Jak przygotować baner cookies zgodny z RODO i PKE: 7 elementów

Baner cookies nie powinien być jedynie komunikatem zasłaniającym stronę. Ma umożliwiać świadomy wybór, a wdrożenie techniczne powinno respektować decyzję użytkownika. Dotyczy to zarówno treści i wyglądu banera, jak i sposobu uruchamiania skryptów analitycznych oraz marketingowych.

Poniższa lista pomaga ocenić najważniejsze elementy banera w świetle RODO i polskiego Prawa komunikacji elektronicznej (PKE). Nie zastępuje jednak analizy prawnej konkretnej strony ani oceny jej konfiguracji technicznej.

Podstawy prawne zgody na pliki cookie

RODO określa warunki zgody, która powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Administrator powinien również móc wykazać jej udzielenie, a wycofanie zgody powinno być równie łatwe jak jej wyrażenie.

W wyroku Planet49 (C-673/17) Trybunał Sprawiedliwości UE uznał, że wstępnie zaznaczone pola nie stanowią ważnej zgody na pliki cookie. Użytkownik musi wykonać aktywne działanie po otrzymaniu odpowiednich informacji.

W Polsce przechowywanie informacji oraz uzyskiwanie dostępu do informacji zapisanych w urządzeniu użytkownika reguluje także Prawo komunikacji elektronicznej. Praktyczne znaczenie art. 399 wyjaśnia przewodnik o PKE i plikach cookie.

7 elementów banera cookies

1. Jasna informacja o celach

Pierwsza warstwa banera powinna prostym językiem informować, że strona korzysta z plików cookie lub podobnych technologii, oraz wskazywać ich ogólne cele. Mogą to być na przykład funkcje niezbędne do działania serwisu, analityka, personalizacja lub marketing.

Unikaj ogólników takich jak „używamy cookies, aby ulepszać stronę”. Użytkownik powinien rozumieć, czego dotyczy jego decyzja. Szczegółowe informacje o technologiach, dostawcach i okresie działania można umieścić w polityce cookies dostępnej z poziomu banera.

2. Aktywna i jednoznaczna akceptacja

Zgoda na opcjonalne pliki cookie powinna wynikać z wyraźnego działania, na przykład kliknięcia przycisku „Akceptuję wszystkie”. Przewijanie strony, dalsze korzystanie z serwisu, zamknięcie okna ani brak reakcji nie powinny być interpretowane jako zgoda.

Etykieta przycisku musi jasno opisywać jego skutek. Sformułowania takie jak „OK”, „Rozumiem” czy „Kontynuuj” mogą być niejednoznaczne, jeśli nie wskazują, że kliknięcie oznacza akceptację określonych kategorii.

3. Łatwo dostępna odmowa

Użytkownik powinien móc odrzucić opcjonalne pliki cookie bez przechodzenia przez bardziej skomplikowaną ścieżkę niż przy akceptacji. Raport EDPB Cookie Banner Taskforce wskazuje brak możliwości odmowy w warstwie zawierającej przycisk akceptacji jako praktykę kwestionowaną przez większość uczestniczących organów.

Na pierwszej warstwie warto umieścić trzy czytelne opcje:

• „Akceptuję wszystkie”,
• „Odrzucam opcjonalne”,
• „Dostosuj ustawienia”.

Odmowa nie powinna być ukryta, nieczytelna ani sprowadzona do małego, słabo widocznego linku.

4. Wybór kategorii

Jeśli technologie służą różnym celom, użytkownik powinien móc dokonać wyboru na odpowiednim poziomie szczegółowości. Typowy podział wygląda następująco:

Kategoria	Ustawienie początkowe
Niezbędne do działania usługi	Aktywne, jeśli rzeczywiście spełniają kryterium niezbędności
Funkcjonalne	Wyłączone do czasu zgody
Analityczne	Wyłączone do czasu zgody
Marketingowe	Wyłączone do czasu zgody

Każda kategoria powinna mieć zrozumiały opis celu. Pomocne będzie zestawienie kategorii plików cookie.

5. Dostęp do polityki cookies

Baner powinien prowadzić do aktualnej polityki cookies lub odpowiedniej części polityki prywatności. Dokument musi odpowiadać rzeczywistemu działaniu strony i powinien opisywać między innymi:

• używane pliki cookie i podobne technologie,
• ich cele i kategorie,
• dostawców lub podmioty trzecie,
• okres działania albo kryteria jego ustalania,
• sposób zmiany lub wycofania zgody.

W uporządkowaniu dokumentu pomoże poradnik o strukturze polityki cookies. Informacje należy aktualizować po zmianie narzędzi, integracji lub konfiguracji serwisu.

