Zarządzanie plikami cookie: zgoda i moduły śledzące w handlu elektronicznym

Regulacja dotycząca plików cookie nie ogranicza się do RGPD. Opiera się na odrębnym akcie prawnym — tzw. dyrektywie „o prywatności i łączności elektronicznej”, transponowanej do prawa francuskiego — który nakłada obowiązek uzyskania zgody uprzedniej na wszelki odczyt lub zapis informacji w urządzeniu końcowym użytkownika, niezależnie od tego, czy informacja ta stanowi dane osobowe, czy nie. To właśnie ta odrębność tłumaczy większość wezwań do usunięcia naruszeń: tracker niebędący daną osobową nadal podlega obowiązkowi uzyskania zgody.

Co jest objęte regulacją, a co nie

Zakres regulacji jest szerszy, niż sugeruje samo słowo „cookie”. Dotyczy wszystkich technik przechowywania lub uzyskiwania dostępu do informacji w urządzeniu końcowym: plików cookie HTTP, pamięci lokalnej, niewidocznych pikseli, identyfikatorów urządzenia, cyfrowego odcisku przeglądarki (fingerprinting).

Dwie kategorie są zwolnione z obowiązku uzyskania zgody i podlegają ścisłej wykładni:

• Trackery ściśle niezbędne do świadczenia usługi wyraźnie zażądanej przez użytkownika: koszyk zakupowy, identyfikator sesji, zapamiętanie wyboru języka, równoważenie obciążenia serwera.
• Trackery których wyłącznym celem jest umożliwienie lub ułatwienie komunikacji elektronicznej.

Pomiar odwiedzin (analityka) zajmuje szczególne miejsce: może zostać zwolniony z obowiązku zgody pod warunkiem łącznego spełnienia ścisłych kryteriów — cel ograniczony wyłącznie do pomiaru, brak zestawiania z innymi operacjami przetwarzania, brak przekazywania danych podmiotom trzecim, ograniczony okres przechowywania. Powszechnie stosowane rozwiązanie analityczne, które zestawia dane między witrynami lub przekazuje je swojemu wydawcy, nie spełnia tych warunków.

Zasady zbierania zgody

Trzy wymogi kształtują banner zgody i każdy z nich był przedmiotem sankcji.

Zgoda musi być uprzednia. Żaden tracker niezwolniony z obowiązku zgody nie może zostać zapisany przed podjęciem działania przez użytkownika. Zapisanie go już przy wczytywaniu strony, jeszcze przed jakimkolwiek kliknięciem, samo w sobie stanowi naruszenie — jest to uchybienie stwierdzane najczęściej.

Odmowa musi być tak samo prosta jak zaakceptowanie. Banner z widocznym przyciskiem „Zaakceptuj wszystko”, który odsyła odmowę do drugiego poziomu ustawień, nie spełnia tego wymogu. Obie opcje muszą być dostępne na tym samym poziomie i wymagać tej samej liczby kliknięć.

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie może wynikać z dalszego przeglądania strony, przewijania jej treści ani z domyślnie zaznaczonego pola wyboru. Musi być zbierana odrębnie dla każdego celu, tak aby użytkownik mógł zaakceptować pomiar odwiedzin bez akceptowania reklamy ukierunkowanej.

Dochodzi do tego wycofanie zgody, które musi być tak samo łatwe jak jej wyrażenie i dostępne w każdej chwili, co zakłada istnienie stałego punktu dostępu na stronie.

Okresy i przechowywanie

Często myli się dwa odrębne okresy.

Okres ważności trackerów jest w praktyce ograniczony do trzynastu miesięcy, bez automatycznego przedłużania przy każdej kolejnej wizycie. Informacje zbierane za pośrednictwem tych trackerów są przechowywane jedynie przez ograniczony czas ponad ten okres.

Okres ważności zgody jest odrębny: wybór użytkownika, zarówno pozytywny, jak i negatywny, musi być przechowywany, aby nie pytać go o zgodę przy każdej wizycie. Zalecaną praktyką jest przechowywanie tego wyboru przez około sześć miesięcy, przy czym odmowa nie powinna być ponawiana częściej niż akceptacja.

Administrator musi wreszcie być w stanie udowodnić skuteczne uzyskanie zgody. Dowód ten wymaga rejestrowania, dla każdego użytkownika, wyświetlonej wersji bannera, przedstawionych celów oraz wyrażonego wyboru. Bez takiej rejestracji stwierdzenie „zbieramy zgodę” jest niemożliwe do udowodnienia — obowiązuje ta sama logika dowodowa, co w przypadku akceptacji ogólnych warunków.

Podzielone odpowiedzialności

Serwis, który wykorzystuje trackery podmiotów trzecich — sieć reklamową, portal społecznościowy, narzędzie analityczne — nie jest zwolniony z odpowiedzialności. Wydawca, który decyduje o umieszczeniu trackera, określa jego cel i ponosi za to odpowiedzialność, nawet jeśli tracker należy do podmiotu trzeciego.

