Baner zgody na pliki cookie: jak go zaprojektować zgodnie z prawem

Czym jest baner zgody na pliki cookie i skąd bierze się obowiązek

Baner zgody to okno, w którym strona informuje odwiedzającego, jakie dane chce zapisać w jego urządzeniu lub z niego odczytać, i prosi o decyzję, zanim to zrobi. W Polsce obowiązek ten wynika z art. 399 Prawa komunikacji elektronicznej, a sam przepis jest wdrożeniem unijnej dyrektywy o prywatności i łączności elektronicznej.

Przepis mówi o przechowywaniu informacji w urządzeniu końcowym użytkownika oraz o uzyskiwaniu dostępu do informacji, które już się tam znajdują. Jest to dozwolone pod trzema warunkami: użytkownik został wcześniej jasno poinformowany o celu i o tym, jak sam może tym sterować, po otrzymaniu tej informacji wyraził zgodę, a zapis lub odczyt nie zmienia konfiguracji urządzenia ani zainstalowanego w nim oprogramowania. Ustawa nie posługuje się słowem „cookie”. Dotyczy każdej techniki, która coś zapisuje w przeglądarce albo z niej odczytuje, a więc także pamięci lokalnej przeglądarki.

Drugi ważny przepis to art. 400 tej samej ustawy. Stanowi on, że do uzyskania zgody stosuje się odpowiednio przepisy o ochronie danych osobowych. W praktyce oznacza to, że zgoda zbierana w banerze musi spełniać warunki zgody opisane w RODO. Jak te warunki rozumieć, wyjaśnia Europejska Rada Ochrony Danych (EROD) w wytycznych dotyczących zgody, a typowe wady okien zgody omawia raport grupy zadaniowej EROD do spraw banerów cookie.

Co oznacza zgoda uprzednia i co wolno wczytać przed decyzją

Zgoda uprzednia oznacza, że strona najpierw pyta, a dopiero po uzyskaniu odpowiedzi zapisuje pliki, które zgody wymagają. Kolejność wynika wprost z art. 399: użytkownik ma zostać poinformowany, a zgodę wyraża po otrzymaniu tej informacji. Grupa zadaniowa EROD ujmuje to krótko: zgoda wymaga działania użytkownika, a pliki wymagające zgody nie mogą być ustawiane domyślnie.

W praktyce to najczęstsza wada wdrożeń. Okno wygląda poprawnie, ale kod analityki i piksele reklamowe są wpisane na stałe w szablon strony i uruchamiają się przy każdym wczytaniu, niezależnie od tego, co odwiedzający kliknie. Weźmy sklep z Poznania, który po zmianie szablonu wkleił kod narzędzia analitycznego bezpośrednio w nagłówek strony. Okno zgody działało, lecz pomiar ruszał, zanim klient zdążył cokolwiek przeczytać. Taki stan łatwo przeoczyć, ponieważ z zewnątrz wszystko wygląda prawidłowo.

Kiedy zgoda nie jest potrzebna

Ustawa przewiduje dwa wyjątki. Zgody nie wymaga zapis lub odczyt konieczny do przesłania komunikatu przez sieć telekomunikacyjną ani taki, który jest niezbędny do świadczenia usługi żądanej przez użytkownika. W przypadku strony firmowej i sklepu będzie to na przykład zapamiętanie zawartości koszyka, utrzymanie sesji po zalogowaniu albo zapisanie samej decyzji podjętej w oknie zgody. Raport grupy zadaniowej przypomina też wcześniejsze stanowisko europejskich organów, zgodnie z którym pliki przechowujące preferencje użytkownika dotyczące usługi należy traktować jako niezbędne.

Granica bywa naciągana. Grupa zadaniowa osobno opisała praktykę polegającą na nazywaniu „niezbędnymi” plików, które niezbędne nie są. Zwróciła uwagę, że właściciel serwisu powinien prowadzić listę używanych plików, umieć ją przedstawić organowi na żądanie i wykazać, że pozycje oznaczone jako niezbędne rzeczywiście takie są. Dodała, że automatyczne skanery potrafią wypisać pliki, ale nie określą ich charakteru.

