Kwestię ciasteczek w polskim systemie prawnym reguluje Art. 173 Prawa Telekomunikacyjnego. Przepisy dopuszczają zapisywanie plików cookies pod warunkiem uprzedniego i zrozumiałego poinformowania o tym fakcie użytkownika oraz wyrażenia przez niego zgody na takie działania. Zakres zgód ma być regulowany za pomocą oprogramowania, a z obowiązku tego zwolnione są mechanizmy odpowiedzialne za dostarczenie komunikatów oraz usług żądanych przez użytkownika. Art. 174 przywołanej ustawy informuje natomiast, że do uzyskania wspomnianej zgody stosuje się przepisy o ochronie danych osobowych – czyli dyrektywy UE znanej jako RODO.

RODO precyzuje te kwestie w art. 7 zatytułowanym „Warunki wyrażenia zgody”. Przepisy te nakładają na właściciela strony obowiązek wykazania, że zgoda została udzielona. Najprostszym i nie budzącym wątpliwości sposobem na spełnienie tego wymogu jest prowadzenie rejestru, w którym udzielane zgody są archiwizowane. RODO również podkreśla obowiązek stosowania zrozumiałego języka, rozdrobnienie zgód oraz możliwość ich łatwego wycofania.

Przepisy podkreślają, że wyrażona zgoda musi być dobrowolna, a jej brak nie może sią wiązać z ograniczeniem dostępu do usługi, jeżeli zakres danych, które chcemy przetwarzać nie jest niezbędny do „wykonania umowy”, czyli zapoznania się z Twoją stroną internetową. Innymi słowy – ewentualna odmowa dostępu do witryny z uwagi na fakt, że ktoś nie godzi się na zapis ciasteczek związanych np. z remarketingiem to czytelny znak, że konstrukcja systemu jest niezgodna z prawem i ingeruje w dobrowolność zgody.

W kwestii plików cookies wypowiedział się również w 2019 r. Trybunał Sprawiedliwości Unii Europejskiej, który w wyroku dotyczącym sprawy o sygnaturze C‑673/17 doprecyzował, że checkboxy z wyrażeniem zgody na ciasteczka nie mogą być domyślnie zaznaczone. Jednocześnie uznał, że wyczerpująca informacja o cookies powinna zawierać informacje o tym, czy dostęp do danych w nich zawartych mogą uzyskać osoby trzecie. Wreszcie zdaniem TSUE zgodny z literą europejskiego prawa komunikat powinien obejmować informacje o okresie funkcjonowania stosowanych ciasteczek.

Podsumowując – sprawa jest skomplikowana i pośrednio regulowana z kilku odmiennych pozycji. W związku z tym prawnicze interpretacje tej kwestii również nie są jednoznaczne. Straszenie nieuchronnymi i poważnymi konsekwencjami za niewłaściwe informowanie o cookies byłoby nieuczciwe. Trudno jednak nie zauważyć, że polityka Google zmuszająca właścicieli stron internetowych do pilnej rewizji tego, w jaki sposób rozwiązują sprawę ciasteczek to idealna okazja do tego, by uporządkować tę kwestię.

Nasze rozwiązanie spełnia wszystkie powyższe wymogi.