Wymóg uzyskania zgody
Przetwarzanie informacji o plikach cookies opiera się nie tylko na RODO, ale także (jeszcze) na postanowieniach dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej)[1]. Jeżeli informacja zapisywana na urządzeniu użytkownika stanowi dane osobowe, postanowienia dyrektywy mają pierwszeństwo przed RODO przy określaniu dopuszczalności czynności przechowywania lub uzyskiwania dostępu do tych informacji[2]. W praktyce oznacza to, że ustalenie podstawy prawnej przetwarzania tych danych osobowych opiera się na art. 5 (3) dyrektywy, a stosowanie innej niż zgoda podstawy przetwarzania jest możliwe tylko w okolicznościach wskazanych w tym przepisie. Wymóg uzyskania zgody użytkownika, wskazany w postanowieniach dyrektywy, jest wiążący dla administratora danych osobowych.
Polecamy: INFORLEX Twój Biznes Jak w praktyce korzystać z tarczy antykryzysowej Zamów już od 98 zł
Zgoda na zapisywanie plików cookies jest zatem wymagana w odniesieniu do korzystania z sieci łączności elektronicznej w celu przechowywania informacji lub uzyskiwania dostępu do informacji przechowywanej na terminalu abonenta lub użytkownika końcowego. W praktyce zgody wymaga zapisywanie:
- plików cookies marketingowych,
- plików cookies analitycznych,
- plików cookies statystycznych,
- wtyczek mediów społecznościowych,
- plików cookies stron trzecich.
Jeśli nie zgoda, to co?
Dostawca nie potrzebuje natomiast zgody użytkownika na stosowanie plików cookies, jeżeli takie przetwarzanie jest niezbędne np. w celu wykonania lub ułatwienia transmisji, technicznego przechowywania danych lub dostępu do nich, realizacji usługi zażądanej przez użytkownika, zgodnie z art. 5 (3) dyrektywy eprivacy. Przetwarzanie w tych przypadkach jest niezbędne dla zapewnienia bezpieczeństwa transmisji lub ochrony interesów administratora albo też dotyczy usługi zainicjowanej przez użytkownika (np. zakupy w koszyku w sklepie internetowym) i opiera się na innej przesłance niż zgoda, tj. prawnie uzasadnionym interesie administratora (art. 6 ust. 1 lit. f RODO). Trzeba mieć jednak na uwadze ograniczenia wynikające z art. 5(3) dyrektywy, zakreślającego obszar możliwego przetwarzania na innej niż zgoda podstawie prawnej.
Compliance
Zapewnienie zgodności stosowanych plików cookies z przepisami prawa, w tym z zakresu ochrony danych osobowych, nie może polegać na bezrefleksyjnym pozyskiwaniu zgód na przetwarzanie danych osobowych w odniesieniu do wszystkich plików cookies. Po weryfikacji celów przetwarzania poszczególnych plików cookies należy pozyskiwać zgody w odniesieniu tylko tych, które wykraczają poza pliki niezbędne dla funkcjonowania witryny i jej bezpieczeństwa.
Administrator jest także zobowiązany do stosowania zasady przejrzystości przetwarzania, zgodnie z art. 11 RODO, co w przypadku projektowania stosowania plików cookies oznacza obowiązek przejrzystego i czytelnego informowania użytkownika o celach, w jakich pozyskiwane są konkretne zgody. Użytkownik powinien być wyraźnie poinformowany, które pliki cookies wymagają jego zgody, a których przetwarzanie będzie odbywało się bez takiej zgody.
Zgoda nie tylko do cookies
Na problematykę takiego przetwarzania należy jednak spojrzeć szerzej, z uwzględnieniem dostępnych i stosowanych przez administratorów technologii włączania użytkowników w ich działania, czasem ich śledzenia. W praktyce oznacza to, że wymóg uzyskania zgody na przetwarzanie danych osobowych będzie dotyczył nie tylko popularnych ciasteczek, ale także przetwarzania za pomocą takich technologii, jak np. Canvas fingerprinting.
[1] Dziennik Urzędowy L 201 , 31/07/2002 P. 0037 – 0047.
[2] Opinia 5/2019 Europejskiej Rady Ochrony Danych; https://edpb.europa.eu/sites/edpb/files/files/file1/201905_edpb_opinion_eprivacydir_gdpr_interplay_en_0.pdf