Wynikają z tego dwie praktyczne konsekwencje. Niezbędny jest aktualny spis rzeczywiście zapisywanych trackerów, weryfikowany w warunkach rzeczywistych, a nie na podstawie dokumentacji dostawców: znaczniki dodawane przez narzędzia marketingowe często umykają deklaratywnemu spisowi. Ponadto relacje z podmiotami trzecimi muszą być uregulowane umownie, z określeniem, kto jest administratorem danych, a kto podmiotem przetwarzającym.

Sankcje i kontrole

Naruszenie zasad dotyczących trackerów podlega odrębnemu reżimowi: jest sankcjonowane na podstawie przepisu szczególnego, co pozwala krajowemu organowi nadzorczemu działać bezpośrednio, bez konieczności stosowania europejskiego mechanizmu współpracy. To właśnie tłumaczy szybkość oraz wysokość wydawanych w tej dziedzinie decyzji.

Kontrole koncentrują się przede wszystkim na trzech elementach możliwych do zweryfikowania z zewnątrz: zapisywaniu trackerów przed wyrażeniem zgody, asymetrii między akceptacją a odmową oraz utrzymywaniu się trackerów po odmowie. Wszystkie trzy elementy można sprawdzić w ciągu kilku minut za pomocą narzędzi deweloperskich przeglądarki, co sprawia, że ryzyko jest stałe.

Scenariusze zastosowania

Sklep internetowy z reklamą. Należy rozdzielić cele — działanie serwisu, pomiar odwiedzin, reklamę — i umożliwić odrębne wyrażenie zgody dla każdego z nich. Trackery koszyka nie wymagają zgody, natomiast trackery remarketingu reklamowego zawsze jej wymagają. Jest to element kluczowy dla ram prawnych sklepu internetowego.

Strona wizytówkowa z pomiarem odwiedzin. Należy sprawdzić, czy przyjęta konfiguracja spełnia warunki zwolnienia. Jeśli tak, żaden banner nie jest wymagany dla tego celu; jeśli nie, zgoda jest wymagana tak jak dla każdego innego trackera.

Przebudowa strony internetowej. Należy sporządzić spis trackerów w środowisku testowym przed wdrożeniem produkcyjnym, a następnie powtórzyć go już w środowisku produkcyjnym: narzędzia dodawane przez zespoły marketingowe po wdrożeniu są najczęstszym źródłem rozbieżności. Ta dyscyplina wpisuje się w wymogi opisane dla standardów bezpiecznych płatności.

Najczęściej zadawane pytania

Czy wszystkie pliki cookie wymagają zgody? Nie. Te ściśle niezbędne do usługi wyraźnie zażądanej — koszyk, sesja, preferencja językowa — są z tego obowiązku zwolnione, podobnie jak te służące wyłącznie umożliwieniu komunikacji. Zwolnienie podlega ścisłej wykładni.

Czy dalsze przeglądanie strony oznacza wyrażenie zgody? Nie. Zgoda musi być jednoznaczna i wynikać z pozytywnego działania. Ani przewijanie strony, ani dalsze przeglądanie, ani domyślnie zaznaczone pole wyboru nie są wystarczające.

Czy odmowa musi być tak samo prosta jak zaakceptowanie? Tak. Obie opcje muszą być przedstawione na tym samym poziomie i wymagać porównywalnego wysiłku. Umieszczenie odmowy za menu ustawień stanowi wyraźne naruszenie.

Jak długo należy przechowywać wybór użytkownika? Wybór, zarówno pozytywny, jak i negatywny, przechowuje się, aby uniknąć ponownego pytania przy każdej wizycie — w praktyce około sześciu miesięcy. Jest to odrębne od okresu ważności trackerów, ograniczonego do trzynastu miesięcy.

Czy pomiar odwiedzin jest zwolniony z obowiązku zgody? Tylko pod warunkiem łącznego spełnienia ścisłych kryteriów: cel ograniczony wyłącznie do pomiaru, brak zestawiania danych, brak przekazywania podmiotom trzecim, ograniczony okres przechowywania. Większość powszechnie stosowanych rozwiązań nie spełnia tych warunków w konfiguracji domyślnej.

Kto odpowiada za trackery podmiotów trzecich? Wydawca strony, o ile decyduje o ich umieszczeniu i celu ich wykorzystania. Odpowiedzialność nie przenosi się na dostawcę trackera.

Najważniejsze wnioski

Trzy naruszenia odpowiadają za większość sankcji i wszystkie trzy można stwierdzić z zewnątrz w ciągu kilku minut: trackery zapisywane przed wyrażeniem jakiejkolwiek zgody, odmowę trudniejszą do wyrażenia niż akceptację oraz trackery utrzymujące się mimo odmowy.

Dwa mechanizmy pozwalają trwale temu przeciwdziałać. Spis trackerów weryfikowany w warunkach rzeczywistych, a nie na podstawie dokumentacji, powtarzany po każdym wdrożeniu produkcyjnym. Oraz rejestracja zgody, która zapisuje wersję bannera, przedstawione cele i wyrażony wybór — bez niej zgodność jest jedynie deklarowana, a nie możliwa do udowodnienia, co podczas kontroli sprowadza się do tego samego.