Konfiguracja banera cookie: prawidłowe pytanie o statystykę

Baner cookie nie jest obowiązkowym ćwiczeniem, lecz miejscem, w którym odwiedzający decydują, czy statystyka i reklama mogą działać na ich urządzeniu. Czy zgoda jest potrzebna i na jakiej podstawie prawnej dane są następnie przetwarzane, wyjaśnia artykuł Zgoda czy uzasadniony interes: jak zdecydować. Ten artykuł zaczyna stopień dalej: jak skonfigurować baner, aby decyzja odwiedzających była ważna i możliwa do udowodnienia?

Jest to rzeczowa orientacja, a nie porada prawna.

Trzy kategorie

Większość banerów pracuje z trzema grupami:

Podstawą prawną dostępu do urządzenia jest w Niemczech § 25 TDDDG, w Austrii § 165 ust. 3 TKG 2021. Za niezbędne uchodzi tylko to, co jest konieczne dla usługi żądanej przez odwiedzającego. Statystyka według niemieckich organów nadzorczych z reguły do tego nie należy. Każdy skrypt strony należy przyporządkować do jednej kategorii. Przy zestawieniu wszystkich usług pomaga zajrzenie do zakładki sieci w przeglądarce lub lista prowadzona przez programistę.

Akceptacja i odrzucenie na równi

Najczęstszą wadą jest duży, kolorowy przycisk „Akceptuj wszystkie” obok ukrytego linku do odrzucenia. Niemieckie organy nadzorcze oczekują w swoim Orientierungshilfe Telemedien (wytycznych dla telemediów), że odrzucenie będzie tak proste jak zgoda. Kto na pierwszym poziomie oferuje „Akceptuj wszystkie”, powinien tam oferować także „Odrzuć wszystkie”. Także sprawozdanie grupy zadaniowej ds. banerów cookie Europejskiej Rady Ochrony Danych ze stycznia 2023 roku porusza tę kwestię. Organy w większości uznały tam opcję odrzucenia za konieczną, pojedyncze organy miały inne zdanie. Dlatego warto planować według surowszej linii.

Zasady praktyczne:

1. Ta sama wielkość, ta sama wyrazistość. Oba przyciski o podobnym kształcie, kroju pisma i kontraście.
2. Ten sam poziom. Żadnego objazdu przez „Ustawienia” tylko dla odrzucenia.
3. Nic zaznaczone z góry. Kategorie poza „Niezbędne” są ustawione na „wyłączone”.
4. Jasne słowa. „Akceptuj” i „Odrzuć” są zrozumialsze niż „Rozumiem” albo „Dalej”.
5. Bez przymusu. Strona musi pozostać użyteczna także po odrzuceniu. Dalsze przewijanie lub klikanie nie jest zgodą (zob. wytyczne EROD 05/2020 w sprawie zgody).

Zgoda w Tag Managerze

Baner decyduje, Tag Manager wykonuje. Aby oba do siebie pasowały:

• Skrypty statystyczne uruchamiają się dopiero po zgodzie. W Tag Managerze podpina się je pod sprawdzenie zgody lub pod zdarzenie, które baner wysyła po wyrażeniu zgody.
• Baner przekazuje decyzję do Tag Managera. Bez tego przekazania skrypty działają albo zawsze, albo nigdy.
• Usługi Google znają Consent Mode. Przekazuje on status zgody do tagów Google (Google: Consent Mode). Nie zastępuje banera. Czy i jak go stosować, należy ustalić z doradcą ds. ochrony danych.
• Próba odwrotna. Otworzyć stronę w świeżym oknie przeglądarki, odrzucić i sprawdzić w zakładce sieci, że żadne zapytania nie idą do usług statystycznych ani reklamowych.

Wycofanie zgody

Zgodę trzeba według art. 7 ust. 3 RODO móc wycofać tak łatwo, jak ją udzielono (RODO, EUR-Lex). Oznacza to: stale dostępny link („Ustawienia cookie”) w stopce każdej strony, który ponownie otwiera baner. Po wycofaniu zgody skrypty zatrzymują się przy następnym wywołaniu strony. Usług, które już otrzymały dane, to nie dotyczy, ale polityka prywatności powinna mówić, jak dane są potem traktowane.

Dokumentacja

Według art. 7 ust. 1 RODO muszą Państwo móc wykazać, że zgoda została udzielona. Zwyczajowo prowadzi się protokół z:

• momentem decyzji,
• wersją tekstu banera,
• wybranymi kategoriami,
• losowym identyfikatorem, który odsyła do odwiedzającego, nie nazywając go.

Należy też zapisać, które usługi znajdowały się w której kategorii. Jeśli zmieniają się usługi lub cele, należy zapytać ponownie. Stara zgoda nie obejmuje nowych celów.

Szwajcaria

W Szwajcarii dla skryptów obowiązuje logika informowania i odmowy, a nie uprzedniej zgody (art. 45c ustawy o telekomunikacji). Kto ma odwiedzających z UE, zwykle najłatwiej wychodzi z jednolitym banerem według standardu UE. Temat pogłębia artykuł Rozpoznawanie odwiedzających a RODO: rzeczowa ocena.

Najczęstsze pytania

Czy mogę zrezygnować z banera? Tylko wtedy, gdy strona nie ładuje skryptów wymagających zgody, czyli ani statystyki, ani reklamy, ani osadzonych usług z dostępem do urządzenia. Wtedy pozostaje obowiązek informacyjny w polityce prywatności.

Czy wystarczy informacja „Używamy plików cookie” z przyciskiem „OK”? Dla statystyki i marketingu nie. Brakuje możliwości wyboru. Zgoda musi być dobrowolna i świadoma.

Jak często mogę ponownie wyświetlać baner? Ustawa nie podaje stałego terminu. Zwyczajowo jest to okres kilku miesięcy lub zmiana usług. Nie należy pytać przy każdej wizycie, bo wygląda to na wywieranie presji.