Zanim powstanie projekt graficzny okna, potrzebny jest więc spis wszystkiego, co strona zapisuje. Wystarczy otworzyć witrynę w oknie prywatnym przeglądarki, uruchomić narzędzia dla programistów i przejrzeć zakładkę z danymi witryny przed kliknięciem czegokolwiek w banerze. Wszystko, co pojawia się tam od razu, powinno dać się uzasadnić jednym z dwóch wyjątków. Taki przegląd wykonujemy przy każdym projekcie, w którym odpowiadamy za tworzenie stron.

Jakie warunki musi spełnić zgoda, żeby była ważna

Zgoda jest ważna, gdy została wyrażona dobrowolnie, dla konkretnego celu, po zrozumiałej informacji i przez wyraźne działanie. Wytyczne EROD omawiają te cztery cechy po kolei, a każda z nich wyklucza inny popularny sposób skracania drogi do akceptacji.

Wyraźne działanie zamiast domysłów

Motyw 32 RODO stanowi, że milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny oznaczać zgody. Wytyczne EROD dodają, że samo dalsze korzystanie z witryny nie świadczy o zgodzie, a przewijanie lub przesuwanie strony w żadnych okolicznościach nie spełnia wymogu jasnego, potwierdzającego działania. Komunikat w rodzaju „korzystając dalej ze strony, akceptują Państwo pliki cookie” nie zastępuje więc zgody, choć nadal bywa spotykany na starszych witrynach.

Tę samą zasadę potwierdził Trybunał Sprawiedliwości Unii Europejskiej w wyroku w sprawie Planet49. Uznał, że zgody nie ma, jeżeli zapis plików odbywa się na podstawie domyślnie zaznaczonego okienka, które użytkownik musiałby sam odznaczyć, aby odmówić. Trybunał wskazał również, że ocena ta nie zależy od tego, czy zapisywane informacje są danymi osobowymi. Argument „nasze pliki nikogo nie identyfikują” nie zwalnia zatem z pytania o zgodę.

Dobrowolność i tak zwane ściany cookie

Zgoda nie jest dobrowolna, jeżeli odmowa wiąże się z niekorzystnymi konsekwencjami. Mówi o tym motyw 42 RODO, a wytyczne EROD przekładają to na konkretny przykład: witryna, która zasłania całą treść do czasu kliknięcia akceptacji, nie daje rzeczywistego wyboru, więc tak uzyskana zgoda jest nieważna. Dostęp do usług i funkcji nie może być uzależniony od zgody na zapis informacji w urządzeniu.

Nie oznacza to, że okno nie może zasłaniać strony do czasu podjęcia decyzji. Problemem jest sytuacja, w której jedyną drogą do treści jest akceptacja. Jeżeli w tym samym oknie można odmówić i po odmowie strona działa normalnie, wybór pozostaje realny. Bardziej złożonym zagadnieniem są modele, w których odmowa wiąże się z opłatą za dostęp, i przed wdrożeniem takiego rozwiązania zdecydowanie warto zasięgnąć porady prawnej.

Konkretny cel i zrozumiała informacja

Zgoda ma dotyczyć określonego celu, a prośba o nią powinna być wyraźnie oddzielona od innych informacji. Wytyczne wymieniają minimum, które użytkownik musi poznać przed decyzją: kto jest administratorem, jaki jest cel każdej operacji, jakiego rodzaju dane będą zbierane oraz że zgodę można wycofać. Informacja powinna być napisana prostym językiem, zrozumiałym dla przeciętnej osoby, a nie tylko dla prawnika.

Dlaczego przycisk odmowy musi być równie widoczny jak akceptacja

Odmowa musi być tak samo łatwa jak zgoda, ponieważ inaczej wybór nie jest ani dobrowolny, ani jednoznaczny. Grupa zadaniowa EROD przeanalizowała okna, które na pierwszym poziomie pokazują przycisk akceptacji i przycisk dalszych opcji, lecz nie dają możliwości odmowy. Zdecydowana większość organów uznała brak opcji odmowy na poziomie, na którym znajduje się akceptacja, za niezgodny z wymogami ważnej zgody, czyli za naruszenie. Raport odnotowuje, że kilka organów miało inne zdanie, wskazując, iż przepis dyrektywy nie wymienia wprost opcji odmowy.

Dla projektanta wniosek jest prosty. Jeśli akceptacja wymaga jednego kliknięcia, odmowa powinna wymagać tyle samo, w tym samym oknie i bez przechodzenia do ustawień szczegółowych. Układ z trzema elementami sterującymi o podobnej wadze, czyli zgodą na wszystko, odmową i przejściem do ustawień, odpowiada temu, czego oczekuje większość organów.

Odnośnik zamiast przycisku

Raport opisuje też okna, w których akceptacja jest wyraźnym przyciskiem, a odmowa drobnym odnośnikiem. Według grupy zadaniowej baner nie może sugerować, że zgoda jest potrzebna, aby dostać się do treści, ani popychać w stronę akceptacji. Jako przykłady rozwiązań, które nie prowadzą do ważnej zgody, wymieniono odnośnik odmowy wpleciony w akapit tekstu oraz odnośnik umieszczony poza oknem, jeżeli nic nie przyciąga do niego uwagi.

Kolory i kontrast przycisków

W sprawie kolorów grupa zadaniowa jest ostrożna: nie da się narzucić jednego standardu barw ani kontrastu, a każde okno trzeba ocenić osobno pod kątem tego, czy wprowadza w błąd. Za oczywiście mylące uznano natomiast takie przyciski odmowy, na których napis ma tak niski kontrast, że praktycznie nikt go nie odczyta. Akceptacja może więc mieć kolor firmowy, a odmowa wersję konturową, o ile oba przyciski są czytelne, mają podobny rozmiar i stoją obok siebie.

Czytelność obu przycisków jest jednocześnie kwestią dostępności, ponieważ okno zgody powinno dać się obsłużyć także samą klawiaturą i czytnikiem ekranu. Szerzej piszemy o tym we wpisach o dostępności cyfrowej strony oraz o projektowaniu wersji mobilnej, gdzie odmowa widoczna dopiero po przewinięciu okna powtarza ten sam błąd w innej formie.

Jeśli chcą Państwo zamówić stronę internetową, zachęcamy do kontaktu: tel. 222 500 844 lub mailowo: biuro@pozycjonowaniestron.pl

Jak podzielić pliki cookie na kategorie

Kategorie w oknie zgody powinny odpowiadać celom, a nie narzędziom: osobno to, co niezbędne, osobno pomiar, osobno reklama i osobno pozostałe funkcje wymagające zgody. Wytyczne EROD nazywają to szczegółowością zgody. Użytkownik ma móc wskazać, na które cele się zgadza, zamiast przyjmować lub odrzucać jeden pakiet.

Na stronie małej lub średniej firmy zwykle wystarczają cztery grupy. Pierwsza to pliki niezbędne, o których okno informuje, ale o które nie pyta, ponieważ obejmuje je wyjątek ustawowy. Przełącznik tej grupy jest na stałe włączony i nieaktywny, co nie stanowi błędu, o ile grupa rzeczywiście zawiera wyłącznie pozycje niezbędne. Druga to pliki analityczne, służące do liczenia wizyt. Trzecia to pliki marketingowe, czyli wszystko, co służy mierzeniu skuteczności reklam i ponownemu docieraniu do odwiedzających. Czwarta, funkcjonalna, przydaje się wtedy, gdy strona ładuje dodatki zewnętrznych dostawców, które zapisują własne dane, a nie są konieczne do działania witryny. Liczba grup powinna wynikać ze spisu skryptów: kancelaria z Krakowa, która korzysta wyłącznie z jednego narzędzia analitycznego, nie potrzebuje pustej grupy marketingowej.

