Quali prove richiede un audit del consenso ai cookie?

Il consenso è una sequenza, e l'evidenza deve seguirla. Il primo stato è la pagina prima di qualsiasi interazione: quali cookie esistono e quali richieste di terze parti sono già state avviate. È qui che compaiono la maggior parte dei problemi, perché un gestore di tag o un pixel pubblicitario può caricarsi prima del banner.

Il secondo stato è il banner stesso: se compare, e quali opzioni sono visibili nel primo livello, in particolare se esiste un'opzione di rifiuto o solo un pulsante di accettazione e un link alle impostazioni. Il terzo e il quarto stato sono la pagina dopo l'accettazione e dopo il rifiuto. Confrontarli mostra se la scelta cambia davvero ciò che il sito imposta.

L'evidenza è utile quando qualcun altro può farvi affidamento in seguito. Ciò richiede l'URL esatto, la data e l'ora, il dispositivo e il browser usati, e il contesto di rete da cui proveniva la visita. Richiede anche screenshot collegati alle liste di cookie che illustrano, così chi rivede non deve fidarsi di un riepilogo.

Due dettagli tecnici determinano se una lista di cookie è affidabile. Il profilo del browser non deve portare cookie di account estranei, altrimenti verranno erroneamente contati come propri del sito. E un banner deve essere rilevato dai suoi pulsanti, non da un link qualsiasi che menzioni la privacy, altrimenti un link nel footer verrà segnalato come banner di consenso.

Molte piattaforme di consenso mostrano banner diversi, o nessuno, a seconda di dove sembra trovarsi il visitatore. Un'esecuzione da una SIM reale al di fuori dell'UE mostra ciò che riceve un visitatore al di fuori dell'UE. Non mostra ciò che riceve un visitatore situato nell'UE, e non deve essere presentata come un audit per visitatori dell'UE.

Quel limite resta comunque utile. I pixel che si attivano prima del consenso per un pubblico spesso si attivano per ogni pubblico, e l'assenza di un'opzione di rifiuto è una decisione di design che tende a ripetersi ovunque. Ma il riscontro deve essere riportato con il suo punto di osservazione, e una conclusione sui visitatori dell'UE richiede un punto di osservazione nell'UE.

Voi fornite un dominio o un URL e una frequenza di esecuzione. A ogni esecuzione, un telefono Android fisico carica la pagina e registra la presenza del banner, le opzioni visibili, i cookie prima e dopo il consenso, le variazioni rilevanti tra le esecuzioni e gli screenshot. Una base di riferimento dei cookie preesistenti del profilo viene esclusa in modo da contare solo i cookie propri del sito.

Ogni esecuzione produce un registro di evidenza firmato e un rapporto per il cliente in JSON e PDF, costruito solo con dati archiviati. Gli screenshot vengono conservati 60 giorni nel piano Founder e 90 giorni nel piano Standard. Un riscontro documentato durante i backtest: il negozio pilota allora non offriva alcuna opzione di rifiuto e impostava cookie di Facebook prima del consenso.

Consent & Cookie Check non afferma mai che un sito sia legalmente conforme. Registra ciò che è accaduto su un dispositivo reale affinché il vostro team legale, il vostro revisore o il vostro responsabile della privacy possano trarre quella conclusione con materiale migliore.