Stosujesz pliki Cookies lub podobne technologie na stronie swojego sklepu, czy też serwisu internetowego? Zgodnie z najnowszym stanowiskiem unijnego Trybunału Sprawiedliwości, musisz poinformować użytkowników strony między innymi o okresie działania każdego z tych plików, celu ich stosowania oraz ich pochodzeniu. Dość znacznie rozszerza to dotychczasowo stosowane przez większość administratorów danych informacje. Dodatkowo orzeczenie precyzuje, że zgoda na korzystanie z plików cookie nie może być udzielona za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody. Zgoda musi być więc udzielona w sposób aktywny.
Czy konieczna będzie zmiana polityki prywatności Twojej strony internetowej lub podjęcie innych działań? Tego dowiesz się z poniższego artykułu.
Czym są pliki Cookies i jakie regulacje ich dotyczą?
Pliki Cookies (ciasteczka) są to niewielkie informacje tekstowe w postaci plików tekstowych, wysyłane przez serwer i zapisywane po stronie osoby odwiedzającej stronę internetową (np. na dysku twardym komputera, laptopa, czy też na karcie pamięci smartfonu – w zależności z jakiego urządzenia korzysta odwiedzający Twoją stronę). Zdecydowana większość stron internetowych posługuje się plikami Cookies lub podobnymi technologiami – jest więc bardzo prawdopodobne, że poniższe zmiany będą dotyczyły również Twoje strony internetowej – niezależnie od tego czy jest ona sklepem, serwisem internetowym czy też tylko wizytówką Twojej firmy.
Skąd wynika obowiązek informowania o plikach Cookies?
Konieczność podawania użytkownikom strony informacji o plikach Cookies wynika bezpośrednio z art. 172 ustawy Prawo telekomunikacyjne (Dz.U. 2004 nr 171 poz. 1800 ze zm.). Natomiast ustawa ta w powyższym zakresie stanowi również wdrożenie przepisów unijnych i właśnie tymi przepisami zajmował się Trybunał Sprawiedliwości UE. Do plików Cookies odnoszą się przede wszystkim przepisy dyrektywy Parlamentu Europejskiego i Rady 2002/58/WE z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywy o prywatności i łączności elektronicznej) (Dz.U. UE 2002, L 201, s. 37), zmienionej dyrektywą 2009/136/WE Parlamentu Europejskiego i Rady z dnia 25 listopada 2009 r. (Dz.U. UE 2009, L 337, s. 11).
Najnowsza interpretacja unijnego Trybunału Sprawiedliwości
Zgodnie z wyrokiem Trybunału Sprawiedliwości UE z 1 października 2019 r. w sprawie Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband eV przeciwko Planet49 GmbH (C‑673/17), przepisy wskazanych wyżej aktów prawnych, w zakresie plików Cookies, należy intepretować w ten sposób, że administrator powinien poinformować odwiedzającego stronę m.in. o:
- tożsamości administratora danych (to do tej pory nie budziło wątpliwości)
- celach stosowania plików Cookies (to do tej pory nie budziło wątpliwości)
- okresie funkcjonowania plików Cookies (to rzadko do tej pory podawana informacja, Trybunał zwrócił uwagę, że ta informacja jest jednak konieczna)
- wszelkich dodatkowych informacjach, takie jak informacje o odbiorcach lub kategoriach odbiorców danych (czy osoby trzecie mogą uzyskać dostęp plików Cookies, które są wysyłane przez stronę internetową administratora – to rzadko do tej pory podawana informacja, Trybunał zwrócił uwagę, że ta informacja jest jednak konieczna), o ile, uwzględniając szczególne okoliczności, w których dane są gromadzone, takie dodatkowe informacje są niezbędne do zapewnienia rzetelnego przetwarzania danych w stosunku do osoby, której dane dotyczą.
Dodatkowo, w wyroku wskazano, że zgoda na stosowanie plików Cookies nie jest ważna, jeżeli przechowywanie informacji lub dostęp do informacji już przechowywanych w urządzeniu końcowym użytkownika strony internetowej, za pośrednictwem plików Cookies, zostały zaakceptowane za pomocą domyślnie zaznaczonego okienka wyboru, którego zaznaczenie użytkownik ten musi usunąć, aby odmówić udzielenia zgody. Zatem to zgoda powinna być udzielona aktywnie, a nie należy wymagać aktywności przy cofnięciu zgody.
O jakie informacje dotyczące plików Cookies chodzi
Pliki Cookies, które mogą być wysyłane przez stronę internetową, można podzielić na różne rodzaje między innymi według celów ich stosowania, okresów funkcjonowania plików albo na przykład ze względu na dostawcę.
