Resposta ràpida: LocalStorage és un mecanisme d'emmagatzematge basat en el navegador que, com les cookies, està subjecte a les regulacions de privadesa de dades, inclosa la Directiva ePrivacy de la UE i el GDPR. Emmagatzemar o accedir a dades no essencials a LocalStorage sense el consentiment previ, informat i lliurement donat de l'usuari és una violació del compliment. La majoria de les organitzacions passen per alt això perquè les seves eines de gestió del consentiment estan configurades només per a cookies, deixant LocalStorage completament sense gestionar.
Punts clau
- LocalStorage es tracta legalment com una "tecnologia similar" a les cookies segons la legislació del Regne Unit i la UE, la qual cosa significa que s'apliquen les mateixes normes de consentiment.
- La Junta Europea de Protecció de Dades (EDPB) ha confirmat que tecnologies com LocalStorage requereixen un consentiment previ, informat i lliurement donat abans que s'emmagatzemi o s'accedeixi a qualsevol dada no essencial [2].
- L'ICO distingeix entre l'emmagatzematge estrictament necessari per a un servei i l'emmagatzematge no necessari utilitzat per al seguiment o l'anàlisi; només aquest últim requereix un consentiment explícit [1].
- Moltes plataformes de gestió del consentiment regulen les cookies per defecte, però deixen LocalStorage sense supervisió, creant una bretxa de compliment significativa [3].
- SessionStorage té les mateixes implicacions de privadesa que LocalStorage quan s'utilitza per a finalitats de seguiment o anàlisi.
- La retirada del consentiment obliga un lloc web a eliminar qualsevol dada de LocalStorage recollida sota aquest consentiment.
- Els scripts de tercers que escriuen a LocalStorage també requereixen cobertura de consentiment; la responsabilitat recau en l'operador del lloc.
- Les sancions per incompliment del GDPR poden ser substancials; el risc es multiplica quan les violacions són sistèmiques i no revelades.
Què és LocalStorage i com funciona
LocalStorage és una API d'emmagatzematge web integrada en els navegadors moderns que permet als llocs web emmagatzemar parells clau-valor directament al dispositiu d'un usuari, sense data de caducitat i amb un límit típic per origen d'uns 5-10 MB. A diferència de les cookies, les dades de LocalStorage mai s'envien automàticament a un servidor amb sol·licituds HTTP, persisteixen fins que el JavaScript del lloc web o l'usuari les esborra explícitament.
Així és com funciona a la pràctica:
- El JavaScript d'un lloc web crida
localStorage.setItem('key', 'value')per escriure dades. - Aquestes dades romanen al dispositiu durant les sessions del navegador fins que es crida
localStorage.removeItem('key')olocalStorage.clear(). - Només els scripts del mateix origen (protocol + domini + port) poden llegir o escriure aquestes dades.
Els usos comuns inclouen: emmagatzemar preferències de l'usuari (tema, idioma), tokens de sessió, identificadors d'anàlisi, continguts del carretó de la compra i assignacions de variants de proves A/B.
El punt crític de compliment: com que LocalStorage emmagatzema dades al dispositiu d'un usuari, activa el mateix marc legal que les cookies sota la Directiva ePrivacy i el GDPR, independentment de si aquestes dades es transmeten mai a un servidor [4].
Necessites el consentiment de l'usuari per a LocalStorage sota el GDPR
Sí, per a qualsevol ús no essencial de LocalStorage, es requereix el consentiment explícit de l'usuari abans que s'emmagatzemin o s'accedeixin a les dades. L'EDPB ha confirmat que tecnologies com LocalStorage estan subjectes als mateixos requisits de consentiment que les cookies, necessitant un consentiment previ, informat i lliurement donat [2]. L'ICO especifica a més que el consentiment s'ha d'afirmar mitjançant una acció clara i inequívoca, no inferida del comportament de navegació o assumida per l'ús continuat del lloc [1].
L'excepció de necessitat: Si LocalStorage s'utilitza únicament per oferir una funció que l'usuari ha sol·licitat explícitament, per exemple, preservar articles en un carretó de la compra durant una sessió activa, això pot qualificar-se com a emmagatzematge estrictament necessari i no requerir consentiment. No obstant això, si aquestes mateixes dades del carretó s'utilitzen per a anàlisis, retargeting o perfils de comportament, l'exempció de necessitat ja no s'aplica.
Error comú: Assumir que, com que les dades de LocalStorage no viatgen amb les sol·licituds HTTP, estan fora de l'abast de la llei de privadesa. La llei s'aplica a l'acte d'emmagatzemar o accedir a informació al dispositiu d'un usuari, no a si aquesta informació es transmet.
