Problem · E-commerce

Czy polityka prywatności i cookies są zgodne z prawem?

Sam dokument polityki to za mało - liczy się też, czy mechanizm zgód na cookies faktycznie działa zgodnie z opisem.

Polityka prywatności musi jasno opisywać, jakie dane są zbierane, w jakim celu i na jakiej podstawie prawnej, a polityka cookies - jakie pliki cookies są używane i do czego służą. Zgoda na cookies inne niż niezbędne musi być dobrowolna, konkretna i możliwa do wycofania równie łatwo, jak została wyrażona.

Obowiązek uzyskania zgody na przechowywanie lub uzyskiwanie dostępu do informacji w urządzeniu końcowym użytkownika (czyli m.in. na cookies) wynika z art. 173 ustawy Prawo telekomunikacyjne, implementującego unijną dyrektywę o prywatności elektronicznej (ePrivacy). Wyjątkiem są cookies niezbędne do świadczenia usługi wyraźnie żądanej przez użytkownika (np. koszyk zakupowy) - te nie wymagają zgody, ale nadal trzeba o nich poinformować.

Częsty błąd to baner cookies, który technicznie ładuje skrypty śledzące jeszcze przed uzyskaniem zgody użytkownika - to samo w sobie stanowi naruszenie, niezależnie od treści samej polityki.

Naruszenia w obszarze cookies mogą być podwójnie sankcjonowane: Prezes Urzędu Komunikacji Elektronicznej może nałożyć karę za naruszenie art. 173 Prawa telekomunikacyjnego, a jeśli cookies wiążą się z przetwarzaniem danych osobowych (co w praktyce dotyczy większości cookies analitycznych i marketingowych), dodatkowo może zainteresować się sprawą Prezes UODO - z administracyjną karą pieniężną do 20 mln euro lub 4% rocznego światowego obrotu, przewidzianą w RODO.

Podstawa prawna

art. 173 ustawy Prawo telekomunikacyjne oraz RODO