Baner cookies i ochrona danych na stronie kancelarii: czego potrzeba i jak tego uniknąć

Dwa zestawy przepisów: dostęp do urządzenia i RODO

Przy banerze cookies działają razem dwa zestawy przepisów. Pierwszy chroni urządzenie: kto zapisuje informacje na komputerze lub smartfonie odwiedzających albo je stamtąd odczytuje, na przykład ustawiając cookie, potrzebuje co do zasady zgody. W Niemczech stanowi o tym § 25 TDDDG, ustawa o ochronie danych w telekomunikacji i usługach cyfrowych, która do maja 2024 roku nazywała się TTDSG. W Austrii reguluje to § 165 ust. 3 TKG 2021. Obie ustawy wdrażają tę samą dyrektywę UE i znają ten sam wyjątek: to, co niezbędne do działania usługi, której użytkownik wyraźnie zażądał, nie wymaga zgody.

Drugi zestaw przepisów to RODO. Ma zastosowanie, gdy tylko przetwarzane są dane osobowe, a należy do nich już adres IP. Kto ładuje czcionkę, film albo mapę z cudzego serwera, przekazuje adres IP temu dostawcy, nawet bez żadnego cookie. Potrzebna jest do tego podstawa prawna, a w przypadku usług, bez których strona może się obejść, w praktyce często jest nią tylko zgoda.

• Dobrowolnie i aktywnie: zgoda wymaga świadomego działania. TSUE orzekł w 2019 roku w sprawie Planet49, że wstępnie zaznaczone pole nie jest ważną zgodą.
• Świadomie i konkretnie: odwiedzający muszą wiedzieć, na co się zgadzają, którzy dostawcy biorą udział i jak długo dane są przechowywane.
• Z możliwością wycofania: wycofanie zgody musi być tak proste jak jej udzielenie (art. 7 ust. 3 RODO), na przykład przez stały link „Ustawienia cookies” w stopce.
• Z wyprzedzeniem: usługi wymagające zgody mogą się ładować dopiero po niej, a nie od razu przy otwarciu strony.

Co wymaga zgody, a co nie

Decyduje nie słowo „cookie”, lecz to, co dzieje się technicznie i czy jest to stronie potrzebne. Poniższe zestawienie pokazuje typowe elementy stron kancelarii. W konkretnym przypadku liczy się konfiguracja.

Jeśli baner jest potrzebny: jak powinien wyglądać

Kto korzysta z usług wymagających zgody, potrzebuje banera, który pozostawia prawdziwy wybór. Niemieckie organy nadzorcze opisały swoje oczekiwania w wytycznych dla dostawców usług cyfrowych, a Europejska Rada Ochrony Danych opublikowała w 2023 roku wyniki prac swojej grupy zadaniowej ds. banerów cookies. Sedno: odrzucenie musi być możliwe na tym samym poziomie i równie łatwo jak akceptacja.

Narzędzie do zarządzania zgodami od zewnętrznego dostawcy samo często ładuje dane z cudzych serwerów. Proszę sprawdzić, gdzie jest hostowane, czy istnieje umowa powierzenia przetwarzania i czy rzeczywiście technicznie realizuje wybór. Baner, który tylko ładnie wygląda, podczas gdy w tle wszystko się ładuje, jest gorszy niż brak banera.

Najlepiej: bez banera

Najbardziej eleganckie rozwiązanie to strona, która nie ładuje niczego, o co musiałaby pytać. W kancelariach jest to prawie zawsze możliwe, bo typowe powody banera to śledzenie reklamowe i osadzone cudze treści, a strona kancelarii rzadko potrzebuje jednego i drugiego. Korzyść: brak banera przed pierwszym wrażeniem, pełna statystyka i jasny sygnał, że starannie obchodzą się Państwo z danymi. Dla kancelarii, które same doradzają w zakresie ochrony danych, to wręcz dowód kompetencji; więcej w poradniku o stronie kancelarii prawa IT i ochrony danych.

Specyfika kancelarii: poufność przed pierwszym kontaktem

W kancelariach już samo odwiedzenie podstrony wiele mówi. Kto w nocy czyta stronę „obrona w sprawach karnych”, „rozwód” albo „upadłość”, zdradza dużo o sobie. Piksel reklamowy na tych stronach przekazuje to platformie reklamowej. Prawnie za zgodą jest to dopuszczalne, ale słabo pasuje do zawodu, którego istotą jest tajemnica. To samo dotyczy formularzy kontaktowych: zapytania powinny trafiać bezpośrednio do Państwa, być przesyłane w formie szyfrowanej i nie przechodzić przez usługę formularzy spoza UE.

Dotyczy to w równym stopniu notariuszy i biegłych rewidentów, którzy szczególnie dbają o niezależność i neutralność. Lekka strona bez śledzenia jest tu nie tylko prawnie bezpieczniejsza, ale też daje spójniejszy obraz.

Polityka prywatności: co do niej należy

Nawet bez banera potrzebują Państwo polityki prywatności, bo każda strona przetwarza dane osobowe, co najmniej u dostawcy hostingu i w formularzu kontaktowym. Obowiązki informacyjne wynikają z art. 13 RODO. Podobnie jak nota prawna (Impressum), polityka prywatności musi być dostępna jednym kliknięciem z każdej podstrony. Co należy do Impressum, wyjaśniają poradniki o obowiązkowych informacjach, np. dla adwokatów w Niemczech albo doradców podatkowych w Austrii.

Dwie uwagi praktyczne. Po pierwsze: polityka prywatności strony to nie to samo co informacja o ochronie danych dla klientów, którą przekazują Państwo na początku zlecenia. Po drugie: zgodnie z § 38 BDSG kancelarie w Niemczech z reguły muszą wyznaczyć inspektora ochrony danych, jeśli co najmniej 20 osób stale zajmuje się zautomatyzowanym przetwarzaniem danych osobowych. Wzór z internetu rzadko pasuje dokładnie; proszę zlecić dostosowanie polityki do faktycznie używanych usług.

Jak samodzielnie sprawdzić stronę

To, czy Państwa strona bez pytania wysyła dane osobom trzecim, można sprawdzić samodzielnie w kilka minut, bez specjalistycznej wiedzy. Wystarczy przeglądarka.

Jeśli znajdą Państwo wywołania cudzych serwerów, zanim udzielili Państwo zgody, proszę porozmawiać z agencją. Zwykle da się to naprawić kilkoma zmianami, a często potem cały baner znika.