La diferència entre LocalStorage i Cookies: Requisits de consentiment
Tant LocalStorage com les cookies requereixen consentiment quan s'utilitzen per a finalitats no essencials, però difereixen en el comportament tècnic i en com les eines de compliment les gestionen normalment.
| Característica | Cookies | LocalStorage |
|---|---|---|
| Caducitat | Configurable | Cap (fins que s'esborra) |
| S'envia amb sol·licituds HTTP | Sí | No |
| Accés al servidor | Sí | No |
| Cobert per la majoria de CMPs per defecte | Sí | Sovint no [3] |
| Consentiment requerit (no essencial) | Sí | Sí |
| Abast | Per domini/ruta | Per origen |
La bretxa pràctica és significativa: la majoria de les plataformes de gestió del consentiment estan dissenyades al voltant del bloqueig de cookies i la categorització de cookies. Les escriptures de LocalStorage es produeixen mitjançant JavaScript que els CMPs poden no interceptar a menys que estiguin configurats específicament per fer-ho. Per això, LocalStorage sota el radar: per què també requereix el consentiment explícit de l'usuari no és només una preocupació teòrica, és un punt cec de compliment actiu per a una gran proporció de llocs web [3].
Per què LocalStorage necessita el consentiment explícit de l'usuari
LocalStorage requereix el consentiment explícit perquè constitueix l'accés o l'emmagatzematge d'informació al dispositiu d'un usuari, un acte regulat per la Directiva ePrivacy (i les seves implementacions nacionals) independentment de si hi ha dades personals implicades. Els experts legals classifiquen LocalStorage com una "tecnologia similar" a les cookies segons la legislació del Regne Unit, que requereix un consentiment previ, informat i lliurement donat abans que es produeixi qualsevol emmagatzematge no essencial [4].
La lògica subjacent és senzilla: la llei protegeix el dispositiu de l'usuari com una extensió de la seva esfera privada. Tant si les dades s'emmagatzemen en una cookie, LocalStorage, IndexedDB o una memòria cau de service worker, el desencadenant legal és l'acte d'emmagatzematge en si, no el format.
Tres condicions per a un consentiment vàlid (segons la guia de l'ICO) [1]:
- Lliurement donat, sense agrupar el consentiment amb l'acceptació dels termes del servei.
- Específic i informat, l'usuari ha de saber què s'emmagatzema i per què.
- Inequívoc, el consentiment ha de provenir d'una acció afirmativa clara, com marcar una casella de verificació.
Es considera LocalStorage seguiment segons les lleis de privadesa
LocalStorage es considera seguiment quan s'utilitza per identificar, perfilar o monitoritzar usuaris a través de sessions o pàgines. Emmagatzemar un identificador d'usuari d'anàlisi, una assignació de prova A/B o una etiqueta de segment de comportament a LocalStorage constitueix seguiment segons la majoria d'interpretacions reguladores, independentment de si aquestes dades es sincronitzen posteriorment amb un servidor.
Aquest és el nucli de LocalStorage sota el radar: per què també requereix el consentiment explícit de l'usuari, molts desenvolupadors tracten LocalStorage com un mecanisme de memòria cau neutral, quan els reguladors veuen qualsevol identificador persistent al dispositiu com un possible vector de seguiment que requereix consentiment.
Pots emmagatzemar dades personals a LocalStorage
Tècnicament, sí, però fer-ho comporta un risc legal significatiu i generalment és desaconsellable. Les dades personals emmagatzemades a LocalStorage (com ara adreces de correu electrònic, components d'empremtes digitals del dispositiu o identificadors d'usuari vinculats a perfils) estan subjectes a totes les obligacions del GDPR: base legal, minimització de dades, límits de retenció i dret d'esborrat [1].
Riscos específics de LocalStorage:
- Les dades persisteixen indefinidament a menys que s'esborrin explícitament, cosa que dificulta el compliment de la retenció.
- Qualsevol JavaScript de la pàgina (inclosos els scripts de tercers) pot accedir potencialment a les dades de LocalStorage del mateix origen.
- No hi ha xifratge integrat; les dades sensibles emmagatzemades en text pla són accessibles a qualsevol persona amb accés al dispositiu o mitjançant vulnerabilitats XSS.
Recomanació: Eviteu emmagatzemar dades personals identificables a LocalStorage. Si l'emmagatzematge és necessari, assegureu-vos que s'obté el consentiment, que les dades es minimitzen i que existeix un mecanisme d'eliminació clar.
