Prawo komunikacji elektronicznej a cookies: kiedy zgoda

Co mówi Prawo komunikacji elektronicznej o plikach cookies?

Prawo komunikacji elektronicznej (PKE) w art. 399 pozwala przechowywać informacje w urządzeniu użytkownika lub je odczytywać tylko wtedy, gdy użytkownik zostanie wcześniej jasno poinformowany o celu i wyrazi na to zgodę. Wyjątkiem są pliki cookies niezbędne do przesłania komunikatu lub do świadczenia usługi, o którą użytkownik sam prosi. Pliki cookies do analityki i reklamy wymagają więc zgody.

Ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221) weszła w życie 10 listopada 2024 r. i zastąpiła Prawo telekomunikacyjne. Zasady dotyczące plików cookies, które wcześniej były w art. 173 Prawa telekomunikacyjnego, znajdują się teraz w art. 399 PKE. Jeśli Twoja polityka cookies wciąż powołuje się na art. 173, warto ją zaktualizować. Ten artykuł nie stanowi porady prawnej.

Przepis nie dotyczy wyłącznie klasycznych plików cookies. Mowa w nim o przechowywaniu informacji i uzyskiwaniu dostępu do informacji w telekomunikacyjnym urządzeniu końcowym, czyli w komputerze, telefonie czy tablecie. Obejmuje to także piksele reklamowe, local storage i skrypty, które odczytują dane z przeglądarki.

Co zmieniło się w porównaniu z Prawem telekomunikacyjnym?

Dla właściciela strony zasada pozostała w dużej mierze taka sama. Już art. 173 Prawa telekomunikacyjnego wymagał informacji o celu i zgody użytkownika, przewidywał wyjątki dla plików niezbędnych i dopuszczał zgodę przez ustawienia oprogramowania. Art. 399 PKE przenosi te reguły do nowej ustawy, która wdraża Europejski kodeks łączności elektronicznej, i posługuje się pojęciami abonenta oraz użytkownika końcowego.

Nowy jest przede wszystkim adres przepisu. W praktyce oznacza to trzy zadania: zaktualizować odwołania w polityce cookies i polityce prywatności, sprawdzić teksty w banerze, jeśli wymieniają stary artykuł, oraz upewnić się, że dokumenty dostawców narzędzi nie powołują się już wyłącznie na Prawo telekomunikacyjne. Jeśli przy okazji zauważysz, że baner przepuszcza narzędzia przed zgodą, to jest dobry moment, aby to poprawić, bo stara ustawa też tego nie dopuszczała.

→ Baner cookie z trybem Consent Mode v2: zgodny z prawem, bez miesięcznej licencji

Kiedy zgoda na cookies nie jest potrzebna?

Art. 399 ust. 3 PKE wymienia dwa wyjątki. Zgoda nie jest potrzebna, jeśli przechowywanie lub odczyt informacji jest konieczne do wykonania transmisji komunikatu przez publiczną sieć albo do świadczenia usługi, której zażądał użytkownik.

Granica przebiega według celu, a nie według nazwy narzędzia. Plik cookie, który zapamiętuje zawartość koszyka, jest niezbędny. Plik cookie, który mierzy, z jakiej kampanii przyszedł klient, już nie, nawet jeśli dla Ciebie jest bardzo ważny.

Czy zgoda przez ustawienia przeglądarki wystarczy?

Art. 399 ust. 2 PKE dopuszcza wyrażenie zgody za pomocą ustawień oprogramowania, na przykład przeglądarki. Gdy jednak pliki cookies służą do przetwarzania danych osobowych, a przy analityce i reklamie tak jest prawie zawsze, zgoda musi spełniać wymogi RODO. Musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz wyrażona aktywnym działaniem.

Urząd Ochrony Danych Osobowych (UODO), powołując się na wytyczne Europejskiej Rady Ochrony Danych, przypomina, że domyślnie zaznaczone pola nie są ważną zgodą, a wycofanie zgody musi być równie proste jak jej udzielenie. Domyślne ustawienia przeglądarki nie mówią nic o konkretnych celach na Twojej stronie. Dlatego w praktyce zgodę zbiera się w banerze cookies, zanim załadują się narzędzia analityczne i reklamowe.

