Czy strona internetowa musi mieć informację o plikach cookie

Nie, nie każda. Jeśli witryna zapisuje tylko to, czego wymaga sama usługa, wystarczy polityka. Baner cookie to wybór, nie dekoracja.

Otwierają Państwo swoją nową stronę internetową, na której jest historia firmy, telefon i formularz kontaktowy, a pierwsze, co widać, to pasek proszący o zgodę na pliki cookie, których ta strona w ogóle nie zapisuje, bo wtyczkę skopiowano z innego projektu, w którym było Google Analytics, i teraz płacą Państwo za teatr, w którym przycisk „Zgadzam się” ukrywa pusty inwentarz. Tuż obok sklep na tym samym WordPressie, ale z Google Analytics 4 i pikselem Meta, pokazuje samą treść, podczas gdy przeglądarka dostała już identyfikator, zanim kupujący przeczytał jedną nazwę towaru, i ta różnica jest tematem całego artykułu. Pierwszy przypadek to zbędna informacja o plikach cookie. Drugi to przechowywanie bez zgody, a prawo pyta nie o to, czy pasek widać, lecz co witryna zapisuje w telekomunikacyjnym urządzeniu końcowym i czy było to potrzebne usłudze, o którą użytkownik sam poprosił.

Ten artykuł odpowiada na pytanie, czy strona internetowa musi mieć informację o plikach cookie, i odpowiedź nie brzmi „tak, każda”, choć prawie każda wtyczka tak się zachowuje, ani „nie, żadna”, choć wygodnie tak powiedzieć witrynie, która chce zostać czysta. Odpowiedź jest granicą: jeśli witryna przechowuje albo odczytuje tylko to, czego wymaga sama zażądana usługa, okno wyboru nie jest obowiązkiem, ale informacja o tych plikach cookie nadal należy do polityki, która ma być dostępna z każdej podstrony. Jeśli witryna mierzy odwiedzających, pokazuje reklamę albo wczytuje narzędzie podmiotu trzeciego, zanim użytkownik o cokolwiek poprosił, zgoda jest potrzebna przed pierwszym zapisem, i wtedy pasek nie jest już dekoracją, tylko jedynym legalnym sposobem, żeby tę zgodę w ogóle uzyskać.

Nazywamy tę granicę, bo w jednym tygodniu widzieliśmy oba końce: witrynę, która kupuje platformę do zarządzania zgodą, żeby przykryć sesyjny plik cookie, i witrynę, która uruchamia analitykę bez jakiegokolwiek wyboru, bo „przecież mamy politykę prywatności”, a żaden z tych stanów nie jest zgodnością. Żaden nie jest też powodem, żeby przepisywać techniczny audyt, który już napisaliśmy gdzie indziej, bo tam należy pytanie, czy pasek, który jest potrzebny, naprawdę zatrzymuje tagi. Tutaj zostaje tylko pierwsze pytanie, na które zbyt często odpowiada się wtyczką: czy w ogóle mają Państwo o co pytać, zanim ktoś sprzeda Państwu narzędzie, którym się pyta.

Czy strona internetowa musi mieć informację o plikach cookie

Nie, nie każda strona internetowa, i ta odpowiedź stoi w samym art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej: przechowywanie informacji albo uzyskanie dostępu do informacji już przechowywanej w urządzeniu końcowym jest dozwolone, jeśli abonent albo użytkownik wyraził zgodę po jasnych i wyczerpujących informacjach o celach przetwarzania, ale zgoda nie jest potrzebna, gdy przechowywanie albo dostęp służą wyłącznie transmisji komunikatu albo są ściśle niezbędne do świadczenia usługi społeczeństwa informacyjnego, o którą użytkownik wyraźnie poprosił. W polskim prawie ten sam przepis przenosi art. 399 ustawy – Prawo komunikacji elektronicznej, a gdy zgoda już jest potrzebna, art. 400 tej ustawy każe stosować do niej odpowiednio przepisy o ochronie danych osobowych, czyli RODO. Jeśli witryna używa wyłącznie takich niezbędnych plików cookie, administrator może poinformować o nich w polityce prywatności, a wyskakujące okno z przyciskami wyboru nie jest obowiązkowe. To nie jest nasza opinia i nie jest „praktyczne skrócenie”, które agencje wymyślają, żeby sprzedać mniej pracy; to krawędź obowiązku administratora, którą warto przeczytać, zanim ktoś sprzeda Państwu platformę do zarządzania zgodą dla witryny, w której nie ma czym zarządzać. Jeśli mimo to chcą Państwo pokazywać pasek także wtedy, gdy wyboru nie ma, może być informacyjny — „Rozumiem” i odnośnik do polityki — i nie wolno tam stawiać „Zgadzam się”, bo o zgodę w tej chwili nie pytają Państwo, a przycisk, który wygląda jak zgoda, jest złą praktyką.