LocalStorage vs SessionStorage: Implicacions de privadesa
SessionStorage es comporta de manera idèntica a LocalStorage en termes de l'API d'emmagatzematge web, però les dades s'esborren quan es tanca la pestanya o la finestra del navegador. Malgrat aquesta vida útil més curta, SessionStorage està subjecte als mateixos requisits de consentiment quan s'utilitza per a seguiment o anàlisi [6].
La distinció clau per a finalitats de compliment:
- SessionStorage pot qualificar-se com a estrictament necessari més fàcilment (per exemple, mantenir l'estat durant un procés de compra de diversos passos), perquè les dades no persisteixen més enllà de la sessió.
- LocalStorage gairebé sempre requereix consentiment per a casos d'ús de seguiment perquè la seva persistència crea un identificador a llarg termini al dispositiu de l'usuari.
Cap dels dos mecanismes està inherentment exempt de la llei de privadesa. El propòsit i el contingut de les dades emmagatzemades determinen l'obligació de consentiment, no el tipus d'emmagatzematge en si.
Què passa si utilitzes LocalStorage sense consentiment
Utilitzar LocalStorage per a finalitats no essencials sense obtenir un consentiment previ vàlid és una violació de la Directiva ePrivacy i, quan hi ha dades personals implicades, del GDPR. Les conseqüències poden incloure investigació reguladora, accions d'execució i danys a la reputació.
Més enllà del risc regulador, hi ha una dimensió creixent d'aplicació tècnica: les funcions de privadesa del navegador i els bloquejadors d'anuncis cada vegada més s'orienten al seguiment basat en LocalStorage. Els llocs que depenen de LocalStorage sense consentiment per a anàlisis o personalització poden trobar que les seves dades són cada vegada menys fiables a mesura que aquestes eines es fan més prevalents.
Llista de comprovació d'exposició pràctica:
- Scripts d'anàlisi de tercers que escriuen identificadors de LocalStorage sense cobertura de consentiment.
- Eines de proves A/B que emmagatzemen assignacions de variants abans de recollir el consentiment.
- Widgets de xat o eines de suport que inicialitzen LocalStorage en la càrrega de la pàgina abans de qualsevol interacció de l'usuari.
- Píxels de retargeting que utilitzen LocalStorage com a alternativa de sincronització de cookies.
Com implementar el consentiment de LocalStorage al teu lloc web
La implementació del consentiment de LocalStorage requereix una plataforma de gestió del consentiment que pugui bloquejar l'execució de JavaScript, no només la configuració de cookies, fins que l'usuari hagi fet una elecció de consentiment vàlida. Els bàners de cookies estàndard que operen només a la capa HTTP no interceptaran les escriptures de LocalStorage realitzades per JavaScript [3].
Enfocament d'implementació pas a pas:
- Audita l'ús de LocalStorage. Utilitza les eines de desenvolupament del navegador (pestanya Aplicació) i un escàner de scripts per identificar cada clau escrita a LocalStorage, quin script la escriu i amb quina finalitat.
- Categoritza cada ús. Classifica l'emmagatzematge com a estrictament necessari, funcional, d'anàlisi o de màrqueting. Només l'emmagatzematge estrictament necessari pot procedir sense consentiment.
- Selecciona un CMP que cobreixi LocalStorage. Assegura't que la teva plataforma de gestió del consentiment pugui bloquejar o diferir l'execució de JavaScript per a scripts no necessaris fins que es concedeixi el consentiment. Biscotti CMP està dissenyat per gestionar aquest nivell de gestió del consentiment a nivell de script.
- Implementa la càrrega de scripts amb consentiment. Els scripts no essencials que escriuen a LocalStorage només s'han de carregar després que l'usuari hagi acceptat la categoria de consentiment rellevant.
- Proporciona una interfície d'usuari de consentiment clara. El bàner de consentiment ha de descriure l'ús de LocalStorage en llenguatge senzill, categoritzat per propòsit, amb opcions d'acceptació granulars.
- Implementa un mecanisme de retirada i eliminació. Quan un usuari retira el consentiment, les claus de LocalStorage rellevants s'han d'esborrar immediatament.
Com eliminar les dades de LocalStorage després que l'usuari retiri el consentiment
Quan un usuari retira el consentiment, el lloc web ha d'eliminar ràpidament qualsevol dada de LocalStorage que s'hagi recollit sota aquest consentiment. Això no és opcional; el dret a retirar el consentiment i a que s'eliminin les dades associades és un principi fonamental del GDPR.
Patró d'implementació: