RODO po ludzku — zgoda, cookies i kary

RODO to unijne rozporządzenie o ochronie danych osobowych, stosowane od 25 maja 2018 r. Dla właściciela strony sprowadza się do jednego kluczowego pytania: czy masz ważną zgodę na to, co robisz z danymi odwiedzających? Sprawdźmy, co to znaczy „ważną".

Co to jest RODO (i co ma do cookies)?

RODO to rozporządzenie (UE) 2016/679. W Polsce jego stosowanie zapewnia ustawa z 10 maja 2018 r. o ochronie danych osobowych, która powołała Prezesa UODO. Cookies wchodzą w grę wtedy, gdy razem z innymi informacjami (np. adresem IP, identyfikatorami reklamowymi) pozwalają rozpoznać konkretną osobę — a tak działa większość trackerów marketingowych.

Czym jest ważna zgoda? Cztery warunki

Art. 4 pkt 11 RODO definiuje zgodę jako dobrowolną, konkretną, świadomą i jednoznaczną. Do tego art. 7 dodaje dwie ważne zasady:

• musisz umieć wykazać, że użytkownik zgodę wyraził (dlatego prowadzi się rejestr zgód)
• cofnięcie zgody musi być równie łatwe jak jej wyrażenie

A motyw 32 RODO mówi wprost: milczenie, domyślnie zaznaczone okienka i brak działania to NIE jest zgoda.

Czego jeszcze nie wolno? Wytyczne EROD

• Guidelines 05/2020 (o zgodzie): „cookie wall" — czyli „zaakceptuj albo nie wejdziesz" — podważa dobrowolność; scrollowanie strony to nie zgoda
• Guidelines 03/2022 (o deceptive design patterns): zwodnicze interfejsy — ukryty przycisk odmowy, mylące kolory, poczucie winy przy odmowie — naruszają zasadę rzetelności z art. 5 RODO

A czy każde cookie to dane osobowe?

Nie każde. W polskiej sprawie z decyzji UODO (DKE.561.2.2021) sądy administracyjne — najpierw WSA w Warszawie (2022), potem NSA (2025) — potwierdziły, że nie każde cookie automatycznie stanowi daną osobową. Ale uwaga: to nie zwalnia z obowiązku zgody na sam zapis cookies, bo ten wynika z odrębnego przepisu — art. 399 PKE (piszemy o tym tutaj). Dwa prawa, dwa obowiązki.

Co konkretnie musisz zrobić

1. Baner z prawdziwym wyborem: „Akceptuję" i „Odrzucam" obok siebie, tak samo widoczne
2. Zero domyślnie zaznaczonych checkboxów i zero „scroll = zgoda"
3. Możliwość cofnięcia zgody w każdej chwili — równie łatwo, jak się ją dało
4. Rejestr zgód jako dowód (art. 7 ust. 1) — kto, kiedy, na co
5. Aktualna polityka prywatności opisująca, co zbierasz i po co

Ten artykuł to wyjaśnienie po ludzku, nie porada prawna. W nietypowej sytuacji pogadaj z prawnikiem — my w tym czasie przypilnujemy twoich cookies.