Jak prawidłowo zaprojektować baner cookies? Zgody, blokowanie skryptów i wymogi UODO
W artykule znajdziesz:
Jeszcze niedawno pasek z jednym przyciskiem „OK” na stronie wystarczał za cały baner cookies. Czysto informacyjny, bez wyboru: klikałeś, żeby zniknął, a ciasteczka i tak już wędrowały dalej, zanim zdążyłeś cokolwiek zaakceptować.
Taki model funkcjonował w Polsce jeszcze przed 2013 rokiem, gdy samo przeglądanie strony traktowano jako domniemaną zgodę. Nowelizacja Prawa telekomunikacyjnego z marca 2013 roku wprowadziła obowiązek uzyskania bardziej świadomej zgody, pozostawiając jednak możliwość jej wyrażenia poprzez odpowiednie ustawienia przeglądarki.
Realny obowiązek blokowania skryptów do czasu podjęcia decyzji przez użytkownika wykształcił się dopiero później, wraz z kolejnymi interpretacjami przepisów oraz orzeczeniami TSUE. RODO z 2018 roku dodatkowo wzmocniło jego podstawę prawną.
Ten obowiązek nie jest dziś formalnością do odhaczenia. Podczas kontroli Urzędu Ochrony Danych Osobowych estetyka banera nikogo nie interesuje. Liczy się konkret: log w bazie, który potwierdza, że dany użytkownik we wtorek o 14:32 dobrowolnie zaakceptował przetwarzanie danych.
W tym wpisie sprawdzamy, jak wygląda zgodny z prawem baner: jego obowiązkowe elementy, mechanizmy zarządzania zgodami w tle i obszar, w którym lokalne wdrożenia różnią się od globalnych platform.
Transparentność banera. Dlaczego „używamy plików cookie” już nikogo nie broni
Ogólny komunikat o cookies, bez listy konkretnych plików nie spełnia dziś wymogów unijnych. Użytkownik ma prawo wiedzieć, z czym dokładnie ma do czynienia: do czego służą poszczególne ciasteczka i jak długo zostaną na jego urządzeniu. Narzędzia takie jak GA4 czy Meta Pixel powinny pojawić się w banerze po imieniu, zamiast chować się pod wygodnym hasłem „cookies analityczne i inne”.
Druga sprawa: zgoda musi być szczegółowa. Dajemy odwiedzającemu wybór, nie stawiamy go przed ścianą z napisem „wszystko albo nic”. W praktyce dzielimy pliki na cztery szuflady:
- Niezbędne: Obsługują logowanie, koszyk czy bezpieczeństwo. Nie pytają o zgodę, bo bez nich strona po prostu nie zadziała.
- Funkcjonalne: Zapamiętują język witryny albo obsługują czat na żywo. Bez nich serwis ruszy, ale korzystanie z niego będzie po prostu mniej wygodne.
- Analityczne: Mierzą ruch i badają zachowania na stronie (to tutaj melduje się Google Analytics).
- Reklamowe: Uruchamiają śledzenie pod remarketing i dopasowane kampanie.
Samo podzielenie ciasteczek na kategorie to jednak dopiero połowa sukcesu. Trzecia sprawa dotyczy samego interfejsu i to tutaj projektanci wciąż najczęściej zaliczają wpadkę.
Żaden checkbox nie może być domyślnie zaznaczony. Wyrok TSUE w sprawie Planet49 (C-673/17) z 2019 roku przesądził sprawę jednoznacznie: zgoda zaznaczona z góry po prostu nie jest zgodą.
Do tego dochodzi kwestia symetrii wyboru. Przycisk „Odrzuć” musi być tak samo widoczny jak „Akceptuj wszystkie”, dostępny jednym kliknięciem, od razu na pierwszej warstwie banera, zamiast tkwić zakopany trzy poziomy niżej w ustawieniach. Wytyczne Europejskiej Rady Ochrony Danych (EDPB) dotyczące dark patterns formułują to wprost: odrzucenie zbędnych cookies musi być dla użytkownika tak samo łatwe jak ich zaakceptowanie.
Blokowanie skryptów i wycofanie zgody. Techniczny warunek, o którym większość wdrożeń zapomina
Baner, który tylko chowa się po kliknięciu, a skrypt i tak odpalił się wcześniej, nie chroni nikogo. To najczęstsza luka we wdrożeniach e-commerce: sklep ładuje bibliotekę Google Tag Managera, pixel Meta albo widżet czatu razem z pierwszą odsłoną strony, zanim ktokolwiek zdąży cokolwiek zaakceptować.
System zgodny z prawem musi blokować te skrypty do momentu decyzji użytkownika i usuwać cookies, na które nie wyraził zgody, jeśli mimo blokady zdążyły się zapisać. To już nie kwestia wyglądu banera, tylko silnika, który w tle pilnuje każdego żądania sieciowego.
Użytkownik, który zmienia zdanie i wycofał zgodę, ma zobaczyć efekt natychmiast. Cookie, które w tym momencie wciąż siedzi na dysku, to dowód, że system nie działa. Prawo komunikacji elektronicznej, które 10 listopada 2024 roku zastąpiło Prawo telekomunikacyjne, traktuje wycofanie zgody na równi z jej udzieleniem. Cały proces nie może być trudniejszy ani wymagać dodatkowych kroków.
