Propozycja UE dotycząca zgody na cookies – co się zmieni?

Kluczowe wnioski

• Rada proponuje możliwość odrzucenia zgody jednym kliknięciem lub w równoważny sposób oraz co najmniej czteromiesięczną przerwę przed ponownym zapytaniem w tym samym celu po odmowie. [2]
• Proponowane wyjątki dotyczące pomiaru oglądalności są warunkowe; nie zwalniają one automatycznie każdego narzędzia analitycznego ani reklamowego. [2]
• Irlandzka Komisja Ochrony Danych (DPC) podtrzymuje stanowisko, że pliki cookie analityczne wymagają zgody. Firmy powinny testować obecną zgodność z przepisami, a nie wdrażać propozycję przedwcześnie. [3][4]

Co w praktyce oznacza propozycja czterech miesięcy

Mandat Rady, opublikowany wraz z zaktualizowanym ogłoszeniem z 22 października, ma umożliwić użytkownikom łatwe i zrozumiałe odrzucenie prośby o zgodę za pomocą przycisku jednego kliknięcia lub równoważnych środków. W przypadku odmowy, dostawca nie powinien pytać ponownie w tym samym celu przez co najmniej cztery miesiące. W przypadku udzielenia zgody, nie należy o nią prosić ponownie w tym samym celu przez okres, w którym można się na niej legalnie opierać. [2]

Szczegóły mają znaczenie. Nie jest to uniwersalny, czteromiesięczny termin ważności dla każdego pliku cookie. Nie oznacza to również, że strona internetowa może zignorować późniejszą zmianę preferencji. Propozycja ta dotyczy powtarzających się próśb w tym samym celu. Mandat przewiduje również późniejszy krajowy okres wdrażania; nikt nie powinien opisywać październikowego ogłoszenia jako natychmiastowej zmiany w irlandzkim prawie. [2]

Plik cookie to niewielka informacja przechowywana na urządzeniu. Niektóre z nich wspierają funkcje, o które użytkownik faktycznie prosił; inne pomagają mierzyć aktywność lub kierować reklamy. Nazywanie ich wszystkich „niezbędnymi” tylko dlatego, że są przydatne dla firmy, nie czyni tej klasyfikacji poprawną. [4]

Ręka trzyma telefon obok filiżanki kawy; ekran jest nieczytelny. Ilustracja redakcyjna wygenerowana przez AI; nie jest to fotografia nazwanego wydarzenia ani uczestnika badania.

Pomiary nie są zwolnieniem ogólnym

Projekt zawiera różne przepisy dotyczące pomiarów. Jeden z przepisów dotyczących pomiaru oglądalności wymaga pseudonimizacji danych po ich zebraniu, ogranicza ponowne wykorzystanie i śledzenie poza mierzoną usługą lub treścią medialną oraz ogranicza udostępnianie danych osobowych. Pseudonimizacja to nie to samo co nieodwracalna anonimizacja. Opisywanie całej propozycji jako zwolnienia dla „anonimowej analityki” pomijałoby istotne warunki. [2]

Inny przepis dotyczy pomiaru reklamy kontekstowej: reklamy dobieranej na podstawie bieżącej treści lub pojedynczego zapytania, a nie profilu przeszłej lub przyszłej aktywności. Zawarte w nim warunki ograniczają profilowanie i inne zastosowania. Firma nie może po prostu zmienić nazwy reklamy behawioralnej na „kontekstową” i zakładać, że mieści się ona w ramach propozycji. [2]

Praktyczna różnica polega na odróżnieniu pytania o wydajność konkretnej strony od budowania ciągłego obrazu aktywności możliwej do zidentyfikowania osoby. To, czy konkretne narzędzie spełni przyszły wyjątek, zależałoby od tego, co faktycznie robi, a nie od sformułowań na jego stronie sprzedażowej. Przepisy te pozostają propozycjami, a nie gotowym zatwierdzeniem zgodności dla produktu programowego.

Co irlandzkie firmy muszą zrobić teraz

Aktualne wytyczne DPC odpowiadają „tak” na pytanie, czy pliki cookie analityczne wymagają zgody, w tym w dyskusji na temat analityki własnej (first-party). Wskazują one wąskie wyjątki dla funkcji ściśle niezbędnych, o które prosi użytkownik, oraz dla transmisji komunikatu. Wytyczne stwierdzają, że pliki cookie służące do reklamy ukierunkowanej i śledzenia konwersji nie są zwolnione z obowiązku uzyskania zgody. [3][4]

DPC ostrzega również, że wstępnie zaznaczone pola lub przełączniki nie stanowią ważnej zgody. Ogólny link do cudzego wyjaśnienia dotyczącego plików cookie nie zastępuje wyjaśnienia własnego sposobu korzystania z nich przez operatora. Użytkownicy muszą mieć możliwość wycofania lub zmiany zgody, a wycofanie musi być tak samo łatwe jak jej udzielenie. [4][5]

Dlatego zmiana przycisku to za mało. Baner zgody to interfejs; skrypty działające w tle decydują o tym, czy wybór odwiedzającego jest respektowany. Firma powinna wiedzieć, które narzędzia ładują się przed podjęciem decyzji, które po odmowie, a co przestaje działać po wycofaniu zgody.

