Czy zgoda na Cookies jest wymagana przez RODO?

RODO nakłada na firmy obowiązek poinformowania o celu i sposobie przetwarzanych danych osobowych. A dana osoba musi wyrazić na to zgodę. Czy zgoda na Cookies również jest regulowana RODO? Czy może wystarczy samo poinformowanie (bez uzyskania zgody) na ciasteczka?

Czym i po co są ciasteczka cookies?

Pliki cookies (tzw. „ciasteczka”) to dane informatyczne, w szczególności pliki tekstowe w postaci szeregu liter i cyfr, przechowywane w komputerze użytkownika i przeznaczone do korzystania ze stron internetowych Serwisu. Cookies zazwyczaj zawierają nazwę strony internetowej, z której pochodzą, czas przechowywania ich na komputerze użytkownika oraz unikalny numer.

Wyróżnia się dwa rodzaje plików cookies:

• „sesyjne” (session cookies) -  to pliki tymczasowe, które przechowywane są w komputerze użytkownika do czasu wylogowania, opuszczenia strony internetowej lub zamknięcia przeglądarki,

• “stałe” (persistent cookies) - te pliki przechowywane są w komputerze użytkownika  przez czas określony w parametrach plików cookies lub do czasu ich usunięcia przez użytkownika.

W zależności od strony internetowej i jej celu, inny może być rodzaj wykorzystywania plików Cookies. Mogą być one wykorzystywane, np. do:

• zapamiętywania haseł i loginów,

• zapamiętywania danych w wypełnianym formularzu (automatyczne uzupełnianie formularzy),

• analizy czasu spędzanego na danej stronie,

• zapamiętywania informacji o sposobie korzystania ze strony,

• zapamiętywania wybranych przez użytkownika ustawień i preferencji,

• opracowania danych statystycznych, która podstrona/artykuł jest najbardziej popularna.

W wielu przypadkach oprogramowanie służące do przeglądania stron internetowych (przeglądarka internetowa) domyślnie dopuszcza przechowywanie plików cookies w komputerze użytkownika. Użytkownicy mogą dokonać w każdym czasie zmiany ustawień dotyczących plików cookies lub je zablokować. Zmiany lub blokady dokonuje się w ustawieniach przeglądarki.

Należy jednak mieć na uwadze, że gdy ciasteczka będą zablokowane, strona nie będzie pamiętać ustawień, preferencji, czy haseł użytkownika. Wiąże się to z koniecznością wypełniania tych samych danych za każdym razem wchodzenia na stronę. 

Cookies a dane osobowe

Dane osobowe to informacje pozwalające na rozpoznanie konkretnej osoby. Czasem do jej identyfikacji wystarczy jedna informacja (np. najwyższa osoba w zespole), czasem tych informacji musi być więcej (np. imię, nazwisko i data urodzenia). Zdarza się, że ta sama dana w jednym miejscu pozwala na zidentyfikowanie konkretnej osoby (np. numer PESEL w urzędzie gminy), a w drugim już nic nie znaczy (np. PESEL zapisany na kartce papieru). Daną osobową może być również adres IP, ale tylko wtedy, gdy za jego pomocą można wskazać konkretną osobę.

A zatem, jeśli adres IP nie identyfikuje konkretnej osoby - nie można go uznać za daną osobową. A skoro, w takim przypadku poprzez adres IP nie da się nikogo zidentyfikować  - nie można mówić o przetwarzaniu danych osobowych.

Wyróżnia się adresy IP stałe oraz dynamiczne. Uważa się, adres stały jest daną osobową, ponieważ za jego pomocą można zidentyfikować konkretnego użytkownika.

Zgoda na cookies sprzed RODO

Zgoda na Cookies jest uregulowana przede wszystkim przez ustawę Prawo telekomunikacyjne oraz unijną dyrektywę o łączności (e-privacy). Te przepisy istnieją w Polsce od dobrych kilku lat. Wspomniane akty prawne nakazują właścicielom stron internetowych uzyskanie zgody na stosowanie i przechowywanie plików cookies w komputerach użytkowników.