RODO a GDPR. Dlaczego uniwersalny baner unijny nie wystarczy w Polsce?
Oba te skróty odnoszą się do jednego aktu prawnego, obowiązującego jednolicie w całej Unii Europejskiej.
- RODO to skrót polskiej nazwy, Rozporządzenie o Ochronie Danych Osobowych.
- GDPR to skrót angielskiej, General Data Protection Regulation. Ten sam akt prawny, dwie nazwy.
Sam mechanizm cookies reguluje jednak nie RODO, tylko dyrektywa ePrivacy, a dyrektywy w przeciwieństwie do rozporządzeń nie działają wprost. Każdy kraj UE wdraża je własną ustawą. W Polsce tę rolę pełni Prawo komunikacji elektronicznej. Stąd biorą się różnice, których żaden uniwersalny szablon CMP nie przewidzi automatycznie.
Globalne platformy CMP powstają pod ogólny standard RODO i wytyczne EDPB wspólne dla całej Unii: jedna konfiguracja, jeden szablon banera, zgodność w 27 krajach naraz.
W Polsce ogólny unijny szablon działa więc równolegle z krajowym Prawem komunikacji elektronicznej, które dokłada konkretne, lokalne wymogi: m.in. że wycofanie zgody musi być tak samo łatwe jak jej udzielenie, bez dodatkowych kroków, oraz że dowód zgody musi dać się odtworzyć z dokładnością do konkretnego zdarzenia, nie tylko zbiorczej statystyki.
Baner skonfigurowany pod ogólny szablon RODO bywa więc zgodny z unijnym standardem, a jednocześnie nie domyka tych krajowych detali, tych samych, które decydują o wyniku kontroli UODO.
Jedna wspólna regulacja nie znaczy, że jedno narzędzie wystarczy wszędzie. Cookiebot spełnia unijny standard, ale to, czy spełnia też polskie wymagania, sprawdzimy za chwilę.
Cookiebot, CookieBox i reszta rynku. Który system faktycznie zostawia dowód
Na rynku dominują platformy chmurowe. Cookiebot to przykład najbardziej rozpoznawalny: konfigurujesz go najczęściej przez Google Tag Managera, dodajesz szablon z galerii, wpisujesz swoje ID i po kilku krokach baner działa globalnie, w kilkudziesięciu językach, z integracją Google Consent Mode.
Problem pojawia się nie przy samym rejestrowaniu zgód, ale przy tym, gdzie ten rejestr jest przechowywany. Cookiebot i podobne narzędzia chmurowe, takie jak CookieYes, Cookie Script czy Complianz, prowadzą szczegółowy log każdego zdarzenia: unikalny identyfikator, dokładną datę i godzinę, adres strony oraz stan zgody. Dane te trafiają jednak na serwery zewnętrznego dostawcy, poza infrastrukturę klienta.
Różnica bywa kosmetyczna przy prostej stronie wizerunkowej z jednym skryptem analitycznym.
Przy sklepie internetowym, który ładuje kilkanaście zewnętrznych bibliotek i realnie może trafić pod lupę UODO, ten jeden szczegół, gotowy dowód z timestampem, waży więcej niż ładny interfejs banera.
To rodzi dwa praktyczne wyzwania.
- Po pierwsze: dostawca CMP zwykle staje się kolejnym podmiotem przetwarzającym Twoje dane. Musisz go wpisać do rejestru czynności przetwarzania.
- Po drugie: dostęp do konkretnego rekordu bywa uzależniony od planu abonamentowego. W niższych pakietach wyciągnięcie pojedynczego wpisu oznacza konieczność logowania się do zewnętrznego panelu lub kontakt z helpdeskiem, zamiast błyskawicznego wglądu we własną bazę.
Polskie rozwiązanie, wtyczka CookieBox od VisionSolutions, rozwiązuje ten problem u źródła. Instaluje się ją bezpośrednio na serwerze klienta, jako element WordPressa, bez udziału chmury i pośrednika. Każda zgoda trafia od razu do bazy danych strony wraz z timestampem. Podczas kontroli nie trzeba logować się do zewnętrznych serwisów ani czekać na odpowiedź supportu, dane od początku należą do administratora witryny.
Dobry baner cookies pokazuje listę ciasteczek po nazwie, daje wybór kategorii bez sztuczek z domyślnie zaznaczonym polem i blokuje skrypty, dopóki zgoda nie padnie. Reszta to wybór narzędzia dopasowanego do skali. Prosty sklep poradzi sobie z gotową wtyczką. Duża platforma z ruchem z kilku krajów doceni globalną integrację Cookiebota.
Jedno zostaje wspólne bez względu na wybór: dokumentacja. Zanim cokolwiek wdrożysz, poproś dostawcę, żeby pokazał Ci, gdzie dokładnie leży dowód konkretnej zgody. Jeśli nie umie odpowiedzieć od razu, to Ty będziesz szukał tej odpowiedzi w dniu kontroli.
Komentarze (0)