15 июля 2024 года Генеральная прокуратура штата Нью-Йорк (OAG) объявила о новых правилах использования файлов cookie, тегов и других онлайн-инструментов отслеживания информации пользователей. Хотя в Нью-Йорке еще нет всеобъемлющих законов штата о конфиденциальности, согласно недавнему расследованию, OAG указало, что существующие методы обеспечения конфиденциальности в Интернете могут нарушать действующие законы Нью-Йорка о защите прав потребителей.

Руководство OAG сопровождало результаты расследования инструментов конфиденциальности, используемых крупными веб-сайтами. Эти инструменты в основном представляли собой персонализированные идентификаторы, которые помогают веб-сайтам распознавать посетителей с одного веб-сайта на другой (обычно называемые «файлами cookie» и «тегами»), а также раскрывают информацию о конфиденциальности, предоставляемую этими веб-сайтами.

Более дюжины «популярных веб-сайтов» нарушили законы Нью-Йорка о защите прав потребителей. Среди повторяющихся проблем были:

• Теги и файлы cookie, не классифицированные или неправильно классифицированные: Многие веб-сайты использовали «инструмент управления согласием» для отключения определенных категорий тегов или файлов cookie (например, связанных с маркетингом), в то время как другие категории (например, связанные с обнаружением мошенничества и аналитикой) независимо оставались активированными в соответствии с решением посетителя о согласии. Согласно расследованию OAG, некоторые веб-сайты неправильно классифицировали определенные теги, что позволяло этим тегам оставаться активными, даже если посетитель веб-сайта «снял» определенные категории.
• Неправильно настроенные инструменты: На многих сайтах были «инструменты управления тегами», которые не работали должным образом с «инструментами управления согласием» сайта. Таким образом, если посетитель веб-сайта отключил файлы cookie веб-сайта с помощью «инструментов управления тегами» веб-сайта, маркетинговые теги, регулируемые отдельными «инструментами управления согласием» веб-сайта, все равно могут применяться.
• Жестко запрограммированные теги: На некоторых веб-сайтах теги были запрограммированы непосредственно на веб-сайте. Таким образом, эти теги оставались активными независимо от того, какой вариант инструмента управления согласием выбрал посетитель веб-сайта.
• Настройки конфиденциальности тегов: Некоторые веб-сайты использовали инструменты «ограниченного использования данных», которые ограничивают использование информации, собранной определенными инструментами. Однако эти инструменты применимы только в штатах со всеобъемлющими законами о конфиденциальности, таких как Калифорния, Колорадо и Коннектикут. В таких штатах, как Нью-Йорк, где нет комплексных законов о защите данных, эти инструменты не ограничивают использование данных. По данным расследования OAG, некоторые компании ошибочно полагали, что эти ограничения будут распространяться на все штаты, и полагались на них по всей стране.
• Неполное понимание сбора и использования данных тегов: Некоторые компании не имеют четкого представления о том, какие теги данных собирают и как эти данные могут использоваться.
• Отслеживание без файлов cookie: Некоторые веб-сайты не использовали файлы cookie или теги, а вместо этого собирали информацию о посетителях напрямую и передавали ее рекламным компаниям. OAG еще раз подчеркнула, что веб-сайты должны уважать предпочтения пользователей в отношении конфиденциальности независимо от используемого инструмента.

Предложения OAG по выявлению и предотвращению проблем с тегами и файлами cookie.

• Имя: Назначьте квалифицированного человека, ответственного за внедрение и управление технологиями отслеживания веб-сайтов.
• Расследовать: Прежде чем развертывать новый тег или инструмент, определите типы данных, которые будут собираться, а также то, как эти данные будут использоваться и передаваться, даже если для этого потребуется попросить разработчика тега или инструмента предоставить информацию об этом инструменте, которая не является общедоступен.
• Настроить: При развертывании нового тега или инструмента убедитесь, что он правильно категоризирован и настроен.
• Тестирование и проверка: Проводите регулярное тестирование, чтобы убедиться, что теги и инструменты работают должным образом, не полагаясь исключительно на инструменты автоматического тестирования.
• обзор: регулярно проверяйте правильность настройки тегов и инструментов. Кроме того, убедитесь, что теги правильно классифицированы в инструменте управления согласием и что все инструменты управления тегами правильно синхронизированы.

Предложения OAG по обеспечению соблюдения законодательства штата Нью-Йорк при раскрытии информации о конфиденциальности

OAG повторяет, что для соблюдения законов о защите прав потребителей вся информация отслеживания пользователей компании должна быть правдивой и не вводить в заблуждение.

OAG обращает особое внимание на всплывающие окна на веб-сайтах, которые содержат кнопки с надписью «Принять файлы cookie» или «Принять все» и рядом с которыми указано, что, нажимая на эти кнопки, пользователь соглашается на использование файлов cookie. Это может создать у пользователя ложное впечатление, что файлы cookie используются только тогда, когда он нажимает «Принять», а не с момента посещения пользователем веб-сайта.

Аналогичным образом, OAG подчеркивает, что любые интерфейсы, которые посетители веб-сайта используют для изменения своих настроек конфиденциальности, должны быть удобными для пользователя и не должны скрывать необходимые инструменты для завершения выбора посетителя (например, скрытие необходимой кнопки «Сохранить»).

Полные рекомендации OAG можно найти Здесь.