Zapewne każdy z nas podczas przeglądania stron internetowych miał do czynienia z wyskakującymi okienkami informującymi o zbieraniu plików cookies. 1 października został wydany przez TSUE wyrok dotyczący wyrażania zgody na ich instalowanie. Pliki cookies ułatwiają korzystanie z Internetu, ale także stanowią poważne zagrożenie dla naszej prywatności. Zamieszczane w nich dane, na podstawie adresu IP, są wymieniane pomiędzy konkretną stroną internetową a przeglądarką. Dzięki temu strona otrzymuje informacje o urządzeniu, na którym ją otwieraliśmy, a także o czytanych przez nas treściach, oglądanych produktach, liczbie odwiedzin i czasie ich trwania. Te informacje pozwalają na ich wykorzystanie w celach marketingowych, np. na dopasowania oglądanych przez nas treści czy reklam.
Przedmiotem omawianej sprawy był sposób wyrażenia zgody na instalację owych ciasteczek przez użytkowników, którzy chcieli wziąć udział w loterii organizowanej przez spółkę Planet49. Formularz na stronie spółki zawierał domyślnie zaznaczoną zgodę na instalację plików cookies. Ponadto spółka zbierała i wykorzystywała dane do współpracy z firmą reklamową. Co za tym idzie, osoba, która nie zauważyła zaznaczonego okienka zgody, przypadkowo godziła się na zbieranie dotyczących jej informacji w celu reklamowania produktów przez partnera Planet49. Oprócz tego instalowane w urządzeniach pliki cookies zawierały numer przypisany do danych rejestracyjnych użytkownika, którymi były imię i nazwisko oraz adres podany w formularzu uczestnictwa w loterii. Oznacza to, że powiązanie ze sobą tych dwóch informacji pozwalało na bezpośrednią identyfikację danej osoby, co stanowiło już przetwarzanie danych osobowych, które regulowane jest przez RODO i które w tym celu wymaga zebrania dobrowolnej i konkretnej zgody.
Niemiecki związek organizacji konsumenckich podjął wątpliwości co do legalności działania spółki w omówionym zakresie i wystąpił z pytaniem prejudycjalnym do TSUE, który stwierdził, że:
- Domyślne zaznaczenie okienka zgody jest niedopuszczalne, a zgoda w ten sposób udzielona jest nieważna,
- Do stwierdzenia powyższego nie ma znaczenia, czy informacje przechowywane lub udostępniane w urządzeniu końcowym użytkownika stanowią dane osobowe,
- Usługodawca powinien poinformować użytkownika strony internetowej o okresie, przez jaki pliki cookies będą działać, a także wskazać odbiorców, którym zebrane dane zostaną udostępnione.
Podsumowując, niedozwolonym działaniem jest stosowanie domyślnie zaznaczonych checkboxów, tak aby niewyrażenie zgody wiązało się z koniecznością usunięcia zaznaczenia. Internauta musi sam tej zgody udzielić w sposób dobrowolny i konkretny. Trybunał stanął w obronie prywatności użytkowników, wskazując że nie może dojść do sytuacji, w której do ich urządzeń bez ich wiedzy zostaną wprowadzone ukryte identyfikatory lub inne podobne narzędzia. Ponadto usługodawca musi dokładnie poinformować użytkowników w jakim celu pliki cookies są instalowane, jak długo będą działać i kto może mieć do nich dostęp.
