Baner cookie (cookie banner) to część strony internetowej, która informuje odwiedzającego o plikach cookie i podobnych technologiach oraz pozwala mu udzielić, odmówić lub dostosować zgodę na ich zapisywanie według kategorii. W Czechach wymaga go § 89 ust. 3 ustawy nr 127/2005 Dz.U. o komunikacji elektronicznej, która 1 stycznia 2022 r. zastąpiła wcześniejszy model opt-out modelem opt-in: nieniezbędne pliki cookie można zapisać dopiero po możliwej do wykazania zgodzie. Czym jest ważna zgoda, definiuje RODO w art. 4 pkt 11, a warunki jej uzyskania określa art. 7. Podstawę europejską stanowi dyrektywa 2002/58/WE (ePrivacy), art. 5 ust. 3. Nadzór w Czechach sprawuje Urząd Ochrony Danych Osobowych (ÚOOÚ), który może nałożyć karę zarówno na podstawie RODO, jak i ustawy o komunikacji elektronicznej. W Polsce te same zasady egzekwuje UODO, a obowiązek zgody na cookies wynika z przepisów o komunikacji elektronicznej (dawniej art. 173 Prawa telekomunikacyjnego). Baner cookie nie jest więc formalnością ani elementem designu, lecz narzędziem, którym strona uzyskuje i dokumentuje podstawę prawną dla analityki, marketingu i personalizacji.
Czy baner cookie jest obowiązkowy?
Tak, zawsze gdy strona zapisuje lub odczytuje inne pliki cookie niż te technicznie niezbędne. Wyjątek obejmuje tylko cookies konieczne dla usługi, o którą użytkownik sam poprosił: logowanie, zawartość koszyka, wybór języka lub tokeny bezpieczeństwa. Gdy tylko wdrożysz Google Analytics, Meta Pixel, retargeting Sklik, Hotjar lub osadzone wideo z YouTube, baner jest potrzebny. Dotyczy to stron firmowych, sklepów internetowych, blogów i stron stowarzyszeń. Decydująca nie jest wielkość strony ani jej komercyjny charakter, lecz technologie, z których korzysta.
Co musi zawierać baner cookie?
- Równie widoczny przycisk Odrzuć już w pierwszej warstwie, o tej samej wielkości i kontraście co Akceptuj.
- Brak domyślnie zaznaczonych kategorii: analityka i marketing są wyłączone na starcie.
- Blokowanie skryptów przed zgodą: kody pomiarowe i reklamowe nie mogą się uruchomić, dopóki użytkownik nie zdecyduje.
- Zrozumiały opis celów według kategorii (niezbędne, funkcjonalne, analityczne, marketingowe) oraz informacja, kto przetwarza dane.
- Link do polityki cookies z listą konkretnych plików cookie, ich czasem życia i odbiorcami.
- Możliwość zmiany lub wycofania wyboru w dowolnym momencie, zwykle przez ikonę lub link w stopce.
- Zapis zgody: znacznik czasu, wersja tekstu i zakres, aby administrator sprostał ciężarowi dowodu z art. 7 ust. 1 RODO.
Jakie błędy karze ÚOOÚ?
Najczęstsze uchybienia, na które organy nadzorcze w UE wciąż natrafiają, to domyślnie zaznaczone pola, banery bez przycisku odmowy, skrypty uruchamiane przed jakimkolwiek kliknięciem i zgoda „przez dalsze przeglądanie”. W wyroku Planet49 (C-673/17) z 2019 r. Trybunał Sprawiedliwości UE jednoznacznie stwierdził, że domyślnie zaznaczone pole nie jest ważną zgodą, bo nie stanowi aktywnego wyrażenia woli. Europejska Rada Ochrony Danych dodała w Wytycznych 05/2020 w sprawie zgody, że cookie wall (dostęp do treści uzależniony od zgody) nie jest zgodą dobrowolną, a przewijanie strony lub zamknięcie banera nie może być traktowane jako akceptacja. ÚOOÚ opiera się na tych interpretacjach przy kontrolach czeskich stron; karze przede wszystkim cookies analityczne i marketingowe ustawiane bez zgody oraz banery, które chowają odmowę w drugiej warstwie.
Jak wdrożyć baner cookie?
Procedura ma cztery kroki. Najpierw ustal, jakie pliki cookie strona naprawdę zapisuje, najlepiej automatycznym skanem. Następnie podziel je na kategorie i zadbaj, aby nieniezbędne skrypty ładowały się dopiero po zgodzie, w przypadku narzędzi Google przez Consent Mode v2. Trzecim krokiem jest sam baner z równorzędnymi przyciskami i linkiem do polityki. Na koniec przechowuj zapisy zgód i daj możliwość zmiany wyboru. Stronę prawną omawiamy szczegółowo w przewodniku po RODO, baner zbudujesz w generatorze banera cookie, instrukcja konfiguracji przeprowadzi cię krok po kroku, a pojęcie zgoda ma osobne hasło w słowniku.
Źródła
- Rozporządzenie (UE) 2016/679 (RODO), art. 4 pkt 11 i art. 7
- Dyrektywa 2002/58/WE (ePrivacy), art. 5 ust. 3
- Ustawa nr 127/2005 Dz.U. o komunikacji elektronicznej, § 89 ust. 3
- TSUE, wyrok Planet49, C-673/17
- EROD, Wytyczne 05/2020 w sprawie zgody na mocy rozporządzenia 2016/679
- Urząd Ochrony Danych Osobowych (ÚOOÚ)