W oknie ustawień szczegółowych wszystkie przełączniki poza grupą niezbędną muszą być początkowo wyłączone. Grupa zadaniowa EROD potwierdziła, że zaznaczone z góry pola w drugiej warstwie okna nie prowadzą do ważnej zgody ani na gruncie RODO, ani na gruncie dyrektywy. Tej wady nie naprawia przycisk zapisu ustawień, ponieważ odwiedzający potwierdza wtedy wybór, którego sam nie dokonał.

Zakładka z prawnie uzasadnionym interesem

Część gotowych okien zawiera obok przełączników zgody drugą zakładkę, w której te same cele, na przykład personalizacja reklam, są włączone na podstawie prawnie uzasadnionego interesu. Grupa zadaniowa odniosła się do tego krytycznie. Zauważyła, że użytkownik może odnieść wrażenie, iż musi odmówić dwukrotnie, oraz że nadrzędny interes administratora dla takich celów może w ogóle nie istnieć. Przypomniała też, że samego zapisu lub odczytu plików nie można oprzeć na tej podstawie, a wadliwy zapis sprawia, że dalsze przetwarzanie również nie jest zgodne z RODO. Na stronie firmowej najbezpieczniej jest z takiej zakładki zrezygnować.

Co powinno znaleźć się w treści okna zgody

Okno powinno w kilku zdaniach powiedzieć, kto pyta, o co, w jakim celu i jak można zmienić decyzję, a szczegóły przenieść do drugiej warstwy i polityki prywatności. Według raportu grupy zadaniowej baner ma jasno wskazywać, czego dotyczy, jaki jest cel zbieranej zgody i w jaki sposób można jej udzielić.

Do tego dochodzą dwie informacje, na które zwrócił uwagę Trybunał w sprawie Planet49: jak długo pliki będą działać oraz czy dostęp do nich mogą uzyskać osoby trzecie. W praktyce oznacza to listę plików lub dostawców w drugiej warstwie okna, z okresem przechowywania przy każdej pozycji i nazwą podmiotu, do którego trafiają dane. Jeżeli strona korzysta z narzędzi reklamowych Google, podobny wymóg wynika dodatkowo z polityki Google dotyczącej zgody użytkownika z Unii Europejskiej, która oczekuje wyraźnego wskazania każdego podmiotu mogącego zbierać lub otrzymywać dane odwiedzających oraz jasnej instrukcji wycofania zgody.

Pierwsza warstwa może więc brzmieć na przykład tak: firma używa plików niezbędnych do działania strony, a za zgodą odwiedzającego także plików służących do analizy ruchu i do reklamy, z których korzystają wymienieni partnerzy; decyzję można w każdej chwili zmienić w ustawieniach prywatności dostępnych w stopce. Pod tekstem znajdują się trzy elementy sterujące oraz odnośnik do polityki prywatności. Odnośnik musi działać bez podejmowania decyzji: jeżeli okno zasłania całą stronę, a polityka otwiera się pod nim, czytelnik nie ma jak się z nią zapoznać. Cele warto nazywać wprost, na przykład „liczenie wizyt i źródeł wejść na stronę”, zamiast ogólników w rodzaju „dla poprawy jakości usług”. Te same zasady prostego języka stosujemy przy formularzach, o czym piszemy we wpisie o tym, ile pól powinien mieć formularz kontaktowy.

Jak umożliwić zmianę i wycofanie decyzji

Zmiana decyzji musi być możliwa w każdej chwili i równie łatwa jak jej podjęcie, dlatego ustawienia prywatności powinny być osiągalne z każdej podstrony jednym kliknięciem. Wytyczne EROD wyjaśniają, że jeśli zgoda została wyrażona jednym kliknięciem lub przesunięciem, wycofanie powinno być równie proste. Jako przykład rozwiązania niezgodnego podają sytuację, w której zgodę wyraża się w sieci, a wycofać można ją tylko telefonicznie.

