Czym są pliki cookies i dlaczego wszędzie klikasz zgody?

Wchodzisz na niemal każdą stronę i od razu wita Cię okienko: "Akceptuję wszystkie / Ustawienia / Tylko niezbędne". Skąd się to wzięło i na co właściwie klikasz? Tłumaczymy bez żargonu: czym są pliki cookies, dlaczego prawo UE każe o nie pytać i co zmienił wprowadzony przez Google Consent Mode v2.

Czym są pliki cookies?

Plik cookie ("ciasteczko") to mały plik tekstowy, który strona zapisuje w Twojej przeglądarce. To notatka, dzięki której strona pamięta coś przy kolejnej wizycie. Dodajesz produkt do koszyka, przechodzisz dalej, a koszyk wciąż pamięta wybór - to zasługa cookie. Tak samo działa zapamiętany login czy wybrany język.

Rodzaje ciasteczek

To właśnie podział cookies decyduje o tym, na co klikasz w okienku.

Wg właściciela:

• Własne (first-party) - zapisuje je strona, na której jesteś (koszyk, login, ustawienia).
• Zewnętrzne (third-party) - zapisują je inne firmy (np. sieci reklamowe), których kod jest osadzony na stronie. Mogą rozpoznawać użytkownika na wielu serwisach i budować profile reklamowe - i dlatego są dziś coraz mocniej ograniczane przez przeglądarki.

Wg celu - i ten podział widzisz w banerze:

• Niezbędne - bez nich strona nie zadziała (koszyk, logowanie, bezpieczeństwo). Na ściśle niezbędne zgoda nie jest wymagana.
• Analityczne - mierzą ruch i popularność podstron (np. Google Analytics). Wymagają zgody.
• Marketingowe - dopasowują reklamy i mierzą kampanie (remarketing). Wymagają zgody.

Dlaczego trzeba klikać zgody? I skąd ich nagła masowość

Okienka cookies wymusiły dwa akty prawne UE - ale uwaga, każdy odpowiada za co innego:

• Dyrektywa ePrivacy (w Polsce wdrożona przez Prawo telekomunikacyjne) to właściwe źródło obowiązku pytania o cookies. Mówi, że na zapis lub odczyt informacji w Twoim urządzeniu - poza tym, co ściśle niezbędne - strona musi uzyskać zgodę, i to zanim to zrobi. Stąd okienko od razu po wejściu.
• RODO reguluje co innego: jak wolno przetwarzać dane osobowe. Zgoda to tylko jedna z kilku podstaw przetwarzania, ale to RODO ustala, kiedy zgoda jest ważna (dobrowolna, świadoma, możliwa do wycofania) i nakłada obowiązek wykazania, że została udzielona.

Samo ciasteczko nie jest "daną osobową". Ale identyfikatory zapisane w cookies (zwłaszcza marketingowych) mogą pozwolić rozpoznać lub profilować użytkownika - i wtedy w grę wchodzi RODO.

A skąd nagła lawina okienek? Przełomem był wyrok TSUE w sprawie Planet49 (2019), który przesądził, że zgoda musi być aktywna (żadnych domyślnie zaznaczonych pól), oraz kolejne decyzje europejskich organów nadzoru. Od tego momentu poprawny baner stał się standardem, a nie ozdobą.

Google Consent Mode v2 - co zmieniło się w 2024

Do niedawna baner cookies i narzędzia Google działały obok siebie. Od marca 2024 Google wymaga Consent Mode v2 - ale tylko od reklamodawców, którzy korzystają z Google Ads (konwersje, remarketing) wobec użytkowników z Europejskiego Obszaru Gospodarczego. To wymóg samej platformy Google, nie przepis prawa.

Consent Mode v2 przekazuje do narzędzi Google sygnały o tym, na co użytkownik wyraził zgodę. Gdy zaakceptuje - dane zbierane są w pełni. Gdy odrzuci - Google nie buduje na nim list remarketingowych, ale może statystycznie oszacować część brakujących konwersji. Bez tego mechanizmu reklamodawca traci dane o konwersjach i skuteczność remarketingu. Szczegóły opisujemy w artykule o Consent Mode v2.

Ważne: Consent Mode v2 to element techniczny. Sam w sobie nie czyni strony "zgodną z prawem" - nadal potrzebny jest poprawny baner, polityka cookies i ważna zgoda.

Co grozi za brak poprawnych zgód?

W Polsce zgodności pilnuje UODO (Urząd Ochrony Danych Osobowych). RODO przewiduje kary do 20 mln euro lub 4% rocznego obrotu firmy - w zależności od tego, która kwota jest wyższa (to górny próg dla najpoważniejszych naruszeń). Dla małego sklepu realnym ryzykiem jest raczej postępowanie i nakaz zmian niż maksymalna kara - ale to wystarczający powód, by zrobić zgody porządnie.

Najważniejsze w skrócie

• Cookies to małe pliki, dzięki którym strona pamięta Twoje wybory.
• Obowiązek pytania o cookies wynika z ePrivacy (Prawo telekomunikacyjne), a RODO reguluje przetwarzanie danych i ważność zgody - to dwa różne reżimy.
• Sam plik cookie nie jest daną osobową; daną może być identyfikator w nim zapisany.
• Consent Mode v2 (od marca 2024) dotyczy reklamodawców Google Ads w EOG i jest wymogiem platformy Google, nie prawa.

Czytaj dalej

• Consent Mode v2 - czym jest i dlaczego bez niego tracisz dane w Google Ads
• RODO a cookies w sklepie - jak legalnie zbierać zgody
• Logi zgód cookie - Twój dowód na wypadek kontroli UODO
• Cookiebot podrożał - jak wybrać okienko cookies dla sklepu

Chcesz mieć baner cookies zgodny z prawem i poprawnie połączony z Google? Zostaw dane - odezwiemy się w 24h.