Czym są pliki cookies i dlaczego wszędzie klikasz zgody?

Wchodzisz na niemal każdą stronę i od razu wita Cię okienko: "Akceptuję wszystkie / Ustawienia / Tylko niezbędne". Skąd się to wzięło i na co właściwie klikasz? Tłumaczymy bez żargonu: czym są pliki cookies, dlaczego prawo UE każe o nie pytać i co zmienił wprowadzony przez Google Consent Mode v2.

Czym są pliki cookies?

Plik cookie ("ciasteczko") to mały plik tekstowy, który strona zapisuje w Twojej przeglądarce. To notatka, dzięki której strona pamięta coś przy kolejnej wizycie. Dodajesz produkt do koszyka, przechodzisz dalej, a koszyk wciąż pamięta wybór - to zasługa cookie. Tak samo działa zapamiętany login czy wybrany język.

Rodzaje ciasteczek

To właśnie podział cookies decyduje o tym, na co klikasz w okienku.

Wg właściciela:

• Własne (first-party) - zapisuje je strona, na której jesteś (koszyk, login, ustawienia).
• Zewnętrzne (third-party) - zapisują je inne firmy (np. sieci reklamowe), których kod jest osadzony na stronie. Mogą rozpoznawać użytkownika na wielu serwisach i budować profile reklamowe - i dlatego są dziś coraz mocniej ograniczane przez przeglądarki.

Wg celu - i ten podział widzisz w banerze:

• Niezbędne - bez nich strona nie zadziała (koszyk, logowanie, bezpieczeństwo). Na ściśle niezbędne zgoda nie jest wymagana.
• Analityczne - mierzą ruch i popularność podstron (np. Google Analytics). Wymagają zgody.
• Marketingowe - dopasowują reklamy i mierzą kampanie (remarketing). Wymagają zgody.

Dlaczego trzeba klikać zgody? I skąd ich nagła masowość

Okienka cookies wymusiły dwa akty prawne UE - ale uwaga, każdy odpowiada za co innego:

• Dyrektywa ePrivacy (w Polsce wdrożona przez Prawo telekomunikacyjne) to właściwe źródło obowiązku pytania o cookies. Mówi, że na zapis lub odczyt informacji w Twoim urządzeniu - poza tym, co ściśle niezbędne - strona musi uzyskać zgodę, i to zanim to zrobi. Stąd okienko od razu po wejściu.
• RODO reguluje co innego: jak wolno przetwarzać dane osobowe. Zgoda to tylko jedna z kilku podstaw przetwarzania, ale to RODO ustala, kiedy zgoda jest ważna (dobrowolna, świadoma, możliwa do wycofania) i nakłada obowiązek wykazania, że została udzielona.

Samo ciasteczko nie jest "daną osobową". Ale identyfikatory zapisane w cookies (zwłaszcza marketingowych) mogą pozwolić rozpoznać lub profilować użytkownika - i wtedy w grę wchodzi RODO.

Najlepiej widać to na stronach medycznych, gdzie sam adres podstrony może zdradzać, czego szuka pacjent. Opisałem to na przykładzie we wpisie Piksel Meta bez zgody na stronie przychodni: ryzyko, test i usunięcie.

A skąd nagła lawina okienek? Przełomem był wyrok TSUE w sprawie Planet49 (2019), który przesądził, że zgoda musi być aktywna (żadnych domyślnie zaznaczonych pól), oraz kolejne decyzje europejskich organów nadzoru. Od tego momentu poprawny baner stał się standardem, a nie ozdobą.

Google Consent Mode v2 - co zmieniło się w 2024

Do niedawna baner cookies i narzędzia Google działały obok siebie. Od marca 2024 Google wymaga Consent Mode v2 - ale tylko od reklamodawców, którzy korzystają z Google Ads (konwersje, remarketing) wobec użytkowników z Europejskiego Obszaru Gospodarczego. To wymóg samej platformy Google, nie przepis prawa.

Consent Mode v2 przekazuje do narzędzi Google sygnały o tym, na co użytkownik wyraził zgodę. Gdy zaakceptuje - dane zbierane są w pełni. Gdy odrzuci - Google nie buduje na nim list remarketingowych, ale może statystycznie oszacować część brakujących konwersji. Bez tego mechanizmu reklamodawca traci dane o konwersjach i skuteczność remarketingu. Szczegóły opisujemy w artykule o Consent Mode v2.

Ważne: Consent Mode v2 to element techniczny. Sam w sobie nie czyni strony "zgodną z prawem" - nadal potrzebny jest poprawny baner, polityka cookies i ważna zgoda.

Co grozi za brak poprawnych zgód?

W Polsce zgodności pilnuje UODO (Urząd Ochrony Danych Osobowych). RODO przewiduje kary do 20 mln euro lub 4% rocznego obrotu firmy - w zależności od tego, która kwota jest wyższa (to górny próg dla najpoważniejszych naruszeń). Dla małego sklepu realnym ryzykiem jest raczej postępowanie i nakaz zmian niż maksymalna kara - ale to wystarczający powód, by zrobić zgody porządnie.

Najważniejsze w skrócie

• Cookies to małe pliki, dzięki którym strona pamięta Twoje wybory.
• Obowiązek pytania o cookies wynika z ePrivacy (Prawo telekomunikacyjne), a RODO reguluje przetwarzanie danych i ważność zgody - to dwa różne reżimy.
• Sam plik cookie nie jest daną osobową; daną może być identyfikator w nim zapisany.
• Consent Mode v2 (od marca 2024) dotyczy reklamodawców Google Ads w EOG i jest wymogiem platformy Google, nie prawa.

Czytaj dalej

• Consent Mode v2 - czym jest i dlaczego bez niego tracisz dane w Google Ads
• RODO a cookies w sklepie - jak legalnie zbierać zgody
• Logi zgód cookie - Twój dowód na wypadek kontroli UODO
• Cookiebot podrożał - jak wybrać okienko cookies dla sklepu

Chcesz mieć baner cookies zgodny z prawem i poprawnie połączony z Google? Zostaw dane - odezwiemy się w 24h.