Воспроизведение сессий — самое вторгающееся из того, что обычный сайт делает со своими посетителями, и вопрос о согласии здесь интереснее, чем вопрос о подсчёте. Применяются два отдельных правила, большинство инструментов по умолчанию не удовлетворяет ни одному, а удовлетворение первого не избавляет от второго.

Это изложение того, как правила работают на практике, а не юридическая консультация. Если ваши страницы показывают медицинские, финансовые или детские данные, спросите у того, кто имеет квалификацию.

Два вопроса, а не один

Хранит ли оно что-нибудь на устройстве посетителя? Это статья 5(3) Директивы ePrivacy, и на этот вопрос отвечает баннер cookie. Он о самом действии, о записи на чью-то машину или чтении с неё, какой бы ни была технология: cookie, localStorage или отпечаток.

Являются ли захваченные данные персональными и каково ваше правовое основание? Это GDPR, и он применяется независимо от того, хранилось ли что-либо. Воспроизведение того, как человек заполняет форму, водит мышью и прокручивает собственную историю заказов, — персональные данные о нём при любом прочтении. Так что инструмент может действительно ничего не хранить и всё равно нуждаться в правовом основании для самой записи.

Бо́льшая часть разговоров об этом покрывает только первый вопрос, потому что именно к первому вопросу прицеплен баннер.

Первый вопрос — что запись обычно хранит

Чтобы сшить несколько просмотров страниц в одно воспроизведение, инструменту надо опознать один и тот же браузер на этих просмотрах. Обычный способ — идентификатор в cookie или в localStorage, а это хранение на устройстве, и в ЕЭЗ и Великобритании ему нужно согласие.

Обязательным это не является. Идентификатор можно вывести на сервере из того, что запрос и так несёт, и менять так, чтобы он не пережил день, — тот же механизм, что и у аналитики без cookie. Собранное так воспроизведение никогда не трогает машину посетителя, и статье 5(3) не за что зацепиться.

Цена этому настоящая, и назвать её стоит: записи нельзя соединить между днями, поэтому «покажите мне всё, что этот человек делал на прошлой неделе» — не тот вопрос, на который такой инструмент ответит. Для выяснения, где течёт оформление заказа, это неважно. Для прослеживания всей истории одного названного клиента — важно.

Второй вопрос — правовое основание, что бы вы ни хранили

Запись всё равно обрабатывает персональные данные, так что по GDPR вам нужно основание. На практике это либо согласие, либо законный интерес, а законный интерес означает провести и сохранить тест на баланс, то есть записать, почему ваш интерес в улучшении страницы перевешивает интерес посетителя не быть снятым за её использованием.

Эта оценка тем труднее, чем больше захватывает воспроизведение, и поэтому то, что инструмент записывает по умолчанию, важнее баннера:

  • Поля форм. Воспроизведение, захватывающее набор текста, захватывает пароли, номера карт, ответы о здоровье и всё прочее, что человек набирает. Ни один тест на баланс этого не переживёт. Любой стоящий инструмент маскирует содержимое полей ввода и не предлагает этого как настройку.
  • Слова на странице. Отдельно от того, что люди набирают, и упускается легче. Страница аккаунта, подтверждение заказа или карта пациента показывают персональные данные посетителю, а воспроизведение, показывающее их вам, — копия этих данных в другой системе.
  • Особые категории. Здоровье, религия, сексуальная ориентация, членство в профсоюзе. Если страница может показать что-то из этого, воспроизведение такой страницы требует другого разговора, а обычно требует выключения для этой страницы.

Что проверить в том инструменте, которым вы пользуетесь

  1. Маскируются ли поля форм и можно ли это выключить? Правильный ответ на вторую половину — нет.
  2. Захватывается ли текст страницы и ваше ли это решение? Инструмент, решающий это за вас, принял правовое решение от вашего имени.
  3. Можно ли исключить страницу или элемент? Понадобится минимум для одной страницы.
  4. Хранит ли он идентификатор на устройстве? Если да, баннер не необязателен.
  5. Уважает ли он Global Privacy Control? GPC — юридически признанный отказ в нескольких штатах США, и он приходит заголовком запроса независимо от того, читает его ваш инструмент или нет.
  6. Сколько хранятся записи и можно ли удалить одну?

Как на это отвечает Skomi

Содержимое полей форм не записывается никогда, ни при какой настройке. В записи сессий Skomi это не значение по умолчанию; настройки для этого нет ни в одном режиме.

Сколько текста страницы захватывать — выбор на уровне сайта, и ответов три. Strict не захватывает текста вовсе, так что воспроизведение показывает раскладку, структуру и взаимодействия без слов. Balanced маскирует то, что похоже на персональные данные: числа и всё, напоминающее адрес электронной почты. Relaxed захватывает текст страницы и стоит по умолчанию, из соображения, что по воспроизведению без слов очень трудно что-либо сделать. Сайту, чьи страницы показывают персональные данные, нужен один из первых двух, и это решение может принять только владелец сайта.

Исключить можно что угодно. Атрибут data-skomi-mask маскирует область, а data-skomi-unmask освобождает одну внутри неё, класс skomi-block вовсе не даёт захватить элемент, а сайт может перечислить селекторы CSS, которые не записываются никогда.

Global Privacy Control уважается на уровне сайта и выключен, пока вы его не включите. Когда он включён, на запрос с Sec-GPC: 1 отвечают, ничего не записав. Проверка на сервере, поэтому это работает для любого браузера независимо от того, что закешировала страница. Он относится только к записям и тепловым картам: половина с аналитикой не хранит ни адреса, ни межсайтового идентификатора, что делает её плохо подходящей под сигнал, нацеленный на межконтекстное слежение.

По умолчанию на устройстве посетителя не хранится ничего, поэтому на настройке по умолчанию первый вопрос выше не возникает. Второй возникает по-прежнему: основание для записи всё равно нужно, и держать его вам, а не нам.

Записи истекают раньше всего остального. Окно — часть вашего плана, и оно самое короткое из трёх сроков хранения, которые держит Skomi.

Тепловые карты — тот же вопрос, только меньше

Тепловая карта строится из того же захвата (нажатий, движения и глубины прокрутки по странице), так что вопрос о хранении тот же. Различается второй вопрос: сводку того, куда нажала тысяча человек, оправдать гораздо проще, чем видео одного из них, а тепловая карта, построенная без хранения на устройстве и без текста страницы, примерно настолько ненавязчива, насколько измерение поведения вообще бывает.

Если вы взвешиваете, запускать ли воспроизведение вообще, полезно именно это различие: когда нужны записи сессий, а когда нет.

Behavior — то, где в Skomi работает и то и другое, с маскированием, применённым к полям ввода по умолчанию, а не как настройка, о которой надо помнить. Если вы взвешиваете инструменты ровно по этому пункту, Microsoft Clarity документирует собственное требование согласия для посетителей из ЕС и то, что происходит без него.