "nevino" praćenje konverzija postaje kršenje privatnosti te dovodi i do kažnjavanja, ali i gubitka povjerenja vaših korisnika u vas i u brend.