We wtorek TSUE zajmował się pytaniami niemieckiego Federalnego Trybunału Konstytucyjnego dotyczącymi wyrażania zgody na instalowanie ciasteczek (z ang. cookies) w świetle dyrektywy o ochronie prywatności (2002/58/WE)  oraz przepisów RODO.

Wbrew nazwie to nie są "ciasteczka". W plikach cookies zamieszczane są dane, wymieniane pomiędzy konkretną stroną internetową a przeglądarką na podstawie adresu IP. Dzięki temu dana strona potrafi zapamiętać, na jakim urządzeniu ją otwieraliśmy, co czytaliśmy, jakie produkty oglądaliśmy, liczbę wizyt, czas ich trwania. Te informacje pozwalają np. na dopasowanie treści, reklam, itp.

Sprawa dotyczyła organizowanej w internecie loterii przez firmę Planet49, która potrzebowała danych z ciasteczek do współpracy w firmą reklamową. TSUE w orzeczeniu wskazał m.in.: czy istnieje różnica między ustawianiem plików cookies i dostępem do nich, a przetwarzaniem danych osobowych, a także które przepisy mają zastosowanie.

Czytaj również: Jak wyrok TSUE wpływa na zbierać zgody na pliki cookies w Polsce >>

 

Czy domyślnie zaznaczona zgoda na ciasteczka jest skuteczna?

Użytkownicy, aby wziąć udział w loterii, musieli zgodzić się albo na kontakt z różnymi firmami w celach reklamowych albo na instalację plików cookies. W tym pierwszym wypadku trzeba było samodzielnie zaznaczyć zgodę.  Okienko (checkbox) dotyczące zgody na  ciasteczka było już jednak domyślnie zaznaczone. Kto zatem kliknął w przycisk "biorę udział w loterii", automatycznie zgadzał się na instalowanie plików cookies. Z tym, że pliki cookies instalowane na komputerach, tabletach czy smartfonach uczestników  loterii promocyjnej zawierały numer przypisany do danych rejestracyjnych użytkownika, który w formularzu uczestnictwa podawał swoje imię i nazwisko oraz adres. Skojarzenie numeru z tymi danymi powodowało personalizację danych przechowywanych przez pliki cookies, a zatem przetwarzano dane osobowe.  Zgoda domyślnie zaznaczona przez organizatora loterii spółkę Planet49 miała więc skutkować akceptacją gromadzenia i przetwarzania danych osobowych, a nie informacji anonimowych.

Nie spodobało się to niemieckiej organizacji konsumentów i sprawa trafiła do sądu. Ten powziął wątpliwości i zapytał TSUE, czy  tak wyrażona zgoda jest skuteczna zgodnie z RODO, czy w tym wypadku ma znaczenie czy chodzi i dane osobowe, a także jakie informacje organizator loterii powinien udzielić zgodnie z art. 5 ust. 3 dyrektywy o ochronie prywatności.

Zgoda na ciasteczka musi być dobrowolna i konkretna

We wtorek TSUE uznał po pierwsze, że wymagana od użytkownika witryny internetowej zgoda na instalowanie i udostępnianie plików cookie na jego urządzeniu nie jest ważna, jeśli została udzielona za pomocą domyślnie zaznaczonego okienka wyboru. To oznacza, że nie może być tak, że zaznaczenie trzeba usunąć, aby odmówić udzielenia zgody. I nie ma przy tym znaczenia, czy informacje przechowywane lub udostępniane w urządzeniu końcowym użytkownika stanowią dane osobowe. Prawo unijne ma bowiem chronić użytkowników przed każdą ingerencją w ich prywatność, a w szczególności przed ryzykiem wprowadzenia do ich urządzeń bez ich wiedzy ukrytych identyfikatorów lub innych podobnych narzędzi.

Udział w loterii internetowej i udzielenie zgody na instalowanie plików cookie nie mogą stanowić części tego samego aktu, bo użytkownik nie jest w stanie dobrowolnie wyrazić odrębnej zgody na przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanych w jego urządzeniu końcowym. Trybunał podkreślił, że zgoda musi być konkretna, wobec czego okoliczność, że dany użytkownik aktywował przycisk uczestnictwa w loterii promocyjnej, nie jest wystarczająca do uznania, że skutecznie wyraził on zgodę na zainstalowanie plików cookie.

Trzeba poinformować jak długo ciasteczka będą działać

Ponadto TSUE wskazał, że firma instalująca  ciasteczka musi poinfromować internautę, czy osoby trzecie mogą uzyskać dostęp do takich plików, a jeśli tak to wskazać ich odbiorców.  Ponadto musi podać okres przez jaki pliki będą działać. TSUE podkreślił, że długi czy wręcz nieograniczony okres funkcjonowania takich plików oznacza bowiem, że zgromadzona zostanie duża ilość informacji na temat zwyczajów danego użytkownika związanych z przeglądaniem stron internetowych oraz częstotliwości ewentualnego odwiedzania przez tego użytkownika stron partnerów reklamowych organizatora loterii promocyjnej.

Orzeczenie TSUE z 1 października 2019 roku, w sprawie C-673/17.

 

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.