ICO تأیید کرد: کوکی‌های analytics غیرضروری نیازمند رضایت صریح هستند

ماجرا چه بود؟

در ۲۹ آوریل ۲۰۲۶، تنظیم‌گر داده‌ی بریتانیا (Information Commissioner's Office یا ICO) راهنمای به‌روز شده‌ای منتشر کرد که موضع رسمی خود را در مورد کوکی‌های analytics روشن کرد. ICO تأیید کرد که analytics cookies که برای عملکرد بنیادی سایت ضروری نیستند، تحت PECR (Privacy and Electronic Communications Regulations) نیازمند رضایت صریح کاربر هستند.

این به‌روزرسانی پایان یک دوره‌ی ابهام در صنعت بود. تا کنون بسیاری از وب‌سایت‌های بریتانیایی Google Analytics را به‌عنوان «strictly necessary» دسته‌بندی می‌کردند و بدون consent banner اجرا می‌کردند.

جزئیات فنی

طبق راهنمای جدید، فقط cookie هایی که این معیارها را دارند می‌توانند بدون consent set شوند:

• ضروری برای استفاده‌ای که کاربر صراحتاً درخواست کرده (مثلاً session cookie برای login).
• مرتبط با security بنیادی سایت.
• مرتبط با عملکرد form ها و shopping cart.

Analytics — حتی aggregate و anonymous — این معیارها را نمی‌رسد. حتی Google Analytics با حالت anonymize_ip و IP partial تنظیم، همچنان cookie نیازمند consent محسوب می‌شود.

تأثیر و واکنش

این تغییر تأثیر بزرگی بر صنعت analytics دارد. شرکت‌های متوسط بریتانیایی که از GA استفاده می‌کنند، باید consent banner ها را اضافه یا بهینه کنند، یا به جایگزین‌های privacy-friendly مانند Plausible، Fathom، یا Simple Analytics مهاجرت کنند.

ICO اعلام کرد در ۶ ماه آینده، fairness audit ای از وب‌سایت‌های پرتردد بریتانیا انجام می‌دهد و در صورت نقض‌های جدی، اقدام enforcement خواهد کرد.

نکات برای کاربران و سازمان‌ها

• اگر وب‌سایت شما در بریتانیا فعالیت دارد، GA و سایر analytics tools را در consent banner خود به‌عنوان «non-essential» علامت‌گذاری کنید.
• بازنگری در choice analytics platform: ابزارهای cookieless مانند Plausible به consent نیازی ندارند.
• در صورت استفاده از GA4، فعال‌سازی consent mode v2 برای پایبندی به Google Consent Mode.
• در سطح کاربر: استفاده از Privacy Badger یا uBlock Origin برای block خودکار analytics.

منابع

• ICO