Baner informacyjny o plikach cookies – jak poprawnie go napisać? Zapewne nieraz wchodząc na stronę internetową spotkałeś się z komunikatem dotyczącym plików cookies. Fakt, że taka informacja widnieje na większości stron internetowych związana jest ze spełnieniem tzw. obowiązku informacyjnego przez właściciela strony. Obowiązek informowania o wykorzystywanych plikach cookies na stronie internetowej wynika z unijnej dyrektywy o prywatności i łączności elektronicznej (e-Privacy) oraz z polskiej regulacji Prawa Telekomunikacyjnego. W poniższym artykule przyjrzymy się bliżej komunikatom informującym o wykorzystywaniu na stronie plików cookies.

Ten artykuł jest III częścią cyklu „Pliki cookies a ochrona danych osobowych”. Zobacz wcześniejsze artykuły:
I. Pliki cookies – czym są (https://www.e-kursyrodo.pl/pliki-cookies-czym-sa/)
II. Pliki cookies a RODO i inne prawne regulacje (https://www.e-kursyrodo.pl/pliki-cookies-a-rodo-i-inne-prawne-regulacje/)

Jak informować użytkownika o plikach cookies?

Zgodnie z wytycznymi Grupy Roboczej Art. 29, dotyczącymi zasady przejrzystości, najczęściej stosuje się tzw. warstwową realizację obowiązku informacyjnego.

Obowiązek informacyjny składa się z dwóch warstw:

1. Baner informacyjny o plikach cookies (inaczej baneru ciasteczkowego), czyli komunikatu o używaniu plików cookies przez stronę, który wyświetlany jest od razu po wejściu na nią (np. w formie paska na dole strony);
2. Polityka cookies (lub inaczej klauzuli informacyjnej cookies), w która stanowi rozszerzenie informacji zawartych w pierwszej warstwie. Polityka cookies to szczegółowy komplet informacji o wykorzystywaniu plików cookies przez stronę. Może być ona odrębnym dokumentem lub stanowić część Polityki Prywatności.
   W pierwszej warstwie, najczęściej zamieszcza się informację, w którym miejscu na stronie można zapoznać się ze szczegółowymi informacjami dotyczącymi plików cookies (czyli z drugą warstwą). Najprościej zrobić to poprzez dodanie odnośnika (linku) do Polityki cookies.

Jak wspominaliśmy na wstępie, w tym artykule skupimy się na pierwszej „warstwie” obowiązku informacyjnego natomiast w odrębnym artykule poświęcimy uwagę polityce cookies.

Czy baner informacyjny o plikach cookies w ogóle należy zamieszczać na stronie internetowej?

Odpowiedź na powyższe pytanie jest jednoznaczna: TAK. Jeśli jesteś właścicielem strony internetowej, Twoim obowiązkiem jest poinformowanie osób odwiedzających (użytkowników) o używanych przez Twoją witrynę plikach cookies. Obowiązek ten wynika ze zmian w Prawie Telekomunikacyjnym, które obowiązują od marca 2013 roku.

Obowiązek ten możesz zrealizować zamieszczając baner informacyjny o plikach cookies (np. w formie dolnego lub górnego paska, okienka “pop-up”).

Wiemy już, że zamieszczenie informacji o „ciasteczkach” jest konieczne, zastanówmy się teraz, co zrobić, aby zrealizować ten obowiązek zgodnie z obowiązującym prawem.

W jaki sposób informować użytkownika o plikach cookies?

Istotną kwestią będzie odpowiedź na pytanie: Na jakiej podstawie prawnej w ogóle można oprzeć używanie plików cookies? Odpowiedź, znajdziemy w Rozporządzaniu o Ochronie Danych Osobowych (RODO). Przepisy RODO dają nam trzy podstawy (możliwości) używania plików cookies:

1. Niezbędność do zrealizowania usługi – w przypadku, gdy identyfikacja użytkownika nie jest konieczna w celu poprawnego funkcjonowania strony internetowej.
2. Uzasadniony interes administratora danych – czyli administratora strony lub wydawcy serwisu. Uzasadnionym interesem może być sytuacja, gdy monitorujesz ruch na poszczególnych stronach lub jej elementach (np. zbierasz statystyki dotyczące ilości kliknięć w baner reklamowy). Warunkiem powołania się na tą podstawę prawną jest fakt, że zbierane pliki cookies nie mogą ingerować w prywatność użytkowników.
3. Świadoma, dobrowolna i jednoznaczna zgoda użytkownika – w sytuacji, gdy właściciel strony zamierza w określony sposób ingerować w prywatność użytkowników lub przekazywać ich dane podmiotom trzecim (innym portalom, agencjom interaktywnym, brokerom danych).

Na jaką podstawę prawną się powołać?

