Polityka prywatności, polityka cookies i baner cookies

Skorzystaj z tej szybkiej ścieżki decyzyjnej:

1. Policz nieniezbędne narzędzia ładowane przez twoją stronę: analitykę, piksele reklamowe, widżety czatu, osