Od kiedy bezspornym stało się, że pliki cookies stanowią dane osobowe nastąpiła mała rewolucja. Wszystkie serwisy, strony internetowe zaczęły dopasowywać się do zaistniałej rzeczywistości. Pojawiły się tzw. bannery cookies, nie tylko informujące o wykorzystywaniu ciasteczek, ale także pozwalające na zarządzanie nimi. Trend jest taki, że zarówno wyrażenie zgody na pliki cookies, jak i działanie przeciwne powinny być dla użytkownika tak samo proste.

Kategorie plików cookie i opcje ich konfiguracji

Najprostsze pop-upy cookies prezentują kilka kategorii plików, takich jak niezbędne czy marketingowe, wykorzystywanych na danej stronie z opcją zezwolenia na wszystkie lub odrzucenia poszczególnych celów, dla których są stosowane.

Niektórzy administratorzy stron postanowili jednak rozbudować banner dając użytkownikowi do wyboru tak wiele opcji (często od razu zakładających zgodę), że większość z nich po prostu klika „akceptuję wszystko” i przechodzi do treści serwisu. Oczywistym jest, że taka praktyka leży w interesie wielu administratorów serwisów, a także współpracujących z nimi kontrahentów. Niebawem jednak takie praktyki mogą zostać znacznie ograniczone.

Kosztowne ciasteczka

Na początku stycznia 2022 r. francuski organ ochrony danych Commission Nationale Informatique & Libertés (CNIL) nałożył kary za naruszenia związane ze stosowaniem plików cookies:

• w wysokości łącznie 150 mln EUR na Google (90 mln na Google LLC i 60 mln na Google Ireland Ltd);
• oraz 60 milionów euro na Facebook Ireland Limited;

ponadto zobowiązał spółki do dopasowania się do określonych wymogów w ciągu 3 miesięcy.

Postępowania prowadzone przez CNIL opierały się na fakcie, że na stronach administratorów bardzo łatwo było wyrazić zgodę na korzystanie ze wszystkich plików cookies. Jest to zresztą stała praktyka nie tylko na stron należących do wyżej wymienionych spółek. Zdaniem CNIL, skoro wyrażenie zgody jest bardzo proste także jej niewyrażenie powinno być równie proste.

(Dobro)wolność zgody

Wobec powyższego CNIL uznał, że zgoda wyrażona poprzez skorzystanie z opcji akceptacji wszystkich plików cookies nie spełnia wymagań dobrowolności.

Jak słusznie zważył francuski organ, użytkownikom zależy na szybkości dotarcia do interesujących ich treści. Przedstawienie im zatem rozbudowanego banneru, w ramach którego jednym kliknięciem można zaakceptować wszystkie cookies skłania do podjęcia właśnie takiego, a nie innego działania.

W konsekwencji CNIL zobowiązał spółki do wdrożenia odpowiednich zmian, czyli de facto umożliwienia użytkownikom odrzucenia wszystkich plików cookies jednym kliknięciem.

Wyjątek od reguły, czy upowszechniający się trend?

W Polsce widać zachodzące zmiany i dopasowanie do nowego standardu wyznaczonego przez CNIL. Proces ten jednak, wobec oczywistych korzyści płynących z obecnie stosowanych praktyk, nie jest zbyt szybki.

Zagadnienie może być istotne w zasadzie dla wszystkich podmiotów, posiadających witryny internetowe, które korzystają z ciasteczek. Zachęcałabym do analizy i weryfikacji, a także wprowadzenia ewentualnych modyfikacji już teraz. Przede wszystkim, aby nie narażać się na ewentualne kary, zwłaszcza biorąc pod uwagę, że pokusa gromadzenia danych i ich dalszego wykorzystywania jest spora, ale świadomość w tym zakresie nie tylko organów, ale i konsumentów stopniowo rośnie.