Erantzun azkarra: LocalStorage nabigatzailean oinarritutako biltegiratze-mekanismo bat da, cookieak bezala, datuen pribatutasun-araudien barruan sartzen dena, EBko ePrivacy Zuzentaraua eta GDPR barne. Ezinbestekoak ez diren datuak LocalStorage-n gordetzea edo atzitzea, erabiltzailearen aurretiazko, informatutako eta libreki emandako baimenik gabe, betetze-urraketa bat da. Erakunde gehienek hau ahaztu egiten dute, beren baimen-kudeaketarako tresnak cookieetarako soilik konfiguratuta daudelako, LocalStorage erabat kudeatu gabe utziz.
Gako-ondorioak
- LocalStorage legez cookieen "antzeko teknologia" gisa tratatzen da Erresuma Batuko eta EBko legeen arabera, hau da, baimen-arau berberak aplikatzen dira.
- Europako Datuak Babesteko Batzordeak (EDPB) baieztatu du LocalStorage bezalako teknologiek aurretiazko, informatutako eta libreki emandako baimena behar dutela ezinbestekoak ez diren datuak gorde edo atzitu aurretik [2].
- ICOk zerbitzu baterako erabat beharrezkoa den biltegiratzearen eta jarraipenerako edo analisirako erabiltzen den beharrezkoa ez den biltegiratzearen arteko bereizketa egiten du; azken honek soilik behar du baimen esplizitua [1].
- Baimen-kudeaketarako plataforma askok cookieak arautzen dituzte lehenespenez, baina LocalStorage monitorizatu gabe uzten dute, betetze-hutsune handi bat sortuz [3].
- SessionStorage-k LocalStorage-ren pribatutasun-ondorio berberak ditu jarraipenerako edo analisirako erabiltzen denean.
- Baimena ezeztatzeak webgunea behartzen du baimen horren arabera bildutako LocalStorage datuak ezabatzera.
- LocalStorage-n idazten duten hirugarrenen script-ek ere baimen-estaldura behar dute; erantzukizuna gunearen operadorearena da.
- GDPRren arabera ez-betetzeagatiko zigorrak handiak izan daitezke; arriskua areagotu egiten da urraketak sistemikoak eta ezkutukoak direnean.
Zer da LocalStorage eta nola funtzionatzen du
LocalStorage Web Storage API bat da, nabigatzaile modernoetan integratuta dagoena, webguneek gako-balio datu-pareak zuzenean erabiltzailearen gailuan gordetzeko aukera ematen diena, iraungitze-datarik gabe eta jatorri bakoitzeko 5-10 MB inguruko muga tipikoarekin. Cookieak ez bezala, LocalStorage datuak ez dira inoiz automatikoki zerbitzari batera bidaltzen HTTP eskaerekin; esplizituki webgunearen JavaScript-ek edo erabiltzaileak garbitu arte irauten du.
Hona hemen nola funtzionatzen duen praktikan:
- Webgune baten JavaScript-ek
localStorage.setItem('key', 'value')deitzen du datuak idazteko. - Datu horiek gailuan geratzen dira nabigatzaile-saioetan zehar,
localStorage.removeItem('key')edolocalStorage.clear()deitu arte. - Jatorri bereko (protokoloa + domeinua + ataka) script-ek soilik irakur ditzakete edo idatz ditzakete datu horiek.
Erabilera ohikoenak honako hauek dira: erabiltzailearen hobespenak (gaia, hizkuntza), saio-tokenak, analitika-identifikatzaileak, erosketa-saskiaren edukiak eta A/B proben aldaera-esleipenak gordetzea.
Betetze-puntu kritikoa: LocalStorage-k datuak erabiltzailearen gailuan gordetzen dituenez, cookieen lege-esparru bera aktibatzen du ePrivacy Zuzentarauaren eta GDPRren arabera, datu horiek zerbitzari batera inoiz transmititzen diren ala ez kontuan hartu gabe [4].
