Jak informować o plikach cookie zgodnie z prawem?

Czym są pliki cookie?

Mówiąc w uproszczeniu, „ciasteczka” to niewielki pliki instalowane w urządzeniu użytkownika (np. komputerze, smartfonie) przez serwis internetowy, który odwiedza. Ich głównym zadaniem jest gromadzenie informacji, wykorzystywanych później w różnorodnych celach.

Spotykane w sieci pliki cookie można podzielić według kilku kryteriów. Ze względu na ich niezbędność dla prawidłowego funkcjonowania serwisu, wyróżnia się pliki:

• niezbędne (ich instalacja jest wymagana, aby serwis działał prawidłowo, np. utrzymywał sesję zalogowanego użytkownika);
• zbędne (bez ich instalacji serwis będzie działał, lecz użytkownik nie będzie mógł korzystać z niektórych funkcjonalności, np. dodawać komentarzy lub odtwarzać osadzonych filmów).

Ze względu na cel, można wyróżnić pliki:

• techniczne (usprawniające korzystanie z serwisu, np. zapamiętujące ustawienia strony internetowej - takie jak rozmiar czcionki, język, układ treści - wybrane przez danego użytkownika lub produkty dodane przez niego do koszyka);
• statystyczne (zbierające informacje o użytkownikach serwisu - np. o ich lokalizacji - oraz ich aktywności w serwisie, np. o czasie spędzonym na jego przeglądaniu, odwiedzanych podstronach, oglądanych produktach);
• marketingowe (umożliwiające kierowanie do użytkowników reklamy dostosowanej do ich preferencji, ocenianych na podstawie wcześniej zebranych informacji, np. o odwiedzanych stronach internetowych).

Biorąc pod uwagę kryterium pochodzenia, „ciasteczka” dzielą się na:

• własne (instalowane bezpośrednio przez serwis);
• podmiotów trzecich (pochodzące od zewnętrznych dostawców, z usług których korzysta właściciel serwisu, np. Google, Facebook).

Ze względu na okres działania, pliki cookie można podzielić na:

• sesyjne (działające jedynie przez okres korzystania z serwisu i usuwane po zamknięciu przeglądarki przez użytkownika);
• trwałe (działające w urządzeniu użytkownika przez kilka miesięcy lub lat).

Czy muszę informować, że korzystam z plików cookie?

Tak, gdyż taki obowiązek wynika z przepisów prawa telekomunikacyjnego i ustawy o świadczeniu usług drogą elektroniczną, a w pewnych przypadkach także z RODO. Przed zainstalowaniem „ciasteczek” danym urządzeniu, jego użytkownik powinien zostać poinformowany o celach stosowania plików cookie oraz sposobie zarządzania nimi (w tym możliwości ich usunięcia). Rozwiązanie to ma na celu ochronę prywatności użytkownika, którą mogłoby naruszyć zbieranie przez „ciasteczka” istotnych informacji (np. o lokalizacji, preferencjach zakupowych) bez jego wiedzy.

Czy muszę uzyskiwać zgodę na instalację plików cookie?

Tak, gdyż jest to wymagane przez przepisy prawa telekomunikacyjnego. Od tej zasady istnieją jednak dwa ważne wyjątki, dzięki którym nie musisz uzyskiwać zgody użytkownika:

na instalację plików cookie, które są niezbędne do prawidłowego działania Twojego serwisu;

w przypadku gdy użytkownik skonfigurował swoją przeglądarkę internetową w taki sposób, aby domyślnie akceptowała pliki cookie.

Powyższe wyjątki nie znajdują zastosowania, jeżeli informacje zbierane przez pliki cookie mają charakter danych osobowych, pozwalających na identyfikację konkretnego użytkownika (np. gdy są to dane statystyczne zbierane w powiązaniu z danymi identyfikacyjnymi podanymi przez użytkownika w formularzu rejestracyjnym). W takim przypadku, konieczne jest uprzednie uzyskanie jednoznacznej zgody na przetwarzanie uzyskanych w ten sposób danych w konkretnym celu.

Jak powinienem informować i zbierać zgody na instalację plików cookie?

Przeglądając strony internetowe z pewnością zauważyłeś, że mechanizmy służące informowaniu o plikach cookie i zbieraniu zgód na ich instalację mogą przybierać bardzo różnorodną formę - od niewielkich pasków po tabele zasłaniające cały ekran. Niezależnie od przyjętego rozwiązania, powinno ono spełniać następujące wymogi:

1. użytkownik powinien otrzymać informację o ciasteczkach przed ich instalacją w jego urządzeniu (przekazanie informacji nie jest wymagane, jeżeli stosujesz wyłącznie pliki niezbędne do prawidłowego funkcjonowania serwisu);
2. informacja powinna być jednoznaczna, łatwa i zrozumiała;
3. zgoda użytkownika powinna przyjąć postać aktywnego działania (np. kliknięcia przycisku „Zgadzam się”) - niedopuszczalne jest przyjęcie, iż zgoda została wyrażona w sposób milczący, np. poprzez samo korzystanie z serwisu (wyjątkiem jest sytuacja, w której użytkownik skonfigurował swoją przeglądarkę internetową w taki sposób, aby domyślnie akceptowała pliki cookie, co nie dotyczy jednak „ciasteczek” zbierających dane osobowe);
4. mechanizm służący do zbierania zgód powinien być jasny, zwięzły oraz nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy.

Jak przełożyć powyższe wskazówki na praktykę? Na początek powinieneś uzyskać pełną informację o tym, jakie pliki cookie stosowane są w Two...