Jako zgodę rozumie się świadome i wyraźne okazanie woli. A zatem, zgodą jest świadomy gest. Nie jest tu konieczne zbieranie oświadczeń, zaznaczanie checkboxów (małe, kwadratowe pola), wystarczy jeśli dana osoba okazała świadomy gest potwierdzający, np. wpisała e-mail w odpowiednie pole, czy wciąż przegląda stronę po przeczytaniu stosownych informacji o Cookies.

Podsumowując, zgoda na Cookies może być wyrażona poprzez samo ustawienie przeglądarki, czy zmianę jej ustawień. Uważa się, że jeśli użytkownik, po przeczytaniu wyraźniej informacji o stosowanych plikach Cookies, wciąż korzysta z danej strony - to wyraził świadomy gest, czyli wyraził zgodę na cookies (wyrażona zgoda na cookies poprzez świadomy gest). W przeciwnym wypadku, wyszedłby ze strony lub zmienił ustawienia przeglądarki (wyłączył lub zablokował ciasteczka).

Kiedy zgoda na Cookies nie jest wymagana?

Dyrektywa o łączności (a także polska ustawa Prawo telekomunikacyjne) przewiduje parę wyjątków, kiedy zgoda na Cookies nie jest wymagana. Zgodnie z przepisami, zgoda nie jest wymagana, jeśli plik cookie jest:

• wykorzystywany „jedynie w celu wykonania transmisji komunikatu za pośrednictwem sieci łączności elektronicznej”,

• "szczególnie niezbędny w celu dostarczania usługi społeczeństwa informacyjnego, wyraźnie zażądanej przez abonenta lub użytkownika”.

Zatem, zgoda na Cookies nie musi być wymagana, jeśli cookies służą wyłącznie jednemu z powyższych celów. Do takich celów można zaliczyć, np. zamówienie w e-sklepie, czy zapamiętanie języka wybranego przez użytkownika.

Grupa Robocza 29 (czyli eksperci w zakresie ochrony danych osobowych powołani jako ciało doradcze) w swej analizie mówi, że komunikat i zgoda na cookies nie jest wymagana, jeśli spełniony jest co najmniej jeden warunek:

• pliki cookies nie są wykorzystywane do dodatkowych celów, a jedynie do realizacji usługi,

• pliki cookies obejmują np. tzw. „user-input cookies” (wykorzystywane do śledzenia treści danych wprowadzanych przez użytkownika przy wypełnianiu formularzy online lub w przypadku kompletowania zamówienia w sklepie internetowym [wypełniania koszyka zakupami]), znane także jako „session-id cookies”; „multimedia player session cookies” oraz „user interface customization cookies” (np. „language preference cookies” w celu zapamiętania języka wybranego przez użytkownika),

• plik cookie jest konieczny do zaoferowania użytkownikowi (lub abonentowi) konkretnej funkcji: funkcja nie będzie dostępna przy wyłączonej obsłudze plików cookie, zaś użytkownik (lub abonent) wyraźnie zażądał tej funkcji, jako części usługi (społeczeństwa informacyjnego).

Ponadto, w gronie specjalistów pojawiają się głosy, że jeśli Cookies mają służyć tylko analityce i reklamie, to przetwarzanie danych osobowych (jeśli w ramach Cookies dane osobowe rzeczywiście będą przetwarzane) można oprzeć na podstawie jaką jest prawnie usprawiedliwiony cel administratora. A przetwarzanie w oparciu o tę podstawę prawną, nie wymaga uzyskania zgody.

Zgoda na Cookies po RODO

Jeśli chodzi o RODO i zgodę na Cookies, to w tej sprawie pojawiają się dwugłosy. Niektórzy eksperci twierdzą, że zgoda na Cookies jest wymagana w postaci wyraźnych i świadomych zgód, np. poprzez zaznaczenie odpowiedniego pola, czy kliknięcia w odpowiedni przycisk potwierdzający, tzw. wykonanie akcji (bo dopiero poczyniona akcja jest świadomym wyrażeniem woli).