Behar al duzu erabiltzailearen baimena LocalStorage-rako GDPRren arabera
Bai, LocalStorage-ren ezinbestekoak ez diren erabilera guztietarako, erabiltzailearen baimen esplizitua behar da datuak gorde edo atzitu aurretik. EDPBk baieztatu du LocalStorage bezalako teknologiek cookieen baimen-eskakizun berberak dituztela, aurretiazko, informatutako eta libreki emandako baimena eskatuz [2]. ICOk gainera zehazten du baimena ekintza argi eta anbiguogabe baten bidez baieztatu behar dela, ez nabigazio-jokabidetik ondorioztatu edo gunearen etengabeko erabileratik suposatu [1].
Beharrezko salbuespena: LocalStorage erabiltzaileak esplizituki eskatutako funtzio bat emateko soilik erabiltzen bada, adibidez, elementuak erosketa-saski batean saio aktibo batean zehar mantentzeko, hau erabat beharrezkoa den biltegiratze gisa sailka daiteke eta ez du baimenik behar. Hala ere, saski-datu horiek analitikarako, birbideratzerako edo jokabide-profilerako erabiltzen badira, beharrezko salbuespena ez da jada aplikatzen.
Akats ohikoa: LocalStorage datuak HTTP eskaerekin bidaiatzen ez direlako, pribatutasun-legearen esparrutik kanpo daudela suposatzea. Legea erabiltzailearen gailuan informazioa gordetzeko edo atzitzeko ekintzari aplikatzen zaio, ez informazio hori transmititzen den ala ez.
LocalStorage eta Cookieen arteko aldea: Baimen-eskakizunak
Bai LocalStorage-k bai cookieek baimena behar dute ezinbestekoak ez diren helburuetarako erabiltzen direnean, baina desberdinak dira portaera teknikoan eta betetze-tresnek nola kudeatzen dituzten.
| Ezaugarria | Cookieak | LocalStorage |
|---|---|---|
| Iraungitzea | Konfiguragarria | Bat ere ez (garbitu arte) |
| HTTP eskaerekin bidalita | Bai | Ez |
| Zerbitzari-aldeko sarbidea | Bai | Ez |
| CMP gehienek lehenespenez estalita | Bai | Askotan ez [3] |
| Baimena beharrezkoa (ez-funtsezkoa) | Bai | Bai |
| Esparrua | Domeinu/bide bakoitzeko | Jatorri bakoitzeko |
Hutsune praktikoa esanguratsua da: baimen-kudeaketarako plataforma gehienak cookieak blokeatzeko eta cookieak kategorizatzeko diseinatuta daude. LocalStorage-ren idazketak JavaScript bidez gertatzen dira, eta CMPek ez dituzte atzeman, horretarako berariaz konfiguratuta ez badaude. Horregatik, LocalStorage radar azpitik: Zergatik behar duen erabiltzailearen baimen esplizitua ere ez da kezka teoriko bat soilik, webgune gehienentzat betetze-puntu itsu aktibo bat da [3].
Zergatik behar duen LocalStorage-k erabiltzailearen baimen esplizitua
LocalStorage-k baimen esplizitua behar du, erabiltzailearen gailuan informazioa atzitzea edo gordetzea dakarrelako, ePrivacy Zuzentarauak (eta bere ezarpen nazionalek) araututako ekintza bat, datu pertsonalak inplikatuta dauden ala ez kontuan hartu gabe. Lege-adituek LocalStorage cookieen "antzeko teknologia" gisa sailkatzen dute Erresuma Batuko legearen arabera, aurretiazko, informatutako eta libreki emandako baimena eskatuz ezinbestekoak ez diren biltegiratzeak gertatu aurretik [4].
Azpiko logika zuzena da: legeak erabiltzailearen gailua babesten du bere esfera pribatuaren luzapen gisa. Datuak cookie batean, LocalStorage-n, IndexedDB-n edo zerbitzu-langile baten cachean gordetzen diren ala ez, lege-aktibatzailea biltegiratze-ekintza bera da, ez formatua.