Ze względu na cel stosowania plików można je podzielić między innymi na:
- konieczne (wymagane do działania strony)
- preferencyjne (do badania preferencji użytkownika i dostosowania pod nie strony)
- marketingowe (w tym także do profilowania)
- statystyczne (do prowadzenia statystyk korzystania ze strony)
Ze względu na okres przechowywania na urządzeniu osoby odwiedzającej stronę internetową pliki Cookies dzielą się na:
- sesyjne (przechowywane do czasu wylogowania się ze strony internetowej lub wyłączenia przeglądarki internetowej) oraz
- stałe (przechowywane przez określony czas, zdefiniowany przez parametry każdego pliku lub do czasu ręcznego usunięcia).
Ze względu na dostawcę pliki Cookie dzielą się na:
- własne (tworzone przez daną stronę internetową – administratora) oraz
- podmiotu trzeciego (tworzone przez inne strony – nienależące do administratora).
Jak to rozwiązać technicznie
Z powodów technicznych w zasadzie niemożliwe jest podanie wszystkich tych informacji w polityce prywatności i to tak aby były aktualne i w danym momencie odpowiadały rzeczywistości: ilość i rodzaj plików Cookies najczęściej zmienia się w zależności od tego, do której podstrony sklepu przejdziemy, a także od momentu, w którym strona została przez nas otwarta.
Jednym z możliwych rozwiązań jest wskazanie osobom korzystającym ze strony instrukcji samodzielnego sprawdzenia podstawowych informacji o plikach Cookies na Państwa stronie poprzez narzędzia najpopularniejszych przeglądarek internetowych. Przykładowo w najpopularniejszej przeglądarce internetowej – Google Chrome, sprawdzenie tych szczegółów jest stosunkowo proste: wystarczy kliknąć w ikonkę kłódki w pasku adresu strony internetowej i przejść do zakładki „pliki Cookie”:
Warto jednak wskazać, że tak naprawdę, zgodnie z powyżej wskazaną obowiązującą interpretacją, powinniśmy przekazywać odwiedzającym naszą stronę bardziej szczegółowe informacje o plikach Cookies. Co więcej, nie wszystkie przeglądarki umożliwiają tak prosty dostęp do tych danych, nie wszystkie dostarczają również pełnych danych o plikach Cookies.
Innym rozwiązaniem byłoby wpisanie wszystkich wymaganych informacji do polityki prywatności, natomiast wymagałoby to przygotowania przez administratora szczegółowej listy wszystkich plików Cookies wykorzystywanych na stronie internetowej, ich dostawców, celu stosowania i okresu przechowywania na urządzeniu osoby odwiedzającej stronę internetową. W praktyce będzie to w zasadzie niemożliwe albo będzie wymagała dużej ilości pracy i bieżącej aktualizacji.
Alternatywnie, możesz również skorzystać z narzędzi komercyjnych, które pozwalają osobom odwiedzającym stronę uzyskanie informacji o plikach Cookies na stronie w czasie rzeczywistym, a także zróżnicowania zgody udzielanej za pomocą kliknięcia przycisku na banerze informującym o Cookies.
Przykładowo, takie narządzie jest dostępne tutaj: https://www.cookiebot.com/en/:
Jak widać na zrzucie ekranu, tego typu narzędzia umożliwiają na udzielenie zgody na pliki Cookies spełniającej wymogi, o których mowa w powyższym wyroku, a także udzielenie szczegółowej informacji o plikach Cookies w czasie rzeczywistym bez konieczności częstego modyfikowania polityki prywatności. Zaznaczamy również, że nie jest to strona powiązana z nami, natomiast oferuje ona jedno z przykładowych rozwiązań ułatwiających spełnienie co do plików Cookies obowiązków informacyjnych oraz w zakresie udzielenia świadomej zgody.
Warto również wskazać, że w najbliższym czasie możemy spodziewać się wejścia w życie rozporządzenia Parlamentu Europejskiego i Rady w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej i uchylającego dyrektywę 2002/58/WE (rozporządzenie w sprawie prywatności i łączności elektronicznej). W skrócie zwany Rozporządzaniem ePrivacy, ten akt prawny będzie wymagał jeszcze większej przejrzystości w uzyskiwaniu zgody na posługiwanie się plikami Cookies. Wcześniejsze zaadoptowanie narzędzi ułatwiających udzielenie przejrzystej i kompleksowej informacji o plikach Cookies, a także odebrania rzeczywistej i skonkretyzowanej zgody na stosowanie określonych plików w przeglądarce klienta, pomoże Ci zawczasu przygotować się i na te zmiany.
Podsumowanie
Najnowsze stanowisko unijnego Trybunału sygnalizuje w jakim kierunku idą interpretacje przepisów o ochronie danych osobowych oraz te dotyczące plików Cookies. Jest to też podpowiedź w kwestii tego, czego należy spodziewać po wejściu w życie Rozporządzenia ePrivacy. Dla właścicieli sklepów i serwisów internetowych oznacza to niewątpliwie kolejne obowiązki.
Zachęcamy do uporządkowania tych kwestii już dzisiaj. Jeżeli masz jakiekolwiek pytania związane z tym artykułem, zapraszamy do kontaktu z nami pod adresem: kontakt@prokonsumencki.pl.