Ta granica jest też miejscem, w którym nazwy zaczynają mylić, bo informacja o plikach cookie w codziennym języku znaczy dowolny tekst, który mówi, że witryna coś zapisuje, podczas gdy baner cookie jest interfejsem wyboru, którym uzyskuje się zgodę na to, czego wyjątek nie obejmuje, a polityka plików cookie jest dokumentem, w którym art. 13 RODO wymaga celu, odbiorcy i okresu. Ustawa w żadnym z tych miejsc nie wymaga konkretnego wyglądu paska i nie wymaga też, żeby każda strona z tokenem bezpieczeństwa formularza najpierw pytała, czy użytkownik w ogóle pozwala witrynie działać. Pomieszać te trzy słowa znaczy albo postawić wybór tam, gdzie go nie ma, albo wyobrazić sobie, że sama polityka zezwala na pomiar, o który nikt nie prosił.

Skutki z niewłaściwej strony są droższe, niż wyglądają, bo zbędne „Zgadzam się” na czysto technicznej witrynie uczy odwiedzającego, że zgoda jest formalnością, i uczy Państwa samych, że zgodność to instalacja wtyczki, nie sprawdzenie inwentarza. Brak wyboru tam, gdzie analityka już zapisuje, nie jest „małym ryzykiem, bo mamy politykę”, tylko przechowywaniem przed zgodą, które EROD i UODO w pracach o banerach cookie nazywają brakiem zgody: opcjonalnych mechanizmów nie wolno uruchamiać, zanim człowiek wybierze. W obu przypadkach wykonali Państwo pracę, która nie odpowiada temu, co na witrynie się dzieje, i to jest gorszy stan niż pusta strona, bo wygląda na porządek i dlatego dłużej zostaje niesprawdzony.

Zanim kupią Państwo jakiekolwiek narzędzie, proszę zapisać, co witryna wpisuje do przeglądarki w pierwszej sekundzie w czystym profilu, i przy każdym wierszu zapytać, czy jest potrzebny usłudze, o którą użytkownik w tej chwili poprosił, nie usłudze, którą chcą Państwo zmierzyć. Jeśli odpowiedź przy wszystkich wierszach brzmi tak, potrzebują Państwo polityki, nie banera cookie, i ten artykuł sprzedaje Państwu dalej tylko to zdanie. Jeśli choć jeden wiersz to pomiar, reklama albo obce narzędzie, potrzebują Państwo zgody przed tym wierszem, i dopiero wtedy ma sens rozmowa o tekście paska, który tutaj też napiszemy, ale nie wcześniej.

Ustawa nazywa przechowywanie i dostęp, nie baner

Art. 399 Prawa komunikacji elektronicznej mówi, że przechowywanie informacji albo uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym abonenta albo użytkownika jest dozwolone po uprzedniej, jednoznacznej informacji i po zgodzie, a ten sam przepis w Unii Europejskiej stoi w art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej. W żadnym z tych tekstów nie ma słowa „baner”, bo obowiązek dotyczy działania w urządzeniu, a pasek jest tylko jednym ze sposobów, żeby tę zgodę zebrać, jeśli w ogóle jest potrzebna. Człowiek, który zaczyna od zakupu wtyczki, zaczyna od złego końca, jakby ustawa była o ramce na dole ekranu, a nie o tym, co dzieje się przed ramką.

