Cookies przed zgodą: jak sprawdzić, co strona zapisuje bez pytania

Co mówi prawo: najpierw informacja i zgoda, potem zapis

Od 10 listopada 2024 r. zasady dla cookies w Polsce opisuje art. 399 Prawa komunikacji elektronicznej. Przepis nie dotyczy tylko cookies. Mówi o każdym zapisie informacji w urządzeniu gościa i o jej odczycie. Obejmuje więc też na przykład pamięć przeglądarki (localStorage). Taki zapis jest dozwolony, gdy gość najpierw dostanie jasną informację o celu, a potem wyrazi zgodę.

Wyjątek z ust. 3 dotyczy zapisu koniecznego do działania usługi, o którą gość prosi. Koszyk w sklepie, sesja po zalogowaniu i samo zapamiętanie decyzji z banera mieszczą się w tym wyjątku. Statystyki odwiedzin, piksele reklamowe i mapy ciepła już nie. Piksel to skrypt Facebooka, Instagrama czy TikToka, który śledzi gości pod reklamy. Mapa ciepła zapisuje kliknięcia i ruch myszy.

Zgoda musi spełniać wymagania RODO, do których odsyła art. 400 tej ustawy. Ma być dobrowolna, świadoma i wyrażona aktywnym działaniem. Motyw 32 RODO mówi, że milczenie, domyślnie zaznaczone okienka i brak działania nie są zgodą. Europejska Rada Ochrony Danych (EROD) dodaje w wytycznych, że samo przewijanie strony też nie jest zgodą. Art. 7 ust. 3 RODO wymaga, żeby wycofanie zgody było równie łatwe jak jej wyrażenie.

Co wolno zapisać bez zgody, a co dopiero po niej

Granica przebiega według celu, a nie według nazwy pliku. To samo narzędzie może zapisywać cookies niezbędne i marketingowe, dlatego dobre narzędzie do zgód dzieli je na kategorie.

Najczęstsze błędy, które widać od razu

Europejska Rada Ochrony Danych w raporcie zespołu do spraw banerów cookies z 18 stycznia 2023 r. przypomniała, że domyślnie nie wolno zapisywać cookies wymagających zgody, zanim gość ją wyrazi. Większość urzędów ochrony danych uznała też za naruszenie baner, który ma przycisk zgody, ale w żadnej warstwie nie ma możliwości odmowy.

• Kod Google Analytics albo piksela Meta jest wklejony na sztywno w szablon, a baner tylko wyświetla komunikat i niczego nie blokuje.
• Baner ma przycisk „Akceptuję” na pierwszym ekranie, a odmowa wymaga wejścia w ustawienia i odznaczania kategorii.
• W ustawieniach banera kategorie analityczne i marketingowe są domyślnie zaznaczone.
• Serwer sam wysyła cookies śledzące w odpowiedzi na pierwsze wejście, na przykład przez wtyczkę albo konfigurację hostingu.
• Po wycofaniu zgody skrypty dalej działają, bo strona nie przeładowuje się ani ich nie wyłącza.

Google Consent Mode: tryb podstawowy i zaawansowany

Google Consent Mode to sposób, w jaki baner przekazuje tagom Google, czyli ich skryptom pomiarowym i reklamowym, decyzję gościa przez cztery sygnały: ad_storage, analytics_storage, ad_user_data i ad_personalization. Sam baneru nie wyświetla. Dokumentacja Google opisuje dwa tryby.

W trybie podstawowym tagi Google w ogóle się nie ładują, dopóki gość nie wyrazi zgody. W trybie zaawansowanym tagi ładują się od razu, ale z ustawieniem „odmowa”. Nie zapisują wtedy cookies ani identyfikatorów urządzenia. Wysyłają do Google tylko krótkie sygnały bez cookies, a Google na ich podstawie szacuje konwersje, czyli na przykład zakupy albo wysłane formularze. W trybie podstawowym przed zgodą nic do Google nie wychodzi, więc łatwiej to wykazać. Jeśli wybierasz zaawansowany, opisz to w polityce prywatności.

Jak sprawdzić to samemu

1. Otwórz stronę w oknie prywatnym (incognito), żeby przeglądarka nie miała starych cookies. Nie klikaj nic w banerze.
2. Naciśnij F12, otwórz zakładkę Aplikacja (Application), a w niej Pliki cookie (Cookies) i adres strony. Szukaj nazw zaczynających się od _ga, _gid, _gcl, _fbp, _fbc, _ttp, _hj, _clck albo nazw w rodzaju MUID i IDE.
3. W zakładce Sieć (Network) odśwież stronę i wpisz w filtrze google-analytics, facebook, tiktok, hotjar albo clarity. Zapytania do tych serwisów przed kliknięciem zgody to sygnał, że skrypty startują za wcześnie.
4. Kliknij „Odrzuć” w banerze, odśwież stronę i powtórz oba sprawdzenia. Wynik powinien być taki sam jak przed kliknięciem.
5. Kliknij link do ustawień prywatności w stopce, wycofaj zgodę i sprawdź, czy po odświeżeniu nowe cookies analityczne przestają się pojawiać.

Co sprawdza bezpłatny skan

• Czytamy nagłówki Set-Cookie, czyli polecenia zapisu cookie, które serwer wysyła przy pierwszym wejściu na stronę główną, bez żadnego kliknięcia w banerze. Cookies znanych narzędzi śledzących oznaczamy jako błąd krytyczny. Rozpoznajemy je po nazwach, na przykład _ga, _gid, _gcl, _fbp, _fbc, fr, _ttp, _hj, _clck, MUID, IDE, _pin, _uet czy li_.
• Na stronie HTTPS sprawdzamy, czy cookies mają flagę Secure, czyli idą tylko szyfrowanym połączeniem. Przy cookies sesji, na przykład PHPSESSID czy laravel_session, sprawdzamy też flagę HttpOnly, która ukrywa je przed skryptami na stronie.
• W kodzie HTML strony głównej szukamy skryptów Google Analytics i Tag Managera, piksela Meta, piksela TikTok, Hotjar, Microsoft Clarity i LinkedIn Insight Tag. Skrypt wstrzymany do czasu zgody, np. z type="text/plain", nie liczy się jako uruchomiony. Jeśli działające skrypty są, szukamy domyślnego ustawienia Consent Mode albo znanego narzędzia do zgód, takiego jak Cookiebot, CookieYes, Complianz, OneTrust, Usercentrics, iubenda, Didomi, Borlabs Cookie czy Real Cookie Banner. Gdy nie ma żadnego z nich, dostajesz ostrzeżenie.
• Bezpłatny skan nie uruchamia skryptów strony. Cookies, które skrypty zapisują dopiero w przeglądarce, sprawdzisz testem w trybie prywatnym opisanym wyżej.

Pytania i odpowiedzi