Baimen baliozkoaren hiru baldintza (ICOren gidalerroen arabera) [1]:
- Libreki emana, zerbitzu-baldintzak onartzearekin baimena ez lotzea.
- Zehatza eta informatua, erabiltzaileak jakin behar du zer gordetzen den eta zergatik.
- Anbiguogabea, baimena ekintza baiezko argi batetik etorri behar da, adibidez, kontrol-lauki bat markatuz.
LocalStorage jarraipen gisa hartzen al da pribatutasun-legeen arabera
LocalStorage jarraipen gisa hartzen da erabiltzaileak saio edo orrialdeetan zehar identifikatzeko, profilatzeko edo monitorizatzeko erabiltzen denean. Analitika-erabiltzaile ID bat, A/B proba baten esleipena edo jokabide-segmentu baten etiketa LocalStorage-n gordetzeak jarraipena dakar araudi-interpretazio gehienen arabera, datu horiek gero zerbitzari batera sinkronizatzen diren ala ez kontuan hartu gabe.
Hau da LocalStorage radar azpitik: Zergatik behar duen erabiltzailearen baimen esplizitua ere-ren muina; garatzaile askok LocalStorage caching-mekanismo neutro gisa tratatzen dute, erregulatzaileek gailu-aldeko identifikatzaile iraunkor oro jarraipen-bektore potentzial gisa ikusten dutenean, baimena eskatuz.
Datu pertsonalak gorde al ditzakezu LocalStorage-n
Teknikoki, bai, baina hori egiteak lege-arrisku handia dakar eta, oro har, ez da gomendagarria. LocalStorage-n gordetako datu pertsonalak (hala nola, helbide elektronikoak, gailuaren hatz-marken osagaiak edo profilekin lotutako erabiltzaile IDak) GDPRren betebehar guztien mende daude: lege-oinarria, datuen minimizazioa, atxikipen-mugak eta ezabatzeko eskubidea [1].
LocalStorage-ren arrisku espezifikoak:
- Datuak mugagabe irauten dute esplizituki garbitu ezean, atxikipenaren betetzea zaila eginez.
- Orrialdeko edozein JavaScript-ek (hirugarrenen script-ak barne) potentzialki atzi ditzake jatorri bereko LocalStorage datuak.
- Ez dago enkriptatze integraturik; testu arruntean gordetako datu sentikorrak gailura sarbidea duten edonork edo XSS ahultasunen bidez atzi ditzake.
Gomendioa: Saihestu datu pertsonal identifikagarriak LocalStorage-n gordetzea. Biltegiratzea beharrezkoa bada, ziurtatu baimena lortzen dela, datuak minimizatzen direla eta ezabatzeko mekanismo argi bat dagoela.
LocalStorage vs SessionStorage: Pribatutasun-ondorioak
SessionStorage-k LocalStorage-ren modu berean jokatzen du Web Storage APIari dagokionez, baina datuak nabigatzailearen fitxa edo leihoa ixten denean garbitzen dira. Iraupen laburragoa izan arren, SessionStorage-k baimen-eskakizun berberak ditu jarraipenerako edo analisirako erabiltzen denean [6].
Betetze-helburuetarako funtsezko bereizketa:
- SessionStorage errazago sailka daiteke erabat beharrezko gisa (adibidez, egoera mantentzea urrats anitzeko ordainketa batean zehar), datuak saiotik haratago irauten ez dutelako.
- LocalStorage-k ia beti baimena behar du jarraipen-kasuetarako, bere iraunkortasunak epe luzeko identifikatzaile bat sortzen baitu erabiltzailearen gailuan.
Mekanismo horietako bat ere ez dago berez pribatutasun-legeetatik salbuetsita. Gordetako datuen helburuak eta edukiak zehazten dute baimen-betebeharra, ez biltegiratze-motak berak.