Natomiast druga ekspercka strona twierdzi, że  RODO nie wnosi nic nowego na temat zgody na Cookies. Ci specjaliści powołują się na artykuł 95 rozporządzenia, który mówi, że RODO nie nakłada dodatkowych obowiązków na zagadnienia uregulowane w dyrektywie o łączności (czyli tej o Cookies). A zatem, można wywnioskować, że jeżeli dyrektywa o łączności nie wymaga zbierania oświadczeń ze zgodami w zakresie cookies, to RODO też tego nie wymaga. I wystarczające jest samo wyraźne poinformowanie o stosowanych ciasteczkach.

Drugim argumentem jest przytaczany coraz częściej artykuł 11 RODO, który mówi, że jeśli cele, w których administrator przetwarza dane osobowe, nie wymagają zidentyfikowania osoby, to wtedy na takie przetwarzanie nie trzeba uzyskiwać zgód.

Kolejnym argumentem, na który powołują się powyżsi eksperci jest brak korelacji pomiędzy przedmiotem RODO a zastosowaniem Cookies. RODO, to rozporządzenie, które dotyczy ochrony danych osobowych, czyli tych, za pomocą których można zidentyfikować konkretną osobę. Ciasteczka Cookies służą natomiast bardziej do analizy danych statystycznych, za ich pomocą nie następuje identyfikacja pojedynczej osoby. Stąd RODO nie dotyczy Cookies.

Jak poinformować o Cookies?

Związek Pracodawców Branży Internetowej IAB Polska opracował wytyczne, jak spełnić wymogi informacyjne o cookies. W dokumencie tym, zaleca się:

• zamieszczenie na stronach serwisu (nie tylko na stronie głównej, lecz również na innych stronach, w sytuacji, gdy użytkownik rozpoczyna korzystanie z serwisu/witryny z podstron) stosownego „sztywnego okna”/”belki”/”paska”/itp., w ramach którego użytkownik informowany byłby – w sposób ogólny, w kilku słowach, maksymalnie w kilku zdaniach – o zasadach dotyczących plików cookies.

Przykładowy tekst komunikatu o ciasteczkach “W ramach naszej witryny stosujemy pliki cookies w celu świadczenia Państwu usług na najwyższym poziomie, w tym w sposób dostosowany do indywidualnych potrzeb. Korzystanie z witryny bez zmiany ustawień dotyczących cookies oznacza, że będą one zamieszczane w Państwa urządzeniu końcowym. Możecie Państwo dokonać w każdym czasie zmiany ustawień dotyczących cookies. Więcej  szczegółów w naszej „Polityce Cookies”/”Polityce Prywatności”.

• odesłanie (np. poprzez link) do „Polityki Prywatności” lub dedykowanej „Polityki cookies”, gdzie użytkownik miałby możliwość zapoznania się z bardziej szczegółową informacją w tym zakresie (przy czym rekomendowanym rozwiązaniem byłoby opracowanie odrębnej „Polityki cookies”, oczywiście mającej związek z ogólną „Polityką prywatności”) oraz gdzie miałby możliwość dokonania określonych wyborów (tj. wyrażenia zgody/odznaczenia zgody na określone kategorie cookies).

Minimalny zakres informacji w ramach Polityki (na odrębnej stronie) powinien obejmować informacje o:

• podmiotach, które zamieszczają na urządzeniach końcowych oraz wykorzystują pliki cookies,

• celu przechowywania plików cookies, tzn. o celach ich wykorzystywania / funkcjach jakie spełniają,

• możliwości określenia przez użytkownika warunków przechowywania lub uzyskiwania dostępu do plików cookies za pomocą ustawień oprogramowania/konfiguracji usług, tzn. w szczególności o zasadach związanych z ustawieniami przeglądarek internetowych, w tym dokonywaniem zmian w ich ustawieniach – „w jaki sposób można wyłączyć cookies?”, itp.

PRZYKŁADOWA POLITYKA PRYWATNOŚCI - WZÓR