zgoda na pliki cookie

Zgoda na pliki cookie to wymagana prawem zgoda użytkownika na zapisywanie i odczytywanie plików cookie innych niż niezbędne, odbierana zwykle przez baner na stronie i możliwa do wycofania. Polski przepis nie używa słowa „cookie”: art. 399 Prawa komunikacji elektronicznej mówi o przechowywaniu informacji lub uzyskiwaniu dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym użytkownika ^[1]. Reguła obejmuje więc ciasteczka, pamięć lokalną przeglądarki i podobne techniki. Trybunał Sprawiedliwości UE uznał, że wymóg zgody nie zależy od tego, czy zapisywane informacje są danymi osobowymi, bo prawo ma chronić użytkownika przed ukrytymi identyfikatorami trafiającymi do jego urządzenia bez jego wiedzy ^[2].

Podstawa prawna

Źródłem obowiązku jest art. 5 ust. 3 unijnej dyrektywy o prywatności i łączności elektronicznej, wdrażany przez prawo krajowe ^[3]. W Polsce przepis ten realizuje art. 399 ustawy z 12 lipca 2024 roku – Prawo komunikacji elektronicznej ^[1]. Wcześniej analogiczną regułę zawierał art. 173 Prawa telekomunikacyjnego, w brzmieniu obowiązującym od 22 marca 2013 roku ^[5].

Zgodnie z art. 399 ust. 1 przechowywanie informacji w urządzeniu użytkownika jest dozwolone, jeśli użytkownik zostanie uprzednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu oraz o możliwości określenia warunków w ustawieniach oprogramowania, a następnie wyrazi zgodę ^[1]. Do uzyskania zgody stosuje się odpowiednio przepisy o ochronie danych osobowych (art. 400) ^[1], czyli RODO. Tam zgoda jest dobrowolnym, konkretnym, świadomym i jednoznacznym okazaniem woli (art. 4 pkt 11), a jej wycofanie musi być równie łatwe jak wyrażenie (art. 7 ust. 3) ^[4]. EROD przypomina, że odesłanie do zgody z RODO obejmuje zarówno jej definicję z art. 4, jak i warunki z art. 7 ^[3].

Przepis przewiduje wyjątek. Zgody nie potrzeba, gdy przechowywanie informacji jest konieczne do przesłania komunikatu albo do dostarczenia usługi, której użytkownik zażądał ^[1]. Kandydatem do tej grupy jest na przykład ciasteczko przechowujące token sesyjny zalogowanego użytkownika, bez którego logowanie nie działa; o tym, czy ciasteczko jest niezbędne, rozstrzyga jego cel, a nie nazwa.

Warunki ważnej zgody

W wyroku w sprawie Planet49 z 1 października 2019 roku Trybunał orzekł, że zgoda nie jest skutecznie wyrażona przez zaznaczone z góry pole, które użytkownik musi odznaczyć, by odmówić ^[2]. Zgoda musi być konkretna: kliknięcie przycisku udziału w loterii nie oznacza zgody na cookie ^[2]. Informacja dla użytkownika powinna obejmować czas działania plików cookie i to, czy mają do nich dostęp podmioty trzecie ^[2].

Europejska Rada Ochrony Danych w raporcie grupy roboczej ds. banerów cookie z 18 stycznia 2023 roku zebrała wspólne stanowisko organów ochrony danych wobec typowych praktyk ^[3].

Grupa przypomniała też, że domyślnie żadne ciasteczko wymagające zgody nie może zostać zapisane przed jej wyrażeniem, a zgoda musi być aktywnym działaniem użytkownika ^[3]. Wycofanie zgody powinno być możliwe w każdej chwili, na przykład przez stale widoczną ikonę albo link w stałym miejscu ^[3]. Ciasteczko zapamiętujące preferencje użytkownika dotyczące usługi uznano, powołując się na opinię Grupy Roboczej Art. 29, za niezbędne ^[3].

Poprawny obieg zgody pokazuje schemat poniżej.

