Odrzucić wszystkie pliki cookie?

Czy baner cookie powinien zawierać przycisk „Odrzuć wszystkie pliki cookie”?

Wiele osób uważa za uciążliwe banery, które przy wejściu na stronę proszą o zgodę na używanie różnych plików cookie. Na wielu stronach brakuje przycisku „Odrzuć wszystkie pliki cookie”. Zamiast tego trzeba przejść przez menu ustawień i tam wyłączyć zapisywanie plików cookie. Aby szybko przeglądać dalej, użytkownicy często wolą po prostu wyrazić zgodę. Operatorzy stron wykorzystują to „lenistwo”, aby uzyskać jak najwyższy odsetek zgód.

Pytanie brzmi, jak ocenić brak przycisku „Odrzuć wszystkie pliki cookie”.

Faktem jest, że na zapisywanie plików cookie, które nie są niezbędne (czyli w szczególności plików cookie do analiz marketingowych), wymagana jest zgoda użytkownika.

W wyroku z 1 października 2019 r. (sygn. C-673/17) TSUE potwierdził ogólny obowiązek uzyskania zgody na wszystkie pliki cookie, które ze względów technicznych nie są bezwzględnie niezbędne do działania strony internetowej i udostępniania jej funkcji.

Niemiecki Federalny Trybunał Sprawiedliwości (BGH) w orzeczeniu z 28.05.2020 r. (I ZR 7/16 – Cookie-Einwilligung II – wyrok BGH w sprawie plików cookie) doprecyzował ponadto dokładne wymogi dotyczące zgody na zapisywanie plików cookie.

Od tego czasu operatorzy stron, którzy nadal chcą zapisywać pliki cookie niebędące technicznie niezbędnymi, muszą wdrożyć na swoich stronach skuteczne rozwiązania do zbierania zgód. 

Czy jednak baner cookie musi koniecznie zawierać przycisk, który pozwala od razu odrzucić wszystkie pliki cookie?

Organy nadzorcze ds. ochrony danych wydają się tu zgodne: wyrażenie zgody na pliki cookie powinno być równie proste jak jej odmowa.

Przykładowo francuski organ ochrony danych CNIL (Commission Nationale de l’Informatique et des Libertés) wezwał ok. 60 firm do zmiany praktyk dotyczących projektowania banerów cookie, a w szczególności do tego, aby odrzucenie plików cookie było równie łatwe jak ich zaakceptowanie (komunikat prasowy w języku angielskim tutaj). Działanie to jest częścią środków służących egzekwowaniu opublikowanych przez CNIL „Wytycznych i zaleceń dotyczących stosowania plików cookie i innych technologii śledzących“.

Podobne stanowisko zajmuje włoski organ ochrony danych Garante. W swoich wytycznych dotyczących plików cookie stwierdza:

„Mechanizm, który umożliwia kontynuowanie przeglądania bez zgody, musi być tak samo przyjazny dla użytkownika i dostępny jak mechanizm udzielania zgody.”

I dalej: „Aby forma banera cookie nie wpływała na użytkowników tak, że wybierają jedną opcję zamiast drugiej, kluczowe jest, aby przyciski i oznaczenia miały taką samą wielkość, wyróżnienie i kolor oraz aby wszystkie były równie łatwe do zauważenia i użycia.“

31 grudnia 2021 roku CNIL nałożyła na Google grzywnę w wysokości łącznie 150 milionów euro (90 milionów euro dla Google LLC i 60 milionów euro dla Google Ireland Limited), ponieważ użytkownicy witryn google.fr i youtube.com nie są w stanie tak łatwo odrzucić plików cookie, jak je akceptować.

Również w Niemczech Google miało już kłopoty. Federacja konsumentów Verbraucherzentrale NRW wniosła przeciwko Google pozew do sądu krajowego w Berlinie (LG Berlin), uzasadniając go następująco: Za pomocą trików w projektowaniu banerów cookie firmy próbują podstępem uzyskać zgodę konsumentów, aby zdobyć, gromadzić i przetwarzać jak najwięcej informacji o nich. Odrzucenie plików cookie musi być dla konsumentów równie łatwe jak ich akceptacja. Tylko tak można zapobiec nieprzemyślanemu ujawnianiu danych. Według pozwu użytkownik Google musi kliknąć tylko raz, aby zaakceptować wszystkie pliki cookie. Kto natomiast chce zezwolić wyłącznie na niezbędne pliki cookie, musi najpierw przejść na inny poziom okna dialogowego cookie. Tam musi następnie osobno odrzucić co najmniej trzy różne kategorie plików cookie. Tym samym Google miało naruszać przepisy niemieckiej ustawy o ochronie danych w telekomunikacji i telemediach (TTDSG) oraz prawo UE.

W związku z pozwem Verbraucherzentrale NRW Google ogłosiło, że zrezygnuje z tej praktyki, a przycisk „Odrzuć wszystkie pliki cookie” wkrótce pojawi się w banerach cookie w całej Europie, zgodnie z zaleceniami organów nadzorczych. Google wyposażyło już banery cookie w swojej wyszukiwarce, m.in. w niemieckiej wersji, w przycisk „Odrzuć wszystkie pliki cookie” jako nowy standard Google.

Dodatkowo presję na firmy, by zmieniły swoje banery cookie, zwiększają także inicjatywy prywatne. Organizacja ochrony prywatności noyb („none of your business”) złożyła w ubiegłym roku aż 422 skargi do europejskich organów nadzorczych.

Dlatego zdecydowanie zalecamy umieszczanie w banerach cookie przycisku „Odrzuć wszystkie pliki cookie” na równi z przyciskiem zgody. Tylko w ten sposób można zapewnić, że użytkownik strony wyrazi zgodę dobrowolnie, a więc zgodnie z przepisami o ochronie danych.

Zmieniając baner cookie, warto zwrócić uwagę przede wszystkim na następujące kwestie:

Dobrą listę kontrolną dotyczącą wymogów wobec banerów cookie tutaj opublikował organ nadzorczy Dolnej Saksonii. Jeśli przejdą ją Państwo punkt po punkcie, powinni Państwo być po bezpiecznej stronie.