Wyjątki są dwa i są wąskie: zgoda nie jest potrzebna, jeśli przechowywanie albo dostęp są konieczne do transmisji komunikatu w sieci, albo jeśli są konieczne do świadczenia usługi drogą elektroniczną, o którą abonent albo użytkownik sam poprosił. W praktyce ta druga przesłanka to identyfikator sesji formularza albo koszyka, uwierzytelnianie, ochrona przed atakami, sesja odtwarzacza, równoważenie obciążenia, wybór języka albo wyglądu, którego użytkownik dokonał i który nie jest używany w innym celu — i ta lista nie jest kartą dań, do której można wpisać wszystko, co jest Państwu wygodne. „Potrzebne nam samym, żeby zrozumieć, czy witryna działa” nie jest wyjątkiem, bez względu na to, jak często wpisywano to w ofercie, bo użytkownik, otwierając stronę główną, nie poprosił o pomiar.

Zakres nie jest przywiązany do pliku, w którego nazwie jest „cookie”, bo UODO przybliża wytyczne EROD o zakresie technicznym art. 5 ust. 3. Te wytyczne, przyjęte 7 października 2024 roku w drugim brzmieniu, przypominają, że przepis mówi o informacji, nie o danych osobowych, i o przechowywaniu albo dostępie, nie o jednej technologii. Piksele, localStorage i odcisk urządzenia wchodzą w to samo pytanie, a Trybunał w sprawie Planet49 (C-673/17) mówi to samo z drugiej strony: ochrona dotyczy każdej informacji w telekomunikacyjnym urządzeniu końcowym, także wtedy, gdy nie są to dane osobowe. Dlatego polityka, która obiecuje „nie używamy plików cookie”, jeszcze nie odpowiada, czy witryna inną metodą sięga po to, co w urządzeniu już stoi. Ta odpowiedź jest ważniejsza niż obecność słowa „cookie” w nazwie pliku.

Tutaj jest też ten błąd, który widzimy w zakupach, gdy ktoś kupuje „rozwiązanie cookie”, jakby ustawa była o pasku, a potem dziwi się, dlaczego audyt nadal znajduje żądania, których w pasku nie ma. Rozwiązanie, które zaczyna od wtyczki, zaczyna od złego końca, bo najpierw trzeba zrozumieć, co jest przechowywane i komu jest potrzebne, i dopiero potem ma sens wybór, czy wystarczy polityka, czy potrzebny jest interfejs wyboru, który ten wybór naprawdę wykonuje. Tej kolejności nie wymyślamy, żeby spowolnić projekt; wymagamy jej, żeby projekt po uruchomieniu nadal odpowiadał inwentarzowi, z którym został zamówiony.

Dwie warstwy: telekomunikacyjne urządzenie końcowe i dane osobowe

Pierwsza warstwa to dyrektywa o prywatności i łączności elektronicznej oraz jej transpozycja w art. 399 Prawa komunikacji elektronicznej, która pyta, czy w ogóle wolno Państwu coś zapisać albo odczytać, a druga warstwa to RODO, które pyta, jeśli potem przetwarzane są dane osobowe, na jakiej podstawie prawnej i z jaką przejrzystością. UODO ten splot odczytuje razem z opiniami EROD, a niemieccy nadzorcy rysują to samo jako dwa wymiary, których nie wolno zlewać w jeden „baner RODO”. Jedna warstwa nie uchyla drugiej. Jeden zielony znacznik nie odpowiada na oba pytania, choćby jak wygodnie było w zakupie kupić jedno narzędzie przeciwko obu.

Ta różnica jest powodem, dla którego polityka prywatności nie jest banerem cookie, bo polityka wykonuje obowiązek informacyjny — co się dzieje, w jakim celu, jak długo, do kogo dane trafiają — i da się to zrobić także wtedy, gdy wyboru nie potrzeba. Baner cookie wykonuje uzyskanie zgody tam, gdzie wyjątek nie wystarcza, i musi odpowiadać art. 4 pkt 11 RODO: dobrowolne, konkretne, świadome i jednoznaczne okazanie woli wyraźnym działaniem potwierdzającym, którego nie dają milczenie, domyślnie zaznaczone okienka ani niepodjęcie działania. To w 2019 roku powiedział Trybunał w sprawie Planet49, a rozporządzenie zapisało to także w motywie 32, więc przycisk, który liczy na to, że człowiek nie zauważy pola, nie jest zgodą także wtedy, gdy polityka pod nim jest długa.