Zer gertatzen da LocalStorage baimenik gabe erabiltzen baduzu
LocalStorage ezinbestekoak ez diren helburuetarako erabiltzea, aurretiazko baimen baliozkoa lortu gabe, ePrivacy Zuzentarauaren urraketa bat da eta, datu pertsonalak inplikatuta daudenean, GDPRren urraketa bat. Ondorioak araudi-ikerketa, betearazpen-ekintza eta ospe-kalteak izan daitezke.
Araudi-arriskuaz gain, betearazpen teknikoaren dimentsio gero eta handiagoa dago: nabigatzailearen pribatutasun-eginbideek eta iragarki-blokeatzaileek gero eta gehiago dute helburu LocalStorage-n oinarritutako jarraipena. Analitikarako edo pertsonalizaziorako baimenik gabeko LocalStorage-n oinarritzen diren guneek beren datuak gero eta fidagarriagoak ez direla ikus dezakete, tresna horiek gero eta hedatuago daudelako.
Esposizio praktikoaren kontrol-zerrenda:
- Hirugarrenen analitika-script-ak LocalStorage identifikatzaileak idazten dituzte baimen-estaldurarik gabe.
- A/B proba-tresnak aldaera-esleipenak gordetzen dituzte baimena bildu aurretik.
- Txat-widget-ak edo laguntza-tresnak LocalStorage inizializatzen dute orrialdea kargatzean, erabiltzailearen interakziorik gertatu aurretik.
- Birbideratze-pixelak LocalStorage erabiltzen dute cookie-sinkronizazioaren ordezko gisa.
Nola ezarri LocalStorage baimena zure webgunean
LocalStorage baimena ezartzeko, JavaScript exekuzioa blokeatu dezakeen baimen-kudeaketarako plataforma bat behar da, ez bakarrik cookieak ezartzea, erabiltzaileak baimen-aukera baliozko bat egin arte. HTTP geruzan soilik funtzionatzen duten cookie-bandera estandarrek ez dituzte JavaScript-ek egindako LocalStorage idazketak atzemango [3].
Urrats-urratseko ezarpen-ikuspegia:
- Auditatu zure LocalStorage erabilera. Erabili nabigatzailearen garatzaile-tresnak (Aplikazio fitxa) eta script-eskaner bat LocalStorage-n idatzitako gako bakoitza, zein script-ek idazten duen eta zein helbururekin identifikatzeko.
- Kategorizatu erabilera bakoitza. Sailkatu biltegiratzea erabat beharrezko, funtzional, analitika edo marketin gisa. Erabat beharrezko biltegiratzeak soilik jarrai dezake baimenik gabe.
- Aukeratu LocalStorage estaltzen duen CMP bat. Ziurtatu zure baimen-kudeaketarako plataformak JavaScript exekuzioa blokeatu edo atzeratu dezakeela beharrezkoak ez diren script-etarako, baimena eman arte. Biscotti CMP script-mailako baimen-kudeaketa maila hau kudeatzeko diseinatuta dago.
- Ezarri baimen bidezko script kargatzea. LocalStorage-n idazten duten ezinbestekoak ez diren script-ak erabiltzaileak dagokion baimen-kategoria onartu ondoren bakarrik kargatu beharko lirateke.
- Eman baimen-UI argi bat. Baimen-banderak LocalStorage-ren erabilera hizkuntza arruntean deskribatu behar du, helburuaren arabera kategorizatuta, aukera zehatzekin.
- Ezarri ezeztapen- eta ezabapen-mekanismo bat. Erabiltzaile batek baimena ezeztatzen duenean, dagokion LocalStorage gakoak berehala garbitu behar dira.
Nola ezabatu LocalStorage datuak erabiltzaileak baimena ezeztatu ondoren
Erabiltzaile batek baimena ezeztatzen duenean, webguneak berehala ezabatu behar ditu baimen horren arabera bildutako LocalStorage datuak. Hau ez da aukerakoa; baimena ezeztatzeko eta lotutako datuak ezabatzeko eskubidea GDPRren oinarrizko printzipio bat da.
Ezarpen-eredua: