Banery cookies: czego naprawdę wymaga austriackie prawo

Wszystko na twojej stronie, co nie jest niezbędne, może być zapisywane lub odczytywane na urządzeniu odwiedzającego dopiero po wyrażeniu zgody. Odrzucenie musi być tak proste jak akceptacja, a przed decyzją nic nie może się ładować.

Prawie każda firmowa strona ma baner cookies, a wiele z nich nie spełnia przepisów. Nie ze złej woli, lecz dlatego, że kreatory stron i wtyczki ładują więcej, niż wiedzą ich właściciele. Ten wpis wyjaśnia, co obowiązuje w Austrii i jak sprawdzić własną stronę.

Dwa zestawy przepisów

W Austrii § 165 ust. 3 ustawy o telekomunikacji z 2021 r. (TKG 2021) reguluje, czy w ogóle wolno zapisywać informacje na urządzeniu lub je z niego odczytywać. Dotyczy to cookies, ale też local storage i podobnych technik. Bez zgody jest to dozwolone tylko wtedy, gdy jest niezbędne do świadczenia usługi, o którą odwiedzający wyraźnie poprosił, lub do przesłania komunikatu.

Jak ma wyglądać zgoda, wynika z RODO: dobrowolna, konkretna, świadoma i jednoznaczna, a jej wycofanie musi być tak proste jak jej udzielenie (art. 4 pkt 11 i art. 7 RODO). Gdy tylko przetwarzane są dane osobowe, np. adresy IP przekazywane osobom trzecim, obowiązuje także RODO.

Co wymaga zgody

• narzędzia analityczne i statystyczne, z reguły
• piksele reklamowe i retargetingowe, wtyczki mediów społecznościowych
• osadzone filmy i mapy od podmiotów trzecich, np. YouTube lub Google Maps
• widżety czatu i podobne narzędzia ładowane z zewnętrznych serwerów

Zgody nie wymaga to, bez czego strona nie działa: ciasteczko sesji dla koszyka lub logowania, ciasteczko zapisujące samą decyzję o zgodzie czy równoważenie obciążenia.

Tak wygląda prawidłowy baner

Europejskie organy ochrony danych uzgodniły w 2023 r. wspólne stanowiska w grupie roboczej ds. banerów cookies. Najważniejsze punkty:

• przycisk „Odrzuć” na pierwszym poziomie, tak samo widoczny jak „Akceptuj”
• żadnych domyślnie zaznaczonych pól
• żadnych sztuczek graficznych, np. bladego linku „odrzuć” obok jaskrawego przycisku „akceptuj”
• „prawnie uzasadniony interes” nie zastępuje tu zgody
• możliwość późniejszej zmiany lub wycofania decyzji, np. link w stopce

Sprawdź własną stronę

1. Otwórz swoją stronę w prywatnym oknie przeglądarki i nie klikaj banera.
2. Otwórz narzędzia deweloperskie (F12), kartę „Sieć”, i odśwież stronę. Każde żądanie do innej domeny przed twoją decyzją to potencjalny problem.
3. W „Aplikacja” → „Pliki cookie” zobaczysz, co już zostało zapisane.
4. Kliknij „Odrzuć” i powtórz: po odrzuceniu powinny zostać tylko niezbędne żądania.
5. Porównaj wynik z polityką prywatności: wszystko, co się ładuje, musi być w niej opisane.

Częste pułapki

• Czcionki ładowane z serwerów Google przekazują adres IP odwiedzającego. Umieść je na własnym serwerze.
• Filmy i mapy ładują się od razu po otwarciu strony. Rozwiązaniem jest zastępczy element, który ładuje treść dopiero po kliknięciu.
• Baner mówi „tylko niezbędne”, a skrypt statystyk i tak się uruchamia.

Chcesz, żeby ktoś jeszcze na to spojrzał? Nasza szybka kontrola RODO obejmuje stronę, formularze i cookies. Zobacz nasze usługi.