W art. 399 Prawa komunikacji elektronicznej nadal stoi zdanie, że zgodę można wyrazić ustawieniami oprogramowania zainstalowanego w telekomunikacyjnym urządzeniu końcowym, i nie wolno tego czytać tak, jakby dawne Prawo telekomunikacyjne nadal wyznaczało jakość zgody, bo art. 400 tej samej ustawy tę zgodę już przeniósł na przepisy o ochronie danych osobowych. Odesłanie dyrektywy o prywatności i łączności elektronicznej do dyrektywy 95/46/WE jest po art. 94 RODO odesłaniem do samego rozporządzenia, a „zgoda” znaczy to, co mówi art. 4 pkt 11, nie to, co ktoś pamięta z uchylonego przepisu o ustawieniach przeglądarki. Nazywamy tę lukę, żeby nie zaczęli Państwo szukać artykułu starej ustawy tam, gdzie organ nadzorczy czyta już RODO.

W praktyce znaczy to dwa pytania, których nie wolno zadać na jednym oddechu: najpierw, czy to działanie w ogóle może nastąpić przed wyborem, czy jest wyjątkiem, a potem, jeśli dane są danymi osobowymi, na jakiej podstawie przetwarzają je Państwo dalej i gdzie użytkownik może to przeczytać. Witryna, która odpowiada tylko na drugie pytanie długą polityką i nie odpowiada na pierwsze, napisała esej o tym, co robi, i nie zapytała, czy wolno jej to robić. Drugi esej, który odpowiada tylko na pierwsze i zapomina o przejrzystości z art. 13 RODO, jest paskiem bez treści, i oba widzimy częściej niż inwentarz, który odpowiada na oba.

Kiedy zgoda nie jest potrzebna — i kiedy informacja i tak jest

Zgoda nie jest potrzebna tam, gdzie plik cookie jest potrzebny samej zażądanej usłudze i nie jest używany w innym celu, i to jest węższy warunek, niż brzmi. Formularz, który bez tokenu sesji nie odróżni Państwa zgłoszenia od cudzego, koszyk, który bez identyfikatora zapomina towar, równoważenie obciążenia, które tylko mówi, który serwer odpowiada, język, który użytkownik wybrał i który plik cookie tylko zapamiętuje — to jest rdzeń wyjątku, nie „wszystko, bez czego jest nam niewygodnie”. Ten sam test zostawia plik cookie języka na liście, jeśli służy wyłącznie temu celowi, i zostawia poza nią identyfikator witryny podróży, który śledzi człowieka od wizyty do wizyty, żeby podsuwać destynacje, bo tam cel nie jest już funkcją, o którą użytkownik prosił.

Tutaj najczęściej chowa się nadmiar, bo analitykę nazywa się „niezbędną, żeby ulepszyć witrynę”, okno czatu — „niezbędnym, żeby odpowiedzieć klientowi”, piksel reklamowy — „niezbędnym, żeby zrozumieć, czy kampania działa”, i żadne z tych zdań nie jest wyjątkiem. Użytkownik, otwierając stronę główną, nie poprosił o pomiar, czat ani kampanię, a wyjątek należy do funkcji, z której w tej chwili korzysta, nie do funkcji, którą chcą Państwo zmierzyć. Jeśli nie potrafią Państwo zapisać tego związku w jednym zdaniu bez słowa „nam”, to nie są niezbędne pliki cookie. Warto to powiedzieć głośno już wtedy, gdy narzędzie ktoś dopiero chce dodać, nie wtedy, gdy już zapisuje.

Informacja o plikach cookie i tak zostaje, bo administrator, który używa wyłącznie niezbędnych plików cookie, może poinformować o nich w polityce prywatności dostępnej na witrynie, i wtedy wyskakujące okno nie jest obowiązkowe. BfDI w Niemczech mówi to samo innymi słowami: o narzędziach technicznie koniecznych trzeba poinformować, i da się to zrobić w osiągalnej polityce prywatności, ale administrator musi umieć uzasadnić, dlaczego konkretne narzędzie jest konieczne. Art. 13 RODO tej informacji wymaga także wtedy, gdy dane osobowe zbiera się bez banera cookie, bo przejrzystość nie jest dodatkiem do zgody, a polityka nie jest prezentem, który można odłożyć, aż ktoś złoży skargę.