Troje współpracowników rozmawia przy laptopie w jasnym miejscu pracy. Ilustracja redakcyjna wygenerowana przez AI; nie jest to fotografia nazwanego wydarzenia ani uczestnika badania.

Praktyczny audyt bez czekania na nowe przepisy

Weźmy jako przykład dublińską piekarnię korzystającą z widżetu rezerwacji, licznika ruchu i piksela reklamowego. Właściciel powinien poprosić dewelopera o udokumentowanie celu każdego narzędzia, odbiorców danych, czasu przechowywania i sposobu obsługi zgody. Nie należy zakładać, że funkcja rezerwacji i piksel marketingowy wymagają identycznego traktowania. Jest to przykład hipotetyczny, a nie audyt konkretnej firmy.

Następnie przetestuj stronę jako nowy użytkownik, który odmawia opcjonalnego śledzenia. Powtórz test na urządzeniu mobilnym oraz po wycofaniu wcześniej udzielonej zgody. Sprawdź, czy polityka opisuje rzeczywiste narzędzia i czy odmowa nie staje się po cichu zgodą w innym miejscu interfejsu. Zachowaj zapis testu i zasięgnij porady specjalisty w niepewnych przypadkach. [4][5]

Dla twórców i mniejszych firm mniej inwazyjne prośby mogłyby być przydatne. Jednak mierzenie sukcesu wyłącznie liczbą osób, które nacisnęły „akceptuję”, nagradza niewłaściwy wynik. Lepszym testem jest to, czy ludzie rozumieją wybór i czy witryna go szanuje.

Sprzedawca rozmawia z klientem przy ladzie. Ilustracja redakcyjna wygenerowana przez AI; nie jest to fotografia nazwanego wydarzenia ani uczestnika badania.

Prostsze wybory wciąż wymagają odpowiedzialności

Nacisk Safegram na prywatność i kontrolę użytkownika jest istotny dla tej zasady: obietnicę prywatności należy oceniać przez pryzmat doświadczenia kogoś, kto mówi „nie”, a nie tylko przez nagłówki. Jest to standard projektowy, który ma zastosowanie również do Safegram (zbudowanej w Dublinie sieci społecznościowej dbającej o prywatność), co nie stanowi twierdzenia, że technologia ta została poddana niezależnemu audytowi lub że nigdy nie korzysta z konkretnego narzędzia.

Rada twierdzi, że kolejnym krokiem są negocjacje z Parlamentem Europejskim. Czytelnicy z innych regionów nie powinni traktować propozycji UE ani wytycznych irlandzkiego regulatora jako automatycznej zmiany w prawie brytyjskim, amerykańskim, brazylijskim czy innym prawie krajowym. Nawet w Europie konkretne wdrożenie należy sprawdzić pod kątem obowiązujących przepisów i ostatecznego tekstu aktu prawnego. [1]

Użyteczne działanie jest możliwe już teraz: przetestuj jedną realną odmowę i jedno wycofanie zgody na swojej stronie. Aby uzyskać informacje o Safegram, odwiedź safegram.com (https://safegram.com/). Jest to ogólna analiza redakcyjna, a nie indywidualna porada prawna czy certyfikat zgodności.

Często zadawane pytania

Czy UE zniosła banery cookies w październiku 2026 r.?

Nie. Rada uzgodniła stanowisko negocjacyjne, a nie ostateczną ustawę znoszącą banery. Istniejące obowiązki nadal obowiązują. [1]

Co oznacza proponowany okres czterech miesięcy?

Zgodnie z tekstem Rady, po odrzuceniu prośby, dana osoba nie powinna być ponownie pytana w tym samym celu przez co najmniej cztery miesiące. Nie jest to jeszcze nowa irlandzka zasada. [2]

Czy irlandzkie strony mogą teraz ustawiać analityczne pliki cookie bez zgody?

Nie na podstawie tej propozycji. Aktualne wytyczne DPC stanowią, że analityczne pliki cookie wymagają zgody. Proponowane wyjątki nie zastąpiły tych wytycznych. [3]

Czy informacje spseudonimizowane są anonimowe?

Niekoniecznie. Zastąpienie identyfikatorów samo w sobie nie eliminuje możliwości powiązania informacji z daną osobą. Warunków pomiaru zawartych w projekcie nie należy sprowadzać do twierdzenia, że każda analityka jest anonimowa. [2]

Co to jest reklama kontekstowa?

Reklama oparta na przeglądanej treści lub konkretnym zapytaniu, a nie na profilu aktywności danej osoby. Proponowana propozycja UE dotycząca zgody na cookies w zakresie wyjątku dla pomiarów zawiera dalsze ograniczenia. [2]

Co firma powinna zmienić natychmiast?

Naprawić obecne problemy ze zgodnością: zidentyfikować rzeczywiste skrypty śledzące, usunąć nieważną, wstępnie zaznaczoną zgodę, wyjaśnić cele i zapewnić łatwą drogę wycofania zgody. Nie należy aktywować proponowanych zwolnień, zanim zaczną one obowiązywać. [3][4][5]