Zwykła strona firmowa z formularzem i statystykami ma cztery obowiązki, nie czterdzieści. Klauzulę informacyjną przy formularzu, prawidłową zgodę na to, co zapisuje w przeglądarce odwiedzającego, politykę prywatności zgodną ze stanem faktycznym i umowy powierzenia z dostawcami.
Jedna rzecz zmieniła się niedawno i prawie nikt tego nie zauważył. Cookies nie reguluje już Prawo telekomunikacyjne, tylko Prawo komunikacji elektronicznej, obowiązujące od 10 listopada 2024 r. Odwołania do dawnego art. 173 wciąż stoją w setkach polityk prywatności.
Przez lata podstawą dla banerów cookies był art. 173 Prawa telekomunikacyjnego. Ta ustawa została zastąpiona, a przechowywanie informacji i dostęp do informacji już przechowywanej w urządzeniu końcowym reguluje dziś art. 399 Prawa komunikacji elektronicznej.
Sam obowiązek jest zbliżony, więc nie jest to rewolucja. Ale powoływanie się na uchylony przepis mówi coś o dokumencie: że nikt go nie czytał od kilku lat. A skoro nie czytał podstawy prawnej, to prawdopodobnie nie sprawdzał też, czy opis narzędzi zgadza się ze stanem strony.
Wbrew nazwie baner nie dotyczy „ciasteczek” jako takich, tylko celu, w jakim coś jest zapisywane w urządzeniu odwiedzającego.
| Do czego służy | Przykład | Zgoda | Dlaczego |
|---|---|---|---|
| Działanie usługi żądanej przez użytkownika | Koszyk, sesja logowania, wybór języka | Nie | Wyłączenie z art. 399 ust. 3: konieczne do dostarczenia żądanej usługi |
| Bezpieczeństwo formularza | Token chroniący przed fałszowaniem żądań | Nie | Element działania funkcji, z której użytkownik właśnie korzysta |
| Statystyki odwiedzin | Narzędzie analityczne z identyfikatorem odwiedzającego | Tak | Cel własny właściciela strony, nie usługa żądana przez odwiedzającego |
| Marketing i profilowanie | Piksele reklamowe, remarketing, śledzenie między serwisami | Tak | Odrębny cel, wymaga odrębnej i świadomej zgody |
| Treści osadzone z cudzego serwisu | Wideo, mapa, widżet opinii, czat | Zwykle tak | Dostawca zapisuje własne identyfikatory już przy wczytaniu elementu |
Ostatni wiersz jest najczęściej przeoczany. Osadzona mapa albo wideo potrafi zapisać dane w urządzeniu w chwili wczytania podstrony, czyli zanim ktokolwiek kliknie cokolwiek w banerze. Rozwiązaniem jest wczytywanie takich elementów dopiero po zgodzie, a do tego czasu pokazywanie zastępczej grafiki z przyciskiem.
Kolejność odpowiada częstości. Pierwszy występuje na większości stron firmowych, które sprawdzamy.
Baner jest, wygląda poprawnie i nie ma żadnego znaczenia, bo narzędzie analityczne wczytało się razem ze stroną. Zgoda ma być uprzednia, więc liczy się moment uruchomienia skryptu, a nie obecność okienka.
Sprawdź W zakładce sieci narzędzi programisty: czy przed kliknięciem lecą zapytania do usług analitycznych?Duży przycisk „Akceptuję” i odmowa schowana za „Ustawieniami”, gdzie trzeba odznaczyć kilka suwaków. Skoro zgoda ma być dobrowolna, odrzucenie musi wymagać podobnego wysiłku co przyjęcie.
Sprawdź Czy da się odmówić jednym kliknięciem z pierwszego ekranu banera?Obowiązek informacyjny spełnia się w chwili zbierania danych. Sama polityka prywatności w stopce bywa niewystarczająca, jeśli przy formularzu nie ma do niej odesłania i krótkiej informacji, kto i po co zbiera dane.
Sprawdź Czy przy formularzu jest zdanie o administratorze i odnośnik do polityki?Dokument wymienia narzędzia, których nie ma, i milczy o tych, które działają. Powstaje tak zawsze, gdy politykę wzięto z generatora albo z poprzedniej strony i nigdy nie zestawiono jej z tym, co serwis faktycznie wczytuje.
Sprawdź Czy każde narzędzie z polityki działa na stronie i odwrotnie?Formularz na stronie bez ważnego certyfikatu wysyła dane otwartym tekstem. Przy danych osobowych jest to brak podstawowego środka technicznego, a nie drobiazg estetyczny, i widać go z zewnątrz w kilka sekund.
Sprawdź Czy adres z formularzem otwiera się po szyfrowanym połączeniu bez ostrzeżeń?Hosting, poczta, narzędzie analityczne i firma utrzymująca stronę przetwarzają dane w Twoim imieniu. Relacja z każdym z nich wymaga umowy powierzenia. Zwykle jest ona gotowa do zaakceptowania w panelu i wystarczy ją zachować.
Sprawdź Czy potrafisz wskazać dokument dla hostingu i dla poczty?Rozdzielenie warstwy technicznej i prawnej jest kluczowe.