→ Konfiguracja Google Consent Mode v2: brak ostrzeżeń w Tag Assistant

Kto nadzoruje pliki cookies w Polsce?

Za przestrzeganie przepisów PKE odpowiada Prezes Urzędu Komunikacji Elektronicznej (UKE). Gdy pliki cookies wiążą się z przetwarzaniem danych osobowych, właściwy jest także Prezes UODO, który pilnuje zgodności z RODO. Dla właściciela strony oznacza to dwie warstwy: art. 399 PKE mówi, kiedy wolno zapisać lub odczytać plik cookie, a RODO określa, jak zgodnie z prawem przetwarzać zebrane dane.

Jak powinien działać baner cookies?

Dobry baner cookies sprawia, że wybór użytkownika rzeczywiście decyduje o tym, co ładuje się na stronie. Najważniejsze zasady:

• Przed wyborem nie ładują się żadne narzędzia analityczne ani reklamowe.
• Przyciski „Akceptuję” i „Odrzucam” są na pierwszej warstwie i równie widoczne.
• Pola zgody na poszczególne cele nie są domyślnie zaznaczone.
• Użytkownik wie, do czego służą pliki cookies i kto je zapisuje.
• Zmiana lub wycofanie zgody jest możliwe w każdej chwili, na przykład przez stały link w stopce.

Jak przenieść zgodę do Google Tag Managera?

Google Tag Manager wykonuje decyzję z banera. Za pomocą Google Consent Mode v2 (trybu zgody Google) ustawiasz przy ładowaniu strony wartości domyślne analytics_storage, ad_storage, ad_user_data i ad_personalization na „denied”. Po wyborze w banerze wartości zmieniają się na „granted” tylko dla zaakceptowanych celów. Tagi innych platform, takie jak Meta Pixel czy LinkedIn Insight Tag, uruchamiasz regułą, która czeka na zgodę marketingową.

Przykład: sklep internetowy z akcesoriami rowerowymi z Poznania ma poprawny baner, ale tag konwersji Google Ads ładuje się na stronie podziękowania od razu, bo ktoś dodał go bezpośrednio do szablonu, z pominięciem Google Tag Managera. Wystarczy usunąć kod z szablonu i uruchamiać tag w Google Tag Managerze z ustawieniami zgody. Po zmianie sprawdź w trybie podglądu trzy sytuacje: brak wyboru, odrzucenie i akceptację.

Jak sprawdzić, czy strona przestrzega art. 399 PKE?

Najprostszy test zrobisz w przeglądarce. Otwórz stronę w oknie prywatnym, uruchom narzędzia dla programistów i w zakładce Application lub Pamięć sprawdź, jakie pliki cookies są zapisane, zanim cokolwiek klikniesz w banerze. Pliki zaczynające się od _ga należą do Google Analytics, a _fbp do Meta Pixel. Przed wyborem nie powinno ich być.

Następnie kliknij „Odrzucam” i odśwież stronę. Pliki analityczne i reklamowe nadal nie powinny się pojawić. W zakładce Sieć sprawdź, czy przeglądarka nie wysyła zapytań do Google Ads, Meta lub TikTok. Na końcu otwórz nowe okno prywatne, kliknij „Akceptuję” i upewnij się, że narzędzia ładują się od razu na tej samej stronie. Powtarzaj ten test po każdej aktualizacji wtyczek, szablonu lub banera, bo wtedy najczęściej coś się psuje.

Jeśli nie chcesz sprawdzać tego ręcznie, skorzystaj z bezpłatnego testu Trackum na trackum.app/check. Prawdziwa przeglądarka otwiera Twoją stronę główną trzy razy, bez wyboru, po odrzuceniu i po akceptacji, oraz dwie podstrony, i pokazuje, jakie tagi i pliki cookies się ładują. Test trwa około dwóch minut i nie wymaga rejestracji. Znalezione błędy Trackum może naprawić w Twoim Google Tag Managerze za stałą cenę 79 € netto (plus VAT).