Zgoda na pliki cookie: czego wymagają przepisy ePrivacy

Banery cookie to najbardziej widoczna część unijnego prawa ochrony prywatności i zarazem ta, która najczęściej jest wdrażana błędnie. Zasady wynikają z dwóch współdziałających aktów: dyrektywa ePrivacy 2002/58/WE określa, kiedy zgoda jest potrzebna, a RODO definiuje, co uznaje się za zgodę.

Zasada w jednym zdaniu

Art. 5 ust. 3 dyrektywy ePrivacy, w brzmieniu zmienionym w 2009 r., pozwala zapisywać informacje na urządzeniu użytkownika lub uzyskiwać dostęp do informacji już tam przechowywanych tylko wtedy, gdy użytkownik wyraził zgodę po otrzymaniu jasnych i wyczerpujących informacji, chyba że zapis lub dostęp służy wyłącznie przesłaniu komunikatu albo jest bezwzględnie niezbędny do świadczenia usługi, której użytkownik wyraźnie zażądał.

Wynikają z tego trzy konsekwencje:

• Zasada jest neutralna technologicznie. Obejmuje pliki cookie, local storage, piksele śledzące, fingerprinting urządzeń i podobne techniki. Wytyczne EROD 2/2023 wyjaśniają, jak szeroko należy rozumieć pojęcia „przechowywania” i „dostępu”.
• Nie ogranicza się do danych osobowych. W sprawie Planet49 (C-673/17) Trybunał Sprawiedliwości potwierdził, że art. 5 ust. 3 ma zastosowanie bez względu na to, czy przechowywane informacje są danymi osobowymi.
• Najpierw zgoda. Skrypty, które nie są niezbędne, nie mogą się uruchamiać, zanim odwiedzający podejmie decyzję.

Kiedy zgoda jest ważna

Ponieważ dyrektywa ePrivacy przejmuje definicję zgody z prawa ochrony danych, zastosowanie ma standard RODO (art. 4 pkt 11, art. 7 oraz art. 94 ust. 2, który odesłania do dawnej dyrektywy 95/46/WE kieruje do RODO). Zgoda musi być:

1. Dobrowolna: odmowa nie może prowadzić do gorszych warunków niż akceptacja, poza tym, co bezwzględnie niezbędne. Ściany cookie (cookie walls), które blokują dostęp, dopóki odwiedzający nie wyrazi zgody, są przez unijne organy nadzorcze powszechnie uznawane za niezgodne z tym wymogiem.
2. Konkretna: odrębne cele (analityka, reklama, personalizacja) wymagają odrębnych wyborów.
3. Świadoma: odwiedzający musi wiedzieć, kto zbiera jakie dane, w jakim celu i jak długo. W sprawie Planet49 uznano, że należą do tego informacje o okresie działania plików cookie i o tym, czy podmioty trzecie mają do nich dostęp.
4. Jednoznaczna: wymaga wyraźnego działania potwierdzającego. Wyrok Planet49 wykluczył domyślnie zaznaczone pola wyboru; przewijanie strony czy „dalsze przeglądanie” również nie stanowią zgody (Wytyczne EROD 05/2020).

RODO dodaje dwa obowiązki praktyczne: administrator musi być w stanie wykazać zgodę (art. 7 ust. 1), a wycofanie zgody musi być równie łatwe jak jej wyrażenie (art. 7 ust. 3). W praktyce oznacza to przechowywany zapis zgody i stale dostępny sposób ponownego otwarcia banera.

Projekt banera: czemu sprzeciwiają się organy nadzorcze

W styczniu 2023 r. EROD opublikowała sprawozdanie swojej grupy zadaniowej ds. banerów cookie, które podsumowuje wspólne stanowiska krajowych organów. Do praktyk, które większość organów uznała za problematyczne, należą:

• brak przycisku „odrzuć” na pierwszej warstwie, gdy znajduje się tam przycisk „akceptuj”;
• domyślnie zaznaczone pola celów lub dostawców na drugiej warstwie;
• wprowadzający w błąd link zamiast przycisku dla opcji odrzucenia;
• wprowadzające w błąd kolory i kontrast przycisków, przez które „akceptuj” jest jedynym oczywistym wyborem;
• powoływanie się na „prawnie uzasadniony interes” w przypadku śledzenia, które wymaga zgody;
• klasyfikowanie zbędnych plików cookie jako „niezbędnych”;
• brak łatwego sposobu późniejszego wycofania zgody.

Krajowe egzekwowanie przepisów idzie w tym samym kierunku. Francuski organ CNIL nałożył na przykład pod koniec 2021 r. (ogłoszone w styczniu 2022 r.) kary na Google i Facebook, ponieważ odrzucenie plików cookie wymagało więcej kliknięć niż ich akceptacja.

Co jest zwolnione z wymogu zgody

Wyjątek dotyczący przechowywania „bezwzględnie niezbędnego” jest wąski i ocenia się go z perspektywy odwiedzającego: chodzi o zapis, bez którego usługa nie może działać. Typowe przykłady to plik cookie koszyka, plik cookie sesji po zalogowaniu, plik cookie równoważenia obciążenia lub plik cookie zapamiętujący sam wybór dotyczący zgody. Analityka, testy A/B, reklama i piksele mediów społecznościowych z reguły nie są bezwzględnie niezbędne, nawet jeśli pochodzą od pierwszej strony lub są „zanonimizowane”. Niektóre krajowe organy akceptują wąsko skonfigurowany pomiar oglądalności bez zgody; zanim zaczną Państwo na tym polegać, warto sprawdzić przepisy kraju, do którego kierowana jest strona.

Frameworki zgód i menedżery tagów

Platformy zarządzania zgodami (CMP) oraz IAB Transparency & Consent Framework standaryzują sposób przekazywania wyborów reklamodawcom. W sprawie IAB Europe (C-604/22) Trybunał Sprawiedliwości orzekł, że „TC String”, kodujący preferencje użytkownika, może stanowić dane osobowe, a organizacja prowadząca taki framework może być współadministratorem. CMP to narzędzie, a nie gwarancja: źle skonfigurowana platforma nadal wczytuje narzędzia śledzące zbyt wcześnie. Podobnie „tryby zgody” działające po stronie przeglądarki, które dostosowują zachowanie tagów, nie zastępują zgody; zmieniają jedynie to, co jest wysyłane po podjęciu decyzji.

Jak w dziesięć minut przetestować własny baner

1. Otworzyć okno prywatne, w narzędziach deweloperskich otworzyć karty Network i Application, a następnie wczytać stronę główną. Niczego nie klikać.
2. Zanotować każdy plik cookie, każdy wpis w pamięci przeglądarki i każde żądanie do podmiotu trzeciego. Wszystko, co wykracza poza to, co bezwzględnie niezbędne, jest ustaleniem.
3. Kliknąć „odrzuć”. Przejść na dwie kolejne podstrony. Zbędne żądania muszą pozostać wyłączone.
4. Wyczyścić wszystko, odświeżyć stronę i kliknąć „akceptuj”. Porównać: różnica pokazuje, co baner faktycznie kontroluje.
5. Poszukać drogi powrotu: linku lub ikony, która na każdej podstronie ponownie otwiera baner.

Automatyczne skanery robią dokładnie to samo na dużą skalę i powtarzają test po każdym wdrożeniu; właśnie za to warto im płacić. Usługi, które oceniamy, można porównać na stronie porównania.