Grupa zadaniowa wskazuje dwa sposoby, które spełniają ten wymóg: niewielką, stale widoczną ikonę otwierającą ustawienia albo odnośnik umieszczony w widocznym, stałym miejscu strony. Zastrzega przy tym, że organy nie mogą narzucić jednej konkretnej formy i każde rozwiązanie ocenia się osobno. Na stronach firmowych najczęściej stosujemy odnośnik „Ustawienia prywatności” w stopce, ponieważ nie zasłania treści na telefonie. Po ponownym otwarciu ustawień odwiedzający powinien zobaczyć swój aktualny wybór, a wycofanie zgody powinno rzeczywiście zatrzymać skrypty danej kategorii. Odesłanie do ustawień przeglądarki z prośbą o samodzielne usunięcie plików nie jest równie łatwe jak jedno kliknięcie akceptacji.

Rejestr zgód i ponowne pytanie

Ciężar wykazania, że zgoda została udzielona, spoczywa na administratorze. Wytyczne EROD podają jako przykłady dowodów rejestr zgód oraz zapis informacji, którą użytkownik widział w chwili decyzji, i zastrzegają, że nie należy przy tej okazji zbierać więcej danych, niż to konieczne. Obowiązek wykazania zgody trwa tak długo, jak długo trwa przetwarzanie. Prowadzenia rejestrów zgód wymaga również wspomniana polityka Google.

RODO nie określa, jak długo zgoda pozostaje ważna. Wytyczne wskazują, że zależy to od kontekstu i oczekiwań użytkownika, a jako dobrą praktykę zalecają odświeżanie zgody w odpowiednich odstępach. Nowa zgoda jest potrzebna wtedy, gdy przetwarzanie istotnie się zmienia, na przykład gdy do strony dochodzi nowa kategoria skryptów. Wytyczne zwracają też uwagę na zmęczenie nadmiarem pytań, które sprawia, że ludzie przestają je czytać. Z tego powodu, w naszej ocenie, nie należy ponawiać pytania przy każdej wizycie osobie, która już odmówiła: odmowę strona powinna zapamiętać tak samo jak zgodę.

Jak połączyć baner z narzędziami Google

Baner trzeba połączyć z tagami Google za pomocą trybu uzyskiwania zgody (ang. consent mode), który przekazuje tagom decyzję odwiedzającego. Jak wyjaśnia pomoc Google Ads, sam tryb nie wyświetla żadnego okna. Jest wyłącznie mechanizmem, dzięki któremu tagi dostosowują swoje działanie do wyboru zapisanego przez baner.

Dokumentacja dla programistów opisuje cztery typy zgody, z których każdy przyjmuje wartość oznaczającą zgodę albo odmowę. Parametr ad_storage dotyczy zapisywania plików do celów reklamowych, analytics_storage zapisywania plików i przetwarzania danych do analityki, ad_user_data wysyłania do Google danych użytkownika związanych z reklamami, a ad_personalization reklam spersonalizowanych. Podział ten dobrze pokrywa się z kategoriami okna: przełącznik analityczny steruje jednym parametrem, a marketingowy trzema pozostałymi.

Stan domyślny ustawia się na każdej podstronie przed poleceniami, które wysyłają dane, a po decyzji odwiedzającego wywołuje się aktualizację. Dokumentacja zaleca, aby wybór zapisać, na przykład w pliku cookie lub pamięci lokalnej, i przy kolejnych wczytaniach od razu ustawiać właściwy stan. Aktualizację wywołuje się także wtedy, gdy ktoś wycofuje zgodę.

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }

  gtag('consent', 'default', {
    'ad_storage': 'denied',
    'ad_user_data': 'denied',
    'ad_personalization': 'denied',
    'analytics_storage': 'denied'
  });
</script>

<!-- po decyzji odwiedzającego: zgoda tylko na analitykę -->
<script>
  gtag('consent', 'update', {
    'analytics_storage': 'granted'
  });
</script>

W większości wdrożeń tego kodu nie pisze się ręcznie, ponieważ wysyła go narzędzie do zarządzania zgodami lub wtyczka. Warto jednak wiedzieć, czego szukać w źródle strony, aby sprawdzić, czy integracja rzeczywiście działa.