RYS. 1Obieg zgody na cookie

W WordPressie

Rdzeń WordPressa sam zapisuje niewiele ciasteczek. Od wersji 4.9.6, wydanej 17 maja 2018 roku, niezalogowany komentujący decyduje polem wyboru, czy jego imię, adres e-mail i strona mają zostać zapamiętane w ciasteczku przeglądarki ^[6]. Ta sama wersja dodała wskazywanie strony polityki prywatności oraz narzędzia eksportu i usuwania danych osobowych ^[6].

Większość ciasteczek wymagających zgody dodają wtyczki i osadzone usługi: statystyki, piksele reklamowe, filmy i mapy. Wtyczki banerów i wtyczki ładujące skrypty muszą się porozumieć, czy zgoda została udzielona. Tę wymianę standaryzuje wtyczka WP Consent API, która przekazuje między wtyczkami zaakceptowane kategorie zgody ^[7]. Kategorie to functional, statistics-anonymous, statistics, preferences i marketing, a sprawdzenie zgody wykonuje funkcja wp_has_consent() ^[7].

// skrypt statystyk ładowany dopiero po zgodzie na kategorię "statistics"
if ( function_exists( 'wp_has_consent' ) && wp_has_consent( 'statistics' ) ) {
    wp_enqueue_script( 'statystyki', plugins_url( 'js/stats.js', __FILE__ ), array(), '1.0', true );
}

Baner sam w sobie nie wystarcza. Jeśli motyw lub wtyczka wstawia skrypt śledzący wprost do nagłówka strony, ciasteczko zapisze się przed kliknięciem, czyli wbrew zasadzie opisanej przez EROD ^[3]. Zgoda na cookie dotyczy prywatności, a nie zabezpieczenia ciasteczek przed kradzieżą; tym zajmują się flagi ciasteczek (cookie security attributes).

Znaczenie

Zgoda na cookie jest podstawowym narzędziem ograniczania śledzenia w internecie (online tracking). Trybunał łączy ją wprost z ochroną życia prywatnego przed ukrytymi identyfikatorami ^[2]. Przepis obejmuje nie tylko zapis, ale też uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu ^[1], co ma znaczenie przy technikach pokrewnych, takich jak fingerprinting przeglądarki.

Dla właściciela strony zgoda jest elementem zgodności regulacyjnej (compliance). Brak ważnej zgody na zapis cookie powoduje, według EROD, że dalsze przetwarzanie danych zebranych tą drogą nie może być zgodne z RODO ^[3]. Odpowiada za to administrator danych osobowych, a nadzór sprawuje organ nadzorczy.

Dobre praktyki

• Przed zgodą ładować tylko ciasteczka niezbędne do działania żądanej usługi ^{[1] [3]}.
• Na pierwszym poziomie banera umieścić odmowę obok zgody, w równorzędnej, czytelnej formie ^[3].
• Nie zaznaczać z góry żadnych kategorii ^[2].
• Podać cel, czas działania ciasteczek i informację o dostępie podmiotów trzecich ^[2].
• Udostępnić stały sposób zmiany decyzji ^[3].
• Zmapować, które wtyczki zapisują ciasteczka, i powiązać ich skrypty z mechanizmem zgody ^[7]; to praktyczny element uwzględniania ochrony danych w fazie projektowania (privacy by design).

Historia i przykłady

• Marzec 2013. W Polsce zaczyna obowiązywać znowelizowany art. 173 Prawa telekomunikacyjnego. Sekurak opisuje wątpliwości: przepis mówi ogólnie o przechowywaniu informacji, co można odnieść także do plików w pamięci podręcznej, a portale wdrożyły go na różne sposoby ^[5].
• Maj 2018. WordPress 4.9.6 wprowadza pole zgody na zapamiętanie danych komentującego w ciasteczku ^[6].
• Październik 2019. Wyrok Trybunału w sprawie C-673/17 Planet49: zaznaczone z góry pole nie jest zgodą ^[2].
• Styczeń 2023. EROD przyjmuje raport grupy roboczej ds. banerów cookie, powołanej do rozpatrywania skarg organizacji NOYB ^[3].
• Lipiec 2024. Uchwalone zostaje Prawo komunikacji elektronicznej z art. 399 o przechowywaniu informacji w urządzeniu końcowym ^[1].