Pliki cookies – prawa i obowiązki przedsiębiorcy

Wejście na stronę internetową bez atakujących nas ogromnych banerów, wręcz krzyczących o plikach cookies, jest teraz praktycznie niemożliwe. Ale czy zawsze jest to poprawne? Jak to wygląda ze strony osób, które takie banery umieszczają? Każdy, kto posiada stronę internetową, ma wiele obowiązków, w tym związanych z plikami cookies, jednak nie zawsze wszystkie stosowane rozwiązania są poprawne i potrzebne.

Pliki cookies – czym są?

Na początku warto określić, czym są pliki cookies (tzw. ciasteczka) i dlaczego są tak istotne na naszych stronach internetowych.

Pliki cookies są świetnym narzędziem dla branży e-commerce. Pozwalają dopracować działania w zakresie strony internetowej, ponieważ przede wszystkim stanowią doskonalą opcję uzyskania informacji np. na temat tego, jakie produkty w naszym sklepie internetowym są najczęściej przeglądane, jak długo trwa wizyta na naszej stronie i czy użyta reklama jest dobrze „klikalna”.

Rodzajów ciasteczek jest naprawdę wiele. Po pierwsze, można je podzielić z uwagi na „żywotności”, a więc czy przechowywane są w naszym urządzeniu tylko przez sesję (czas używania witryny), czy może przez dłuższy czas, nawet kilka miesięcy po wyjściu z witryny.

Pliki cookies mają także różne funkcje i mogą np. służyć zbieraniu danych statystycznych albo zapamiętywaniu informacji dostosowujących stronę dla użytkownika, np. wybrany język. Jednak większości z nas kojarzą się z działaniami marketingowymi, Google Ads i możliwością weryfikowania, skąd użytkownik przyszedł na naszą stronę. Nie należy jednak zapominać o tych podstawowych plikach cookies – niezbędnych – które pozwalają utrzymać działanie naszej strony oraz jej bezpieczeństwo.

Ostatni podział dotyczy dostawców plików cookies. Mogą one pochodzić bezpośrednio od nas – naszej strony internetowej – lub od podmiotów trzecich, takich jak Google lub Facebook. Tutaj istotne jest, kto plik cookies dostarcza oraz decyduje o nim.

Pliki cookies – podstawy prawne

W prawie polskim jest jeden przepis, do którego należy zajrzeć, jeżeli chcemy mówić o plikach cookies – art. 173 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2024 r. poz. 34). Stanowi on o możliwości korzystania z plików cookies, pod warunkiem że:

1. użytkownik zostanie uprzednio bezpośrednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu stosowania plików cookies i uzyskania dostępu do tej informacji oraz możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi;
2. użytkownik po otrzymaniu informacji, o których mowa w pkt 1), wyrazi na to zgodę;
3. przechowywana informacja lub uzyskiwanie do niej dostępu nie powoduje zmian konfiguracyjnych w telekomunikacyjnym urządzeniu końcowym użytkownika i oprogramowaniu zainstalowanym w tym urządzeniu.

Wyjątkiem w przypadku uzyskiwania zgody są niezbędne pliki cookies, czyli takie, bez których strona internetowa nie może poprawnie działać. Należy uważać w zaliczaniu ciasteczek do tej kategorii i zawsze trzeba się zastanowić – „czy moja strona może działać bez tego pliku cookies?”. Jeżeli odpowiedź jest twierdząca, zaleca się poszukanie innej kategorii, w której można umieścić takie ciasteczko.

W omawianym przepisie znajdziemy również zapis, który mówi, że użytkownik zgodę na pliki cookies może wyrazić za pomocą ustawień przeglądarki internetowej, z której korzysta (art. 173 ust. 2 Prawa telekomunikacyjnego). Tutaj jednak znów należy uważać. Faktycznie taki przepis istnieje, jednak pojawiające się w ostatnich latach wyroki oraz poglądy (z uwagi na RODO), pokazują, że lakoniczna informacja o tym, bez możliwości faktycznego wyboru i wyrażenia zgody, nie jest wystarczająca. Skąd taka sytuacja? Niestety, z uwagi na różnice w przepisach. Obecnie art. 174 Prawa telekomunikacyjnego wskazuje, że „do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych”, a oznacza to, że zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Z tego powodu wymaganie wyrażenia zgody na pliki cookies przez ustawienia przeglądarki internetowej jest dyskusyjne, a obserwując zmiany, które są planowane na kolejne lata, nie będzie wystarczające.