Воспроизведение сессий — самое инвазивное из того, что обычный сайт делает со своими посетителями, и вопрос о согласии здесь интереснее, чем вопрос о подсчёте. Применяются два отдельных правила, большинство инструментов по умолчанию не соблюдает ни одного, а соблюдение первого не освобождает от второго.

Это изложение того, как правила работают на практике, а не юридическая консультация. Если ваши страницы показывают медицинские, финансовые или детские данные, обратитесь к специалисту.

Два вопроса, а не один

Хранит ли инструмент что-нибудь на устройстве посетителя? Это статья 5(3) Директивы ePrivacy, и на этот вопрос отвечает баннер cookie. Речь о самом действии, о записи на чьё-то устройство или чтении с него, какой бы ни была технология: cookie, localStorage или отпечаток.

Являются ли захваченные данные персональными и каково ваше правовое основание? Это GDPR, и он применяется независимо от того, хранилось ли что-либо. Воспроизведение того, как человек заполняет форму, водит мышью и прокручивает собственную историю заказов, — персональные данные о нём при любом прочтении. Так что инструмент может действительно ничего не хранить и всё равно нуждаться в правовом основании для самой записи.

Большинство обсуждений касается только первого вопроса, потому что именно к нему прилагается баннер.

Первый вопрос: что запись обычно хранит

Чтобы собрать несколько просмотров страниц в одно воспроизведение, инструменту надо узнавать один и тот же браузер от просмотра к просмотру. Обычный способ — идентификатор в cookie или в localStorage, а это хранение на устройстве, и в ЕЭЗ и Великобритании ему нужно согласие.

Но так быть не обязано. Идентификатор можно вывести на сервере из того, что и так есть в запросе, и менять так, чтобы он не пережил день, по тому же механизму, что и у аналитики без cookie. Собранное так воспроизведение никогда не трогает устройство посетителя, и статье 5(3) не за что зацепиться.

Цена у этого реальная, и её стоит назвать: записи нельзя связать между днями, поэтому «покажите мне всё, что этот человек делал на прошлой неделе» — не тот вопрос, на который такой инструмент ответит. Чтобы понять, где оформление заказа теряет покупателей, это неважно. А чтобы проследить всю историю конкретного клиента, важно.

Второй вопрос: правовое основание, что бы вы ни хранили

Запись всё равно обрабатывает персональные данные, так что по GDPR вам нужно правовое основание. На практике это либо согласие, либо законный интерес, а законный интерес означает провести и задокументировать оценку баланса интересов, то есть письменно обосновать, почему ваш интерес в улучшении страницы перевешивает интерес посетителя в том, чтобы его не снимали, пока он ею пользуется.

Эта оценка тем труднее, чем больше захватывает воспроизведение, и поэтому то, что инструмент записывает по умолчанию, важнее баннера:

  • Поля форм. Воспроизведение, захватывающее набор текста, захватывает пароли, номера карт, ответы о здоровье и всё прочее, что человек набирает. Никакая оценка баланса интересов этого не выдержит. Любой стоящий инструмент маскирует содержимое полей ввода и не делает это настройкой.
  • Слова на странице. Это отдельный вопрос от того, что люди набирают, и его легче упустить. Страница аккаунта, подтверждение заказа или карта пациента показывают персональные данные посетителю, а воспроизведение, показывающее их вам, — копия этих данных в другой системе.
  • Особые категории. Здоровье, религия, сексуальная ориентация, членство в профсоюзе. Если страница может показать что-то из этого, воспроизведение такой страницы требует отдельного разбора, и обычно его приходится выключать для этой страницы.

Что проверить в том инструменте, которым вы пользуетесь

  1. Маскируются ли поля форм и можно ли это выключить? Правильный ответ на вторую половину — нет.
  2. Захватывается ли текст страницы и ваше ли это решение? Инструмент, решающий это за вас, принял правовое решение от вашего имени.
  3. Можно ли исключить страницу или элемент? Это понадобится хотя бы для одной страницы.
  4. Хранит ли он идентификатор на устройстве? Если да, без баннера не обойтись.
  5. Учитывает ли он Global Privacy Control? GPC — юридически признанный сигнал отказа в нескольких штатах США, и он приходит заголовком запроса независимо от того, читает его ваш инструмент или нет.
  6. Сколько хранятся записи и можно ли удалить одну?

Как на это отвечает Skomi

Содержимое полей форм не записывается никогда, ни при какой настройке. В записи сессий Skomi это не значение по умолчанию; настройки для этого нет ни в одном режиме.

Сколько текста страницы захватывать — выбор на уровне сайта, и ответов три. Strict не захватывает текста вовсе, так что воспроизведение показывает макет, структуру и взаимодействия без слов. Balanced маскирует то, что похоже на персональные данные: числа и всё, напоминающее адрес электронной почты. Relaxed захватывает текст страницы и используется по умолчанию, из соображения, что по воспроизведению без слов очень трудно что-либо сделать. Сайту, чьи страницы показывают персональные данные, нужен один из первых двух, и это решение может принять только владелец сайта.

Исключить можно что угодно. Атрибут data-skomi-mask маскирует область, а data-skomi-unmask снимает маскирование с области внутри неё, класс skomi-block вовсе не даёт захватить элемент, а сайт может перечислить селекторы CSS, которые не записываются никогда.

Global Privacy Control учитывается на уровне сайта и выключен, пока вы его не включите. Когда он включён, по запросу с Sec-GPC: 1 ничего не записывается. Проверка идёт на сервере, поэтому это работает в любом браузере, что бы ни закешировала страница. Он относится только к записям и тепловым картам: аналитическая половина никогда не следит за посетителем от сайта к сайту, поэтому плохо подходит для сигнала, нацеленного на межконтекстное слежение.

По умолчанию на устройстве посетителя не хранится ничего, поэтому при настройках по умолчанию первый вопрос выше не возникает. Второй возникает по-прежнему: основание для записи всё равно нужно, и обеспечить его должны вы, а не мы.

Записи удаляются раньше всего остального. Срок зависит от вашего плана, и он самый короткий из трёх сроков хранения в Skomi.

Тепловые карты — тот же вопрос, только меньше

Тепловая карта строится из того же захвата (нажатий, движения и глубины прокрутки по странице), так что вопрос о хранении тот же. Различается второй вопрос: сводку того, куда нажала тысяча человек, оправдать гораздо проще, чем видео одного из них, а тепловая карта, построенная без хранения на устройстве и без текста страницы, ненавязчива настолько, насколько вообще может быть измерение поведения.

Если вы решаете, нужно ли воспроизведение вообще, полезно именно это различие: когда нужны записи сессий, а когда нет.

В Skomi и то и другое работает в Behavior, с маскированием, применённым к полям ввода в любом режиме, а не как настройка, о которой надо помнить. Если вы сравниваете инструменты именно по этому пункту, Microsoft Clarity документирует собственное требование согласия для посетителей из ЕС и то, что происходит без него.