Nie. Prawo telekomunikacyjne zostało zastąpione ustawą z 12 lipca 2024 r. Prawo komunikacji elektronicznej, ogłoszoną pod pozycją 1221 Dziennika Ustaw z 2024 r. i obowiązującą od 10 listopada 2024 r. Przechowywanie informacji i dostęp do informacji już przechowywanej w urządzeniu końcowym reguluje teraz art. 399 tej ustawy. Odwołania do art. 173 Prawa telekomunikacyjnego wciąż stoją w wielu politykach prywatności i banerach zgód, bo zostały tam skopiowane przed zmianą przepisów. Sama treść obowiązku jest zbliżona, ale powoływanie się na uchylony przepis jest sygnałem, że dokumentu nikt nie przeglądał od lat.
Nie na każdą. Zgody wymaga przechowywanie informacji w urządzeniu użytkownika i dostęp do niej, ale art. 399 ust. 3 Prawa komunikacji elektronicznej wyłącza z tego wymogu sytuacje, w których jest to konieczne do wykonania transmisji albo do dostarczenia usługi wyraźnie żądanej przez użytkownika. Strona wizytówkowa, która nie prowadzi statystyk, nie osadza wideo, nie ma czatu ani pikseli reklamowych, może nie zapisywać niczego wymagającego zgody i wtedy baner jest zbędny. Problem pojawia się z chwilą dodania pierwszego narzędzia analitycznego albo osadzonego elementu z cudzego serwisu.
Zgoda musi być uprzednia, więc skrypty wymagające zgody nie mogą uruchomić się przed jej udzieleniem. Musi być świadoma, więc przed jej wyrażeniem trzeba jednoznacznie i zrozumiale poinformować o celu przechowywania informacji i dostępu do niej. Musi być dobrowolna, a art. 400 Prawa komunikacji elektronicznej odsyła w zakresie zgody do przepisów o ochronie danych osobowych, czyli do standardu z RODO. Praktyczny wniosek jest taki, że odmowa musi być równie łatwa jak zgoda: jeśli akceptacja to jedno kliknięcie, a odmowa wymaga wejścia w ustawienia i odznaczania suwaków, zgoda nie jest dobrowolna. Najczęstszym błędem technicznym pozostaje jednak nie sam wygląd banera, tylko uruchamianie skryptów zanim ktokolwiek cokolwiek kliknie.
Informacja o tym, kto jest administratorem danych, w jakim celu i na jakiej podstawie je przetwarza, jak długo będzie je przechowywać, komu może je przekazać oraz jakie prawa przysługują osobie, która formularz wypełnia. To obowiązek informacyjny z art. 13 RODO i trzeba go spełnić w momencie zbierania danych, a nie dopiero po ich otrzymaniu. W praktyce wystarczy krótka informacja przy formularzu wraz z odnośnikiem do pełnej polityki prywatności. Osobna, obowiązkowa zgoda na samo udzielenie odpowiedzi zwykle nie jest potrzebna, bo podstawą jest tu działanie na żądanie osoby, która pisze. Zgoda jest natomiast konieczna, gdy adres z formularza ma potem posłużyć do wysyłki marketingowej.
Tak, jeżeli na serwerze znajdują się dane osobowe, a znajdują się tam praktycznie zawsze, gdy strona ma formularz albo pocztę. Hosting przetwarza dane w Twoim imieniu, więc jest podmiotem przetwarzającym w rozumieniu art. 28 RODO i relacja z nim wymaga umowy powierzenia. To samo dotyczy dostawcy poczty, narzędzia analitycznego, systemu wysyłki newslettera i firmy, która utrzymuje stronę. Poważni dostawcy udostępniają gotowy dokument do zaakceptowania w panelu i najczęściej wystarczy go zaakceptować i zachować.
Jako punkt wyjścia bywa użyteczny, jako dokument końcowy zwykle nie. Polityka prywatności ma opisywać stan faktyczny konkretnej strony, a wygenerowany szablon opisuje stan przeciętny: wymienia narzędzia, których nie masz, i pomija te, których używasz. Najczęstsza rozbieżność, jaką widzimy w audytach, to polityka milcząca o narzędziu analitycznym, które na stronie działa, albo odwrotnie: opisująca system newslettera wyłączony dwa lata temu. Dokument niezgodny z tym, co robi strona, jest gorszy niż jego brak, bo dowodzi, że nikt tego nie sprawdzał.
Robimy warstwę techniczną i mówimy to wprost. Wdrażamy formularz z klauzulą i szyfrowaną transmisją, konfigurujemy baner tak, żeby skrypty nie startowały przed zgodą, publikujemy dokumenty i wskazujemy rozbieżności między treścią polityki a tym, co strona faktycznie robi. Nie jesteśmy kancelarią: nie sporządzamy opinii prawnych, nie prowadzimy rejestru czynności przetwarzania, nie pełnimy funkcji inspektora ochrony danych i nie oceniamy podstaw prawnych Twojej działalności. Gdy strona przetwarza dane osobowe w naszym imieniu lub my w Twoim, podpisujemy umowę powierzenia, a listę naszych dalszych podwykonawców prowadzimy jawnie.
Bez szyfrowanego połączenia formularz wysyła dane otwartym tekstem. Przyczyny ostrzeżeń i sposób naprawy.
Sprawdź przyczynyBaner zgód i skrypty zewnętrzne psują nie tylko zgodność, ale też dwa z trzech wskaźników wydajności.
Zobacz wskaźnikiSprawdzimy między innymi, czy skrypty startują przed zgodą i czy formularz idzie szyfrowanym połączeniem.
Sprawdź stronęPodaj adres. Zobaczymy, co wczytuje się przed zgodą, czy formularz idzie szyfrowanym połączeniem i czy polityka opisuje narzędzia, które faktycznie działają. Rozbieżności wypiszemy konkretnie, bez straszenia karami.
