Zgodnie z przepisami o ochronie danych osobowych, takimi jak RODO (Ogólne Rozporządzenie o Ochronie Danych) oraz Dyrektywa ePrivacy, każda strona internetowa, która używa plików cookies, musi uzyskać świadomą zgodę użytkownika na ich wykorzystanie. Właściwe wdrożenie komunikatu cookie ma fundamentalne znaczenie dla zgodności z prawem i zapewnienia transparentności wobec odwiedzających witrynę.
Wymagane elementy baneru cookies
Baner zgody na pliki cookies powinien być zgodny z wymogami prawnymi i zawierać następujące komponenty:
- Cel użycia cookies - konkretna informacja, dlaczego strona stosuje pliki cookies (np. analityka ruchu, personalizacja treści, targetowanie reklam)
- Opcję akceptacji i odrzucenia - użytkownik musi mieć możliwość wyrażenia lub odmowy zgody, bez ukrytych mechanizmów wymuszających zgodę
- Informację o możliwościach konfiguracji - dostęp do szczegółowych ustawień lub odnośnik do pełnej polityki prywatności z opisem poszczególnych kategorii cookies
- Brak domyślnego zaznaczenia zgody - zgoda musi być aktywnie wyrażona przez użytkownika poprzez jednoznaczną akcję (kliknięcie przycisku), a nie przez sam fakt przeglądania strony
Podział plików cookies według konieczności uzyskania zgody
Nie wszystkie cookies wymagają zgody użytkownika. Zgodnie z interpretacją przepisów, rozróżniamy następujące kategorie:
- Cookies niezbędne - służą do podstawowego działania strony (np. utrzymanie sesji użytkownika, zapamiętywanie zawartości koszyka) i nie wymagają zgody, ponieważ bez nich strona nie może poprawnie funkcjonować
- Cookies analityczne - zbierają dane o ruchu na stronie i zachowaniach użytkowników (np. narzędzia analityczne Google), wymagają zgody, chyba że są tak skonfigurowane, by nie identyfikować konkretnych osób
- Cookies reklamowe - służą do targetowania reklam, profilowania użytkowników i personalizacji treści komercyjnych, zawsze wymagają zgody
- Cookies funkcjonalne - poprawiają komfort użytkowania, np. zapamiętując preferencje językowe lub ustawienia wyświetlania, wymagają zgody, gdy wykraczają poza podstawową funkcjonalność strony
Wdrożenie mechanizmu zgody zgodnego z przepisami
Przejrzysty i widoczny komunikat
Baner cookies powinien być wyraźnie widoczny przy pierwszej wizycie na stronie, bez ukrytych informacji ani mylących sformułowań. Tekst musi być napisany prostym językiem, zrozumiałym dla przeciętnego użytkownika, a rozmiar czcionki i kontrast kolorów powinny zapewniać czytelność.
Aktywne wyrażenie zgody
Niedozwolone jest stosowanie domyślnie zaznaczonych zgód ani mechanizmów typu „kontynuując przeglądanie, wyrażasz zgodę". Użytkownik musi świadomie podjąć decyzję poprzez kliknięcie odpowiedniego przycisku. Milczenie lub samo korzystanie ze strony nie może być traktowane jako zgoda.
Prawo do zmiany decyzji
Użytkownik powinien mieć stały dostęp do ustawień cookies i możliwość ich zmiany w dowolnym momencie. Opcja powrotu do zarządzania zgodami powinna być łatwo dostępna, np. poprzez ikonę w stopce strony lub w menu ustawień konta.
Dokumentacja zgodności z RODO
Strona powinna prowadzić rejestr zgód użytkowników oraz przechowywać informacje o dacie, zakresie akceptacji cookies i adresie IP, z którego wyrażono zgodę. Te dane mogą być niezbędne w przypadku kontroli organu nadzorczego. Dokumentacja powinna obejmować również informacje o okresie ważności cookies i sposobie ich usuwania.
Narzędzia do zarządzania zgodami na pliki cookies
Istnieje wiele rozwiązań technicznych, które ułatwiają wdrożenie zgodnych z prawem banerów cookies i automatyzują proces zarządzania zgodami:
- Cookiebot - automatyczne skanowanie strony pod kątem wykrywania wszystkich cookies, generowanie raportów zgodności oraz zarządzanie zgodami w wielu językach
- OneTrust - zaawansowane rozwiązanie stosowane przez duże przedsiębiorstwa, zgodne z RODO i ePrivacy, z funkcją audytu i centralizacją zarządzania prywatnością
- Complianz - plugin WordPress do obsługi polityki cookies, z wizardem konfiguracji dostosowanym do różnych jurysdykcji prawnych
- Google Consent Mode - mechanizm dostosowania Google Analytics i Google Ads do regulacji dotyczących prywatności, który pozwala na zachowanie części funkcji analitycznych nawet bez pełnej zgody użytkownika