Sami na swojej stronie sesję, token bezpieczeństwa i zapis wyboru zgody trzymamy wśród niezbędnych plików cookie i o zgodę na nie nie prosimy, bo bez nich ta strona nie przyjmie formularza i nie zapamięta, co już Państwo wybrali. To jest decyzja naszego inwentarza, nie cytat UODO o pliku cookie zgody, i nie chowamy jej za ogólnym „wszyscy tak robią”, bo taki wiersz nie jest powszechnym zwolnieniem. Jeśli na Państwa witrynie takich wierszy nie ma i nie ma też pomiarów, wystarczy Państwu polityka; jeśli mimo to chcą Państwo pokazać informacyjny pasek, proszę pokazać „Rozumiem” i odnośnik, nie „Zgadzam się”, bo w przeciwnym razie pytają Państwo o to, czego ustawa w tej chwili nie wymaga.

Kiedy zgoda jest potrzebna przed pierwszym zapisem

Na analityczne i marketingowe pliki cookie zgoda jest potrzebna, i to jest reguła art. 399 Prawa komunikacji elektronicznej czytana razem z RODO, nie sugestia z oferty wtyczki: użycie takich plików cookie wymaga zgody użytkownika, która jest dobrowolna, konkretna, świadoma i jednoznaczna. Niemiecki nadzorca to samo mówi o narzędziach, które analizują przeglądanie albo personalizują reklamę: nie są technicznie konieczne i bez zgody nie mogą się zacząć. Polska nie ma tu osobnego zwolnienia dla pomiaru oglądalności — „my tylko liczymy strony” nie staje się wyjątkiem, bo liczenie jest analityką także wtedy, gdy nazywają je Państwo statystyką.

Czas jest częścią tej reguły, nie przypisem pod nią, bo jeśli identyfikator zostaje zapisany albo odczytany, zanim użytkownik dokonał wyboru, zgody nie uzyskano, choćby jak ładny był pasek, który pojawia się pół sekundy później. Tę kolejność EROD i UODO w ustaleniach o banerach cookie nazywają brakiem zgody: plików cookie, które wymagają zgody, nie wolno przetwarzać, dopóki człowiek nie wybrał, a szybsza animacja tej sekundy nie naprawia. Dlatego pytanie nie brzmi „czy mamy baner cookie”, tylko „co dzieje się w pierwszej sekundzie w czystym profilu”, i tę sekundę w audycie utrwalamy dziennikiem, nie wrażeniem, że pasek pojawił się dostatecznie wcześnie.

Narzędzia podmiotu trzeciego tej granicy nie przesuwają, tylko czynią ją widoczniejszą: jeśli na witrynie polskiej firmy jest osadzony film YouTube, pliki cookie YouTube są plikami cookie podmiotu trzeciego, a YouTube jest ich administratorem. To jeszcze nie jest to samo, co powiedzieć, że każdy osadzony odtwarzacz automatycznie wymaga paska wyboru przed pierwszym pikselem, bo jeśli wideo wczytuje się dopiero po kliknięciu użytkownika, w pierwszej sekundzie może nie być czego przechowywać. Test zostaje ten sam — czy przed zażądanym działaniem już nastąpiło przechowywanie albo dostęp — i jeśli tak, zgoda była potrzebna wcześniej, a jeśli nie, zostawili Państwo wybór tam, gdzie należy.

To, czy plik cookie jest własny, czy pochodzi od podmiotu trzeciego, tego testu nie rozstrzyga, i BfDI mówi to wprost: zarówno własny plik cookie, jak i plik cookie podmiotu trzeciego może być niezbędny, i oba mogą nie być, więc identyfikator, który Państwo sami zapisują po swojej stronie, żeby potem mierzyć zachowanie, nie jest „bezpieczniejszy” od obcego piksela tylko dlatego, że domena jest Państwa. Ustawa pyta o działanie i cel, nie o to, na którym serwerze żyje plik, a polityka, która chwali się, że „nie używamy plików cookie podmiotu trzeciego”, jeszcze nie odpowiedziała, co robi Państwa własna analityka. To jest też to miejsce, w którym zwykle prosimy otworzyć dziennik panelu Sieć, a nie spierać się o słowo „first-party”. Dziennik kończy ten spór szybciej.

Informacja o plikach cookie to nie to samo co baner cookie

Informacja o plikach cookie jest informacją, baner cookie jest wyborem, a polityka plików cookie jest miejscem, w którym informacja zostaje, gdy pasek się zamknie, ale te trzy słowa na co dzień zlewają się w jedno „cookie notice”, i właśnie dlatego w wyszukiwaniach stają obok siebie „czy strona musi mieć cookies” i „baner cookie obowiązkowy”, jakby to był jeden obowiązek. Nie są, bo poinformować można w polityce, bez paska, jeśli wyjątek pokrywa wszystko, co witryna robi, a wybór można uzyskać tylko interfejsem, który pozwala także odmówić, i ten interfejs jest banerem cookie. Pomieszać je znaczy albo żądać podpisu tam, gdzie potrzebny jest tylko tekst, albo wyobrazić sobie, że sam tekst zezwala na pomiar.

Tę różnicę najtaniej widać na złym przykładzie — witrynie, która używa tylko niezbędnych plików cookie, ale pokazuje przycisk „Zgadzam się”, bo prosi o to, czego nie trzeba, i uczy, że zgoda jest jedynym przyciskiem, który coś zamyka. Dobra praktyka w tym samym miejscu to tekst informacyjny, odnośnik do polityki i „Rozumiem”, które niczego nie potwierdza, tylko zdejmuje pasek, i jeśli to „Rozumiem” przemianują Państwo na zgodę, wrócili Państwo do złego przykładu, tylko grzeczniejszym słowem. Nie powtarzamy tego przykładu, żeby naśmiewać się z wtyczek; powtarzamy go, bo to najtańszy sposób, żeby zobaczyć, że obiekt na ekranie jeszcze nie jest obowiązkiem.

Po stronie niemieckiej BfDI mówi, że zgodę na narzędzia, które jej wymagają, zbiera się banerem cookie z wyborem, i że odmowa ma być równie prosta jak zgoda, w pierwszym widoku, nie w trzecim menu, i to należy do przypadku, gdy zgoda jest potrzebna, nie do przypadku, gdy jej nie ma. Cookie-wall — ściana, która nie pozwala czytać treści, dopóki nie ma wyboru — jest dopuszczalna tylko wtedy, gdy jest prawdziwa alternatywa, odmowa albo dostęp płatny, a obowiązek informacyjny zostaje i wtedy. Te niemieckie strony cytujemy tu jako wyjaśnienie z sąsiedniego kraju, nie jako polskie prawo, bo w Polsce granicę rysują Prawo komunikacji elektronicznej, ustawa o świadczeniu usług drogą elektroniczną i UODO, i tego już wystarczy, żeby nie pomylić informacji o plikach cookie z wyborem.

Ta różnica jest też powodem, dla którego nie piszemy już drugiego dokumentu technicznego pod innym tytułem, bo obowiązek informacyjny mówi o polityce plików cookie, a w tabeli w tym samym dokumencie jest miejsce na cel, odbiorcę i okres. Drugi plik z innym nagłówkiem nie tworzy drugiej zgodności; daje tylko drugie miejsce, w którym inwentarz może zostać w tyle, i widzieliśmy to dostatecznie często, żeby nie obiecywać już drugiego pliku jako prezentu. Jeśli mają Państwo politykę, w której te wiersze są, mają Państwo informację o plikach cookie; jeśli mają Państwo tylko pasek bez tych wierszy, mają Państwo dekorację, a dekoracji audyt nie uważa za dowód.

Co wpisać w informacji o plikach cookie, gdy zgoda jest potrzebna

Jeśli zgoda jest potrzebna, informacja musi być taka, żeby człowiek rozumiał, na co się zgadza, zanim się zgodzi, a Trybunał w sprawie Planet49 powiedział, że do jasnych i wyczerpujących informacji należy czas działania plików cookie i to, czy osoby trzecie uzyskują do nich dostęp. To samo dzieli się na kategorie, cele i odbiorców, i ta informacja ma być zarówno w banerze cookie na tyle, żeby wybór był świadomy, jak i w polityce plików cookie, gdzie można ją opowiedzieć szerzej. Ogólny tekst z cytatami ustawy nie jest informacją, jest osłoną, i osłona zostaje osłoną także wtedy, gdy przetłumaczono ją na dwanaście języków.

W pierwszym widoku zgoda i odmowa mają być równie widoczne, bo EROD i UODO nadal wyliczają te same trzy rodzaje wprowadzania w błąd: „Zgadzam się” jest pokolorowane, odmowa chowa się za „szerszy wybór”, albo jedyne przyciski to „zgadzam się”, „zamknij”, „rozumiem” i „kontynuuj”. Samo dalsze oglądanie witryny i zamknięcie banera cookie nie jest ważną zgodą, a Planet49 dodaje, że z góry zaznaczone pole też nie jest zgodą, bo zgoda wymaga czynnego działania, nie milczenia, w którym mieli Państwo nadzieję, że człowiek pola nie zauważy. Te wiersze należą do tego artykułu, bo są postacią obowiązku, nie krokami w narzędziach deweloperskich, które zostawiliśmy drugiemu tekstowi.

Wycofanie zgody ma być równie proste jak jej wyrażenie, bo art. 7 ust. 3 RODO mówi to wprost, a w praktyce znaczy to odnośnik, który zostaje, gdy pasek zniknie, zwykle w stopce, z każdej podstrony. Przycisk, który zapisuje nowy wybór, ale nie zgłasza go już wczytanym tagom, jest tym samym błędem, o którym pisaliśmy w audycie technicznym, tylko z drugiej strony: tutaj jest postacią obowiązku, tam — brakiem dowodu. Tego artykułu nie kończymy krokami dziennika panelu Sieć, bo należą do drugiego tekstu; tutaj wystarczy powiedzieć, że wycofanie zgody, którego nie da się znaleźć, nie jest wycofaniem zgody, także gdy polityka je obiecała.

Tekst, który piszemy klientom, pochodzi z inwentarza, nie z szablonu, bo wzór polityki pokazuje tabelę z nazwą, celem i okresem dla każdej kategorii, i tego samego wymagamy od siebie: każdy wiersz ma dać się sprawdzić wobec tego, co na witrynie się dzieje. Szablon, który zostaje po poprzednim projekcie, jest gorszy niż pusta strona, bo nazywa pliki cookie, których już nie ma, i milczy o tych, które są, i to jest też ta chwila, w której przestajemy pisać prawniczy esej. Dalsza praca jest sprawdzeniem, nie kolejnym podpisem pod tekstem, którego nikt nie porównał z tym, co dzieje się w pierwszej sekundzie.

Ile kosztuje baner cookie, którego witryna nie potrzebuje

Zbędny baner cookie nie jest ostrożnością. Kradnie pierwszy ekran, uczy odwiedzającego klikać bez czytania i uczy Państwa, że zgodność to ustawienie domyślne wtyczki, nie zgodność inwentarza z tym, co na witrynie się dzieje. Zły przykład z „Zgadzam się” na technicznej witrynie jest właśnie tym rachunkiem: postawili Państwo wybór tam, gdzie go nie ma, i teraz muszą Państwo utrzymywać wybór, który nic nie zmienia, bo pod spodem nie ma czego wyłączyć.

To jest gorszy stan niż milczenie. Obiekt na ekranie sprawia wrażenie porządku i właśnie ten „porządek” jest powodem, dla którego zbędny pasek uważamy za błąd.

Nie sprzedajemy platformy do zarządzania zgodą witrynie, której wystarczy polityka, i to brzmi jak stracona transakcja, i taką jest. Wolimy stracić zlecenie, w którym trzeba by zainstalować Cookiebot, OneTrust albo dedykowany baner cookie tam, gdzie w inwentarzu są tylko sesja i token bezpieczeństwa, niż pozyskać klienta, który po pół roku pyta, dlaczego płaci za pasek, który niczym nie zarządza. To jest to zdanie, które w prezentacji sprzedażowej zwykle się pomija, i właśnie dlatego piszemy je tutaj. Artykuł, który zawsze kończy się na „kupcie nasz audyt”, nie jest odpowiedzią na pytanie, czy informacja o plikach cookie w ogóle jest obowiązkowa.