Tryb podstawowy i zaawansowany

Pomoc Google Ads rozróżnia dwa sposoby wdrożenia. W podstawowym tagi Google pozostają zablokowane do czasu interakcji z banerem i przed nią nie są wysyłane żadne dane. W zaawansowanym tagi wczytują się razem ze stroną z domyślnym stanem odmowy, nie zapisują plików cookie, ale wysyłają do Google sygnały zawierające między innymi znacznik czasu, informację o przeglądarce i stronę odsyłającą. Na ich podstawie Google modeluje konwersje, których nie dało się zmierzyć bezpośrednio.

Tryb zaawansowany daje dokładniejsze modelowanie, lecz oznacza, że pewne dane techniczne trafiają do Google także po odmowie. Czy jest to dopuszczalne w Państwa sytuacji, powinien ocenić prawnik, a nie dostawca narzędzia. Skutki odmów widać w raportach, dlatego przy interpretacji danych po wdrożeniu okna pomaga analityka i raportowanie SEO, a w kampaniach płatnych właściwa konfiguracja konwersji w Google Ads.

Typowe błędy i kontrola gotowego banera

Gotowy baner warto sprawdzić w oknie prywatnym przeglądarki w trzech przebiegach: bez decyzji, po odmowie i po akceptacji, za każdym razem patrząc, jakie pliki i żądania faktycznie się pojawiają. Większość błędów, które spotykamy, nie dotyczy wyglądu okna, lecz tego, że strona zachowuje się inaczej, niż okno deklaruje.

Najczęściej powtarzają się te same sytuacje. Skrypt wklejony poza narzędziem do zarządzania zgodami działa niezależnie od wyboru. Osadzony film lub mapa zapisuje pliki dostawcy od razu po wczytaniu podstrony. Okno pojawia się ponownie na każdej podstronie, ponieważ pamięć podręczna serwuje zapisaną wersję strony bez informacji o decyzji. Hydraulik z Łodzi, który zlecił dodanie okna do istniejącej witryny, mógł nie wiedzieć, że zainstalowana wcześniej wtyczka czatu nie została przypisana do żadnej kategorii, a więc działała poza kontrolą okna. Ciężki skrypt banera potrafi też opóźnić wyświetlenie treści, a układ i czytelność okna na różnych ekranach wchodzą w zakres usługi projektowanie UX.

• Przed decyzją odwiedzającego w przeglądarce zapisują się wyłącznie pliki niezbędne.
• Zgoda i odmowa są dostępne w tym samym oknie, jako czytelne przyciski podobnej wielkości.
• Żaden przełącznik poza grupą niezbędną nie jest włączony z góry.
• Tekst podaje cele, okres działania plików i podmioty, które otrzymują dane.
• Politykę prywatności da się otworzyć bez podejmowania decyzji.
• Ustawienia prywatności są dostępne z każdej podstrony, a wycofanie zgody zatrzymuje skrypty.
• Odmowa jest zapamiętywana i okno nie wraca przy każdej wizycie.
• Tagi Google otrzymują stan domyślny i aktualizację zgodną z wyborem.
• Rejestr zgód działa i zapisuje wersję treści okna.

Pomoc specjalisty przydaje się przede wszystkim wtedy, gdy strona korzysta z wielu zewnętrznych skryptów i nikt nie ma ich pełnego spisu, gdy po wdrożeniu okna dane w analityce przestały się zgadzać oraz gdy firma planuje przebudowę serwisu. Przegląd skryptów i ich wpływu na działanie witryny wykonujemy też w ramach usługi audyt SEO. Ocenę prawną treści okna i polityki prywatności warto natomiast powierzyć prawnikowi, ponieważ przywołany raport EROD sam zastrzega, że wyznacza jedynie wspólne minimum i nie zastępuje oceny konkretnej strony przez właściwy organ.

Jeśli chcą Państwo zamówić stronę internetową, zachęcamy do kontaktu: tel. 222 500 844 lub mailowo: biuro@pozycjonowaniestron.pl