Pliki cookies – kierunek interpretacji, w którym zmierzamy
13.03.2020
Bez ciasteczek ani rusz
Mechanizm wykorzystywania plików cookies w celu identyfikacji użytkownika Internetu stosowany jest od ponad 20 lat. Jest on bardzo przydatny zarówno dla właścicieli stron, jak również dla użytkowników. Dzięki plikom cookies sklep internetowy „pamięta” co wrzuciliśmy do koszyka, jakie ustawienia strony wybraliśmy, a także nie musimy za każdym razem wypełniać ankiety satysfakcji z zakupów. Tego rodzaju pliki są jednak wykorzystywane również w celach przedstawiania nam dopasowanych lub spersonalizowanych treści reklamowych, a możliwe jest to dopiero po utworzeniu naszego profilu, który może nas śledzić na kolejnych odwiedzanych przez nas stronach.
Era przed-RODO
Biorąc pod uwagę tylko polskie przepisy, przed wejściem w życie RODO, wystarczające było poinformowanie użytkownika odwiedzającego stronę internetową o stosowaniu tego rodzaju plików. Przepis art. 173 ustawy Prawo telekomunikacyjne zawiera bowiem jasną regułę, że użytkownik końcowy może wyrazić zgodę na instalację plików cookies na jego urządzeniu za pomocą ustawień przeglądarki, z której korzysta. Taki stan prawny spowodował, że powszechnie wykorzystywany jest mechanizm tzw. cookie wall, który w skrócie polega tym, że na stronie internetowej wyświetlany jest baner informujący o zainstalowaniu plików cookies na urządzeniu użytkownika i jeśli użytkownik chce korzystać ze strony internetowej, to musi zgodzić się na otrzymanie przypisanie do swojego profilu plików cookies.
Warto w tym miejscu zaznaczyć, że co do zasady pliki cookies identyfikują urządzenie końcowe (komputer, smartfon), a nie konkretną osobę. Jeżeli dwie osoby korzystają z jednego komputera to pliki cookies nie dadzą możliwości ich rozróżnienia. W konsekwencji można argumentować, że pliki cookies nie przetwarzają danych osobowych (bo nie pozwalają na identyfikację konkretnej osoby), a co za tym idzie wymogi określone w przepisach dotyczących przetwarzania i ochrony danych osobowych nie mają w tym przypadku zastosowania.
RODO zmienia postrzeganie ciasteczek
Rozpoczęcie stosowania RODO zmieniło jednak postrzeganie plików cookies. Powodu zmiany podejścia można upatrywać w szybkim rozwoju tego mechanizmu (w tym szerokiego wykorzystania plików cookies firm trzecich) i znacznej ingerencji w sposób korzystania przez użytkowników z Internetu. Nie da się ukryć, że reklamy kontekstowe i behawioralne towarzyszą nam dziś na każdym kroku i nierzadko mogą być bardzo frustrujące.
Dziś nikt głośno nie kwestionuje, że wykorzystywanie plików cookies jest objęte wymogami przepisów RODO. Ciekawy jest jednak kierunek interpretacji tych przepisów, w którym zmierzają organy nadzorcze zachodnich krajów unijnych, a także Europejska Rada Ochrony Danych. Wynika on z przepisów RODO dotyczących warunków jakie musi spełniać zgoda podmiotu danych, na przetwarzanie jego danych osobowych (w tym przypadku zawartych w pliku cookies oraz jego profilu utworzonego na podstawie tych informacji). Ponieważ zgoda musi być wyrażona dobrowolnie oceniając jej zgodność uwzględnia się, czy od zgody nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.
W konsekwencji mechanizm blokowania dostępu do strony internetowej, serwisu lub innej usługi w przypadku niewyrażenia zgody na instalację plików cookies zaczyna być kwestionowany. Tego rodzaju stanowiska wydało już kilka podmiotów:
- Europejska Rada Ochrony Danych – stanowisko do projektu dyrektywy ePrivacy (Dokument pdf).
- Brytyjski organ nadzorczy (ICO) – wytyczne dot. stosowania plików cookies.
- Francuski organ nadzorczy (CNIL) – wytyczne dot. stosowania plików cookies (https://www.cnil.fr/).
Z prawnego punktu widzenia rozróżniane są pliki cookies techniczne (utrzymujące sesję użytkownika na stronie itp.), statystyczne (zbierające statystyki odwiedzin, np. lokalizacja z której wchodzi użytkownik) oraz reklamowe (śledzące aktywność i dopasowujące treść reklam). Z nowego kierunku interpretacji wynika, że tylko cookies techniczne mogą być wykorzystywane bez zgody użytkownika, natomiast zarówno statystyczne i reklamowe mogą być stosowane po uzyskaniu jego uprzedniej zgody.
Oznacza to, że właściciele stron internetowych powinni zacząć wdrażać mechanizmy, które nie będą zapisywały plików cookies na urządzeniach końcowych użytkowników dopóki taki użytkownik nie wyrazi na to zgody. W chwili obecnej niewiele podmiotów oferuje takie rozwiązania informatyczne i takie narzędzia będą musiały być dopiero wypracowane.
Podsumowanie
Wydaje się, że nie uda się już wyłączyć plików cookies spod stosowania przepisów RODO i właściciele stron internetowych powinni zacząć na poważnie podejść do zapewnienia zgodności tego obszaru. Widać wyraźnie, że organy nadzorcze dążą do tego, aby spowodować, że każdy użytkownik Internetu będzie odwiedzał strony w domyślnie ustawionym trybie „incognito”, a więc trybie działania przeglądarki, w którym pliki cookies nie są zapisywane.
Z tej samej kategorii
Kategorie
