Najważniejsze akty prawne dotyczące plików Cookies

Zgodność z prawem UE:

1. RODO
2. ePrivacy

Zgodność z prawem polskim:

1. ustawa o świadczeniu usług drogą elektroniczną
2. ustawa prawo telekomunikacyjne

Stosowanie mechanizmu na stronie internetowej, który umożliwia odebranie od użytkownika wyraźnej zgody na używanie plików cookie, stanowi coraz powszechniejszą praktykę. Jednak co ważniejsze, mechanizm ten został także uregulowany licznymi aktami prawnymi zarówno krajowymi, jak i zagranicznymi.

Podstawy prawne, które mają wpływ na sposób, w jaki strony internetowe korzystają z plików cookie można podzielić na krajowe i europejskie.

Do przepisów UE zaliczamy:

1. RODO czyli Rozporządzenie Ogólne o Ochronie Danych Osobowych w zakresie ochrony danych osobowych, które mogą być przetwarzane za pośrednictwem plików cookies – przepisy aktualnie obowiązujące.
2. Rozporządzenie ePrivacy – w zakresie instalowania i zbierania cookies przez administratorów stron – przepisy, które mają wejść w życie!

Do przepisów krajowych zaliczamy:

1. ustawę o świadczeniu usług drogą elektronicznych
2. ustawę prawo telekomunikacyjne.

Rozporządzenie Ogólne o Ochronie Danych Osobowych, a więc RODO (GDPR).

RODO to unijne rozporządzenie, które ma na celu ochronę danych osobowych. Przepisy RODO zobowiązują administratorów stron internetowych, które zbierają dane osobowe użytkowników, uzyskać ich zgodę na przetwarzanie tych danych. Pliki cookie mogą być wykorzystywane do zbierania danych osobowych, dlatego strony internetowe muszą przestrzegać RODO podczas korzystania z plików cookie.

Pliki cookie podlegają RODO, gdy:

• Zawierają dane osobowe: Oznacza to, że można je wykorzystać do identyfikacji konkretnej osoby. Przykładem danych osobowych w plikach cookie może być adres IP użytkownika, identyfikator urządzenia lub dane logowania.
• Są wykorzystywane do śledzenia aktywności użytkownika w Internecie: W takim przypadku pliki cookie mogą być traktowane jako profilowanie, które podlega szczególnym zasadom RODO.
• Są wykorzystywane do celów reklamowych: RODO reguluje również przetwarzanie danych osobowych do celów marketingowych, a pliki cookie mogą być wykorzystywane do kierowania reklam do użytkowników na podstawie ich danych osobowych lub aktywności w Internecie.

Jak stosować RODO do plików cookie?

Jeśli Twoja strona internetowa wykorzystuje pliki cookie, które podlegają RODO, musisz:

• Poinformować użytkowników o wykorzystywaniu plików cookie: Informacja ta powinna być jasna, zrozumiała i łatwo dostępna. Powinna zawierać informacje o tym, jakie pliki cookie są wykorzystywane, do jakich celów są wykorzystywane i jak użytkownicy mogą zarządzać plikami cookie.
• Uzyskać zgodę użytkowników na wykorzystywanie plików cookie: Zgoda powinna być dobrowolna, świadoma i konkretna. Użytkownicy powinni mieć możliwość łatwego wyrażenia zgody lub jej wycofania.
• Zapewnić użytkownikom możliwość zarządzania plikami cookie: Użytkownicy powinni mieć możliwość kontrolowania, jakie pliki cookie są przechowywane na ich urządzeniach. Mogą to zrobić za pomocą ustawień przeglądarki lub narzędzi do zarządzania plikami cookie.

RODO i pliki cookies: 5 najważniejszych punktów

1. Przepisy RODO, a także orzecznictwo TSUE potwierdziły, że pliki cookies mogą zawierać dane osobowe.
2. Strony internetowe muszą uzyskać zgodę użytkowników na korzystanie z cookies. Zgoda musi być dobrowolna, konkretna, świadoma i wyrażona aktywnym działaniem.
3. Popularnym rozwiązaniem są rozszerzone belki cookies, które informują o celach cookies i pozwalają użytkownikom dokonać świadomych wyborów.
4. Organy ochrony danych osobowych, np. francuski CNIL, podkreślają, że użytkownicy muszą być jasno poinformowani o celach cookies. Odmowa ich instalacji powinna być równie łatwa jak ich akceptacja.
5. Polski Urząd Ochrony Danych Osobowych preferuje aktywną zgodę na cookies. Oznacza to, że użytkownik musi wyraźnie zaakceptować cookies, a nie może polegać na domyślnych ustawieniach przeglądarki.

Rozporządzenie ePrivacy

Rozporządzenie Parlamentu Europejskiego i Rady w sprawie poszanowania życia prywatnego i ochrony danych osobowych w łączności elektronicznej i uchylające dyrektywę 2002/58/WE (rozporządzenie w sprawie prywatności i łączności elektronicznej), to unijne rozporządzenie mające na celu ochronę prywatności użytkowników w kontekście komunikacji elektronicznej.

O ile RODO oraz ustawa o świadczeniu usług drogą elektronicznych ma wyłącznie pośredni wpływ na kwestie związane z plikami cookie, to rozporządzenie ePrivacy będzie miało bezpośredni wpływ na kwestie związane ze zgodą na pliki cookies.

Główne zmiany w tym zakresie obejmują:

• Wzmocnienie wymogów dotyczących zgody: Zgoda na pliki cookies musi być dobrowolna, konkretna, świadoma i jednoznaczna. Oznacza to, że użytkownicy muszą mieć jasną i przejrzystą informację o tym, jakie pliki cookies są wykorzystywane, do jakich celów i jak mogą zrezygnować z ich śledzenia.
• Zakaz stosowania „ścian cookies”: Mechanizmy, które uniemożliwiają użytkownikom dostęp do strony internetowej bez uprzedniej zgody na wszystkie pliki cookies, zostaną zakazane.
• Możliwość łatwego wycofania zgody: Użytkownicy muszą mieć prostą i łatwą możliwość wycofania zgody na pliki cookies w każdej chwili.
• Szczegółowe obowiązki informacyjne: Administratorzy stron internetowych będą zobowiązani do udostępniania użytkownikom szczegółowych informacji o wykorzystywanych plikach cookies, m.in. ich celach, sposobie działania i czasie przechowywania.

Przepisy krajowe:

Ustawa o świadczeniu usług drogą elektronicznych

Ustawa ta nakazuje stronom internetowym informować użytkowników o tym, że korzystają z plików cookie i podawać im możliwość wyłączenia plików cookie.

Zgodnie z art. 18 ust. 2 ustawy:

W celu realizacji umów lub dokonania innej czynności prawnej z usługobiorcą, usługodawca może przetwarzać inne dane niezbędne ze względu na właściwość świadczonej usługi lub sposób jej rozliczenia.

Prawo telekomunikacyjne

Ustawa stanowi implementację dyrektywy unijnej ePrivacy z 2002 r. Tym samym jej podstawy wynikają z aktu prawnego, który opisuje w zakresie instalowania i zbierania cookies przez administratorów stron. Jednocześnie prawo polskie w zakresie plików cookie, odsyła do przepisów właściwych ze względu na ochronę danych osobowych (art. 174 ustawy), a tym samym do RODO.