Cookies: Jak zjeść to ciastko?

Przed kilkoma dniami weszły w życie zmienione przepisy ustawy Prawo telekomunikacyjne dotyczące posługiwania się tzw. ciasteczkami. W praktyce są one wykonywane na różne sposoby – jedne serwisy informują o „polityce prywatności", inne wymagają jej akceptacji, jeszcze inne w ogóle nie dostrzegają wprowadzonych zmian. W zasadzie nikt nie prosi o zgodę na instalację plików cookies. Ale czy tak naprawdę można pozostać w zgodzie z zasadami używania ciasteczek inaczej, niż prosząc użytkownika o zgodę na instalację plików cookies?

Ciasteczka, czyli niewielkie pliki tekstowe, służą m.in. optymalizacji korzystania z serwisu

Ciasteczka to niewielkie pliki tekstowe zapisywane przez serwis internetowy, który odwiedzamy, na urządzeniu, z którego korzystamy podczas przeglądania serwisu („Nowe prawa dla internautów: dowiemy się o „cookies", Rzeczpospolita z 20 marca 2013 r.). Służą optymalizacji korzystania z serwisu, ale także do profilowania użytkowników, a przez to do celów marketingowych.

Powodem wprowadzenia w ustawie Prawo telekomunikacyjne nowych przepisów dotyczących ciasteczek była konieczność dostosowania polskich przepisów do zmienionych postanowień dyrektywy 2002/58/WE. W wyniku tej zmiany, dotychczasowa zasada opt-out (możliwość wyrażenia sprzeciwu wobec instalacji ciasteczek) została zamieniona na opt-in, czyli konieczność uzyskania zgody przez instalacją pliku cookie. Ale, jak czytamy w motywie 66 preambuły do dyrektywy zmieniającej dyrektywę 2002/58/WE, „w przypadku gdy jest to technicznie możliwe i skuteczne, zgodnie z odpowiednimi przepisami dyrektywy 95/46/WE [dyrektywa o ochronie danych osobowych], użytkownik może wyrazić zgodę na działanie poprzez zastosowanie odpowiednich ustawień w przeglądarce lub innej aplikacji." Jest więc wymóg zgody, czy go nie ma?

Dwutorowe rozwiązanie

W zmienionych przepisach ustawy Prawo telekomunikacyjne przyjęto takie – dwutorowe – rozwiązanie. Z jednej strony, instalowanie plików cookies dopuszczalne jest po wyrażeniu zgody przez abonenta lub użytkownika końcowego (art. 173 ustawy Prawo telekomunikacyjne). Wyrażenie takiej zgody możliwe jest dopiero po otrzymaniu przez tegoż informacji o celu przechowywania i uzyskiwania dostępu do pliku cookie oraz o możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi.

Internet jest medium globalnym, niepoddającym się regulacji krajowej czy nawet unijnej

Z drugiej strony, „abonent lub użytkownik końcowy może wyrazić zgodę [...] za pomocą ustawień oprogramowania zainstalowanego w wykorzystywanym przez niego telekomunikacyjnym urządzeniu końcowym lub konfiguracji usługi.". Chodzi więc o samo wyrażenie zgody za pomocą odpowiednich ustawień przeglądarki, za pomocą której przeglądane są serwisy, z których pochodzą ciasteczka. Zgoda jest zawsze udzielana po otrzymaniu informacji, o których wyżej. Oznacza to więc, że sekwencja zdarzeń powinna być następująca: najpierw otrzymanie informacji, a następnie wyrażenie zgody. Jest to bowiem tzw. zgoda osoby poinformowanej, świadomej konsekwencji wyrażenia zgody.

Zgoda na gruncie ustawy Prawo telekomunikacyjne (art. 174) nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, może być wyrażona drogą elektroniczną, pod warunkiem jej utrwalenia i potwierdzenia przez użytkownika, a także może być wycofana w każdym czasie, w sposób prosty i wolny od opłat. Zgoda udzielona bezpośrednio podmiotowi instalującemu ciasteczka może potencjalnie spełniać te wymagania. Jest to możliwe także wtedy, gdy zgoda udzielana jest za pomocą ustawień przeglądarki. Ale ustawa wyraźnie precyzuje, że najpierw powinny zostać przekazane informacje, a później może zostać udzielona zgoda, co może nastąpić za pomocą ustawień przeglądarki. Czy istnieje więc w praktyce taki mechanizm, który opiera się o współpracę przeglądarek internetowych z serwisami internetowymi, w którym użytkownikowi najpierw prezentowane są informacje pochodzące z serwisu, a dotyczące plików cookies, a następnie dopiero dochodzi (lub nie) do instalacji ciasteczka? Nie, ponieważ prawodawca wspólnotowy poddał regulacji nie dostawców oprogramowania służącego do przeglądania serwisów internetowych, ale dostawców tychże serwisów.

Jak informować

Skoro więc sekwencja zdarzeń zakłada najpierw poinformowanie, a później instalowanie, można sobie wyobrazić następujący scenariusz: serwis, przy pierwszym wejściu na jego strony, przekazuje użytkownikowi informacje o celu przechowywania i uzyskiwania dostępu do pliku cookie oraz o możliwości określenia warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień przeglądarki. Najlepiej poinformować w formie informacji na stronie głównej. Zapisywanie ciasteczek może nastąpić dopiero pod warunkiem, że użytkownik zapozna się z tą informacją i jeżeli przeglądarka wykorzystywana przez użytkownika dopuszcza instalację ciasteczek, ponieważ Prawo telekomunikacyjne wymaga, aby użytkownik serwisu został poinformowany. Informacja musi mu więc zostać przekazana, nie wystarczy stworzenie możliwości zapoznania się z nią. Co istotne, przed tym zapoznaniem się serwis nie może instalować żadnych ciasteczek. Ale z drugiej strony, nawet nie zapoznając się z informacją użytkownik może korzystać z serwisu – byle bez instalowania mu plików cookies.

Oczywiście można również stosować mechanizm wyrażania zgody na instalację ciasteczek przez konkretny serwis. Jest to jednak w praktyce niezwykle uciążliwe i zapewne przyczyni się do spadku ilości osób odwiedzających tenże serwis.

I w tym miejscu wywód można by zakończyć, gdyby nie to, że zmieniona dyrektywa 2002/58/WE wymaga, aby zgoda na instalację plików cookies dokonywana za pomocą ustawień przeglądarki wyrażana była „zgodnie z odpowiednimi przepisami dyrektywy 95/46/WE". W rozumieniu tych przepisów, zgoda to „konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą, na to że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych" – w tym przypadku, na instalację ciasteczek. Tymczasem w Prawie telekomunikacyjnym czytamy tylko, że zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, może być wyrażona drogą elektroniczną, a także może być wycofana w każdym czasie. Nie ma wymogu oświadczenia „konkretnego", a wymóg konkretności zgody oznacza, że powinna ona zostać udzielona konkretnemu podmiotowi, w konkretnych okolicznościach. Polskie prawo dopuszcza więc, aby zgoda była udzielona abstrakcyjnie, poprzez ustawienia przeglądarki oderwane od konkretnego serwisu i konkretnych ciasteczek, dokonane np. jednorazowo przy instalacji oprogramowania. Czy mamy więc do czynienia z obniżeniem poziomu ochrony, czy też może z przypadkiem bardziej prozaicznym, jakim jest niezgodność polskich przepisów z unijnym pierwowzorem?