Druga cena jest prawna, nie tylko estetyczna, bo pasek, który prosi o zgodę tam, gdzie nie jest ona potrzebna, albo który chowa odmowę, jest tym samym wprowadzeniem w błąd, przeciwko któremu UODO i EROD występują także tam, gdzie zgoda jest potrzebna. Nie da się bronić zdaniem „przecież mamy baner cookie”, jeśli baner cookie postawiono na złym inwentarzu, bo zgodność nie jest obecnością obiektu na ekranie, tylko zgodnością między tym, co witryna robi, a tym, co Państwo o tym powiedzieli. Zbędny obiekt psuje tę zgodność nie mniej niż brakujący, i to jest też powód, dla którego czasem radzimy pasek zdjąć, nie dodać, choć to brzmi odwrotnie niż to, czego oczekuje się od agencji.

Jeśli baner cookie jest potrzebny, następnym pytaniem nie jest, czy dobrze wygląda

Jeśli inwentarz pokazuje analitykę, reklamę albo inne narzędzie, którego wyjątek nie obejmuje, to tak, potrzebują Państwo wyboru przed pierwszym zapisem, i wtedy kończy się zakres tego artykułu, bo następnym pytaniem jest, czy pasek, który teraz jest potrzebny, naprawdę zatrzymuje to, co obiecuje zatrzymać. Na to odpowiedzieliśmy w artykule o audycie banera cookie: „Odrzuć”, które zamyka ramkę, ale nie wyłącza tagu, nie jest odmową, i ten tekst tego nie przepisuje, bo już jest napisane. Powtórzyć tu siedem błędów znaczyłoby ukraść drugiemu artykułowi jego pytanie, i nie robimy tego także wtedy, gdy wewnętrzny odnośnik w tym miejscu wygląda jak sprzedaż.

Nasz audyt plików cookie zaczyna się od 800 € i zwykle zajmuje 1–4 tygodnie, zależnie od szablonów, języków, CMP i kontenera tagów, a to „od” jest dolną granicą, nie rachunkiem. Należy do inwentarza, konfiguracji i sprawdzenia, nie do obietnicy, że cała ochrona danych organizacji zostanie uporządkowana jednym paskiem, a podstawowy albo zaawansowany tryb uzyskiwania zgody wybieramy po Państwa ocenie prawnej i potrzebach analitycznych. Danych modelowanych nie obiecujemy tam, gdzie usługa Google nie spełnia warunków Google, bo te wiersze są tymi samymi, które stoją na stronie usługi, i ten artykuł ich nie podnosi i nie obniża.

Zanim napiszą Państwo do nas, proszę zrobić to samo sprawdzenie, którym ten tekst się zaczął: czysty profil, pierwsza sekunda, wykaz tego, co zostało zapisane, i jeden wiersz przy każdym „dlaczego”, bo ten wykaz jest tańszy niż jakakolwiek oferta. Jeśli wykaz jest pusty albo jest w nim tylko wyjątek, potrzebują Państwo polityki, i tak też powiemy, także wtedy, gdy znaczy to, że audyt nie jest transakcją tego tygodnia. Jeśli w wykazie jest wiersz, dla którego zgoda była potrzebna wczoraj, to pasek, który dziś wygląda grzecznie, jeszcze nie jest odpowiedzią, i wtedy warto czytać drugi artykuł, nie ten jeszcze raz.

Jeśli chcą Państwo, żebyśmy ten wykaz przeczytali razem z Państwem i powiedzieli, która strona jest Państwa, napiszą Państwo do nas, bo czasem najuczciwszą odpowiedzią jest, że wystarczy polityka i że pieniądze warto oszczędzić na treść, nie na pasek, a czasem odpowiedź brzmi, że zgoda jest potrzebna i że teraz trzeba sprawdzić, czy działa. Obie są ważne, i tylko jedna na każdej witrynie jest sprawiedliwa, i wolimy stracić audyt, w którym trzeba by postawić baner cookie na pustym inwentarzu, niż pozyskać projekt, w którym ten baner cookie po uruchomieniu staje się zarzutem.