6. Informacje o podmiotach trzecich

Jeżeli opcjonalne technologie pochodzą od zewnętrznych dostawców, użytkownik powinien otrzymać zrozumiałą informację o ich udziale. Właściwy zakres danych zależy od wdrożenia, dlatego ogólna wzmianka o „zaufanych partnerach” może nie wystarczyć.

Nie kopiuj przykładowej listy dostawców z innej strony. Najpierw przeprowadź skan lub audyt własnego serwisu i sprawdź, jakie narzędzia rzeczywiście zapisują informacje w urządzeniu użytkownika lub je odczytują.

7. Łatwa zmiana i wycofanie zgody

Po zamknięciu banera użytkownik powinien móc wrócić do ustawień. Może temu służyć stały link „Ustawienia cookies” w stopce lub inny łatwo dostępny element interfejsu.

Zmiana ustawień musi działać również od strony technicznej: po cofnięciu zgody odpowiednie skrypty nie powinny być dalej uruchamiane. Trzeba też ocenić, czy i jak usunąć wcześniej zapisane identyfikatory. Szczegóły zależą od zastosowanych technologii.

Czego unikać w banerze cookies

Interfejs nie powinien nakłaniać do akceptacji przez utrudnianie odmowy. Ryzykowne praktyki to między innymi:

• duży, kontrastowy przycisk akceptacji i słabo widoczna odmowa,
• ukrycie odmowy w kolejnej warstwie,
• domyślne włączenie kategorii opcjonalnych,
• mylące etykiety przycisków,
• uznawanie przewijania strony lub zamknięcia banera za zgodę,
• ponawianie prośby przy każdej wizycie mimo wcześniejszej odmowy.

Więcej przykładów przedstawia omówienie dark patterns w banerach cookies.

Wdrożenie techniczne banera

Blokowanie opcjonalnych skryptów przed zgodą

Skrypty i pliki cookie wymagające zgody nie powinny uruchamiać się przed wyborem użytkownika. Dotyczy to wielu narzędzi analitycznych, reklamowych i remarketingowych. Technologie rzeczywiście niezbędne do świadczenia usługi mogą podlegać innym zasadom, ale ich klasyfikacja wymaga uzasadnienia.

Poprawnie wyglądający baner nie wystarczy, jeśli skrypty działają niezależnie od decyzji użytkownika. Warto przeprowadzić audyt plików cookie na stronie, a następnie wykonać test przed wyrażeniem zgody, po akceptacji i po odmowie.

Rejestrowanie decyzji

Zasada rozliczalności wymaga, aby administrator potrafił wykazać sposób pozyskania zgody. Zakres zapisywanych informacji należy ustalić z uwzględnieniem minimalizacji danych. Przydatne mogą być data decyzji, wersja komunikatu oraz wybrane kategorie.

Nie ma jednego okresu przechowywania rejestrów odpowiedniego dla każdej organizacji. Należy go określić na podstawie celu, ryzyka i przyjętej polityki retencji, najlepiej po konsultacji prawnej.

Consent Mode v2

Google Consent Mode v2 przekazuje sygnały dotyczące zgody do usług Google. Nie zastępuje banera ani oceny podstaw prawnych przetwarzania. Jeśli strona korzysta z narzędzi reklamowych lub analitycznych Google, należy sprawdzić konfigurację sygnałów, ustawienia domyślne i kolejność uruchamiania tagów.

Lista kontrolna banera cookies

• Baner jasno opisuje cele stosowania plików cookie.
• Akceptacja wymaga aktywnego działania.
• Odmowa jest łatwo dostępna i czytelna.
• Kategorie opcjonalne są domyślnie wyłączone.
• Użytkownik może wybrać poszczególne cele.
• Polityka cookies odpowiada faktycznej konfiguracji strony.
• Podmioty trzecie są odpowiednio opisane.
• Ustawienia można później zmienić.
• Opcjonalne skrypty nie uruchamiają się przed zgodą.
• Decyzja użytkownika jest prawidłowo przekazywana do używanych narzędzi.
• Baner został przetestowany po akceptacji, odmowie i wycofaniu zgody.

Podsumowanie

Prawidłowo przygotowany baner cookies łączy czytelną informację, swobodny wybór i skuteczną konfigurację techniczną. Odmowa powinna być realna, opcjonalne technologie powinny czekać na decyzję użytkownika, a ustawienia muszą pozostać dostępne również później.

Po sprawdzeniu treści i wyglądu banera przetestuj go w przeglądarce i porównaj wyniki z aktualną polityką cookies. Przy złożonych integracjach lub wątpliwościach dotyczących klasyfikacji technologii warto skonsultować wdrożenie z prawnikiem oraz osobą odpowiedzialną za konfigurację strony.