Ao coletar apenas os dados pessoais de que você precisa e solicitar consentimento para qualquer coisa além das necessidades puramente técnicas. E informando o que você está coletando e por quanto tempo está armazenando essas informações.
Sério, não é tão difícil. Todos nós, europeus, estamos fazendo isso.
Com cookies, você deve usar apenas os técnicos se não obtiver consentimento.
Eu sugiro que o único cookie que você pode armazenar sem consentimento é um cookie contendo uma recusa de consentimento. Assim, você não incomoda o usuário a cada solicitação.
Bem, isso não é verdade. É um desses cookies. Você pode usar qualquer coisa sem consentimento que
não segue um usuário
não identifica um usuário fora de um site e sem necessidade técnica
não ajuda a armazenar dados pessoais sem necessidade técnica
Realmente, isso não é tão difícil.
Não espione seus usuários
Não use dados pessoais, a menos que seja necessário
Não armazene dados pessoais por mais tempo do que o necessário
Diga o que você está fazendo e por quê
O GDPR é uma questão de informações pessoais e como usá-las. Nada mais, nada menos.
Não tem absolutamente nada a ver com como armazenamos informações de idioma ou se alguém está logado ou não, etc. Ninguém precisa de consentimento para isso, mas isso (e tudo mais) deve ser informado.
É por isso que estou um pouco confuso por que isso é um sinal vermelho para tantos sites. Porque eles querem seguir, coletar dados pessoais, etc., talvez?
Isso é tão simples quanto não enviarmos spam, mesmo que todos os especialistas em marketing nos digam o quão eficaz é para ganhar dinheiro.