Tak naprawdę jest to uzależnione od tego, jakiego rodzaju pliki cookies (wewnętrzne, zewnętrzne) wykorzystujesz na swojej stronie oraz w jakich celach. Czy służą wyłącznie do poprawnego działania strony czy celów statystycznych, a może również do celów marketingowych (np. remarketingu, personalizacji reklamy)?
Zastanów się nad takimi kwestiami, jak:

Jeśli Twoja strona internetowa potrzebuje konkretnej informacji o urządzeniu użytkownika (np. rozdzielczości ekranu, preferowanej kolorystyce czy dostępnych czcionkach), żeby prawidłowo wyświetlać wszystkie jej funkcje, to w takim przypadku zgoda użytkownika nie jest wymagana. Wystarczy, że jako właściciel strony określisz zakres zbieranych danych oraz to, do czego są wykorzystywane, np. w Polityce Prywatności.
Natomiast, gdy Twoja strona próbuje uzyskać informacje (poprzez wykorzystanie odpowiednich plików cookies), które wykraczają poza niezbędne do prawidłowego funkcjonowania strony, jako jej właściciel strony powinieneś poprosić użytkownika o zgodę.

Zgoda – jako podstawa prawna na pliki cookies

Przypomnijmy definicję „zgody” w rozumieniu RODO:
(…) „zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;

Fragment Art. 4. RODO

Więcej na temat zgody w odniesieniu do Rozporządzenie o Ochronie Danych Osobowych (RODO) przeczytasz tutaj: https://www.e-kursyrodo.pl/zgoda-rodo-czym-jest-i-jak-ja-rozumiec/

Jeśli użytkownik, po przeczytaniu wyraźniej informacji o plikach cookies, nadal korzysta ze strony – to wyraża on tzw. świadomy gest. Czyli wyraził zgodę na pliki cookies.

Na jakie pliki cookies zgoda nie jest potrzebna?

Prawo Telekomunikacyjne przewiduje pewne wyjątki od konieczności wyrażenia zgody. Zgoda użytkownika nie będzie potrzebna, gdy:

1. Zastosowanie plików cookies albo innych technologii jest niezbędne w celu wykonania transmisji komunikatu, czyli poprawnego zadziałania określonej usługi telekomunikacyjnej;
2. W przypadku, gdy pliki cookies są niezbędne do dostarczenia usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, która została zażądana przez abonenta lub użytkownika.

Przykład:
Sklep internetowy, w którym do zakupu potrzebne jest wypełnienie formularza do złożenia zamówienia i dokonania płatności. Dzięki plikowi cookies strona pamięta co jest dodane do koszyka, a także że zostały wypełnione dane w formularzu do wysyłki i została dokona płatność. Zastosowanie takiego pliku cookies nie musi być oparte na zgodzie. Natomiast informacja o stosowaniu i celach stosowania takiego pliku cookies powinna znaleźć się w Polityce plików cookies.

Kontrowersyjne „cookie wall”

Wiele kontrowersji pojawia się również w kwestii tzw. „cookie wall”. „Cookie wall” (z ang. „Ściana na ciasteczka”), to banery, które uniemożliwiają dostęp do strony internetowej do momentu, kiedy nie wyrazisz na nie zgody. Kontrowersje te dotyczą dobrowolności (brak świadomej zgody, zgodnej z przepisami RODO), a także sposób odmowy zgody na poszczególne pliki cookies. Utrudnienie to może przejawiać się np. koniecznością odznaczenia zgody na przetwarzanie plików cookies przez konkretne podmioty (zgoda domyślnie zaznaczona). Lista ta czasami jest bardzo długa, a odznaczenie wszystkich plików, na które użytkownik nie wyraża zgody, może okazać się czasochłonne.

Mechanizm do zarządzania plikami cookies – sam baner informacyjny o plikach cookies to nie wszystko

Przeanalizujmy poniższy przypadek:
Wchodzisz na stronę internetową, gdzie wyświetla się baner z prośbą o zgodę na pliki cookies. W teorii powinny pobrać się (załadować) pliki cookies wyłącznie umożliwiające poprawne działanie tej strony (tzw. niezbędne pliki cookies), a dopiero po Twojej akceptacji (np. naciśnięciu przycisku „zgoda”) powinny załadować się pozostałe pliki cookies, na które właśnie wyraziłeś zgodę. Natomiast w praktyce, często zdarza się tak, że już przed wyrażeniem Twojej zgody (niezależnie od tego czy wykonasz jakiekolwiek działanie) system pobiera pliki inne niż niezbędne (np. pliki „śledzące” – służące do przedstawienia spersonalizowanej oferty). Brak zintegrowania baneru informacyjnego z ich faktycznym działaniem jest niedopuszczalne i może dużo kosztować. Wiele zagranicznych firm (z Unii Europejskiej) otrzymało od odpowiednich organów nadzorczych kary za tego typu działania.

Podsumowanie- baner informacyjny o plikach cookies

Jako właściciel strony musisz wyraźnie poinformować użytkowników o stosowanych na stronie internetowej plikach cookies, a także to, w jakich celach są one wykorzystywane.

Sprawdź, jak możemy pomóc chronić dane osobowe w Twojej firmie:
Kurs RODO online – https://www.e-kursyrodo.pl/kurs/rodo-kurs-ogolny-2/
Indywidualna oferta dla firm – https://www.e-kursyrodo.pl/oferta-dla-firm/
Pełna oferta ochrony danych osobowych w Twojej firmie – https://standarder.pl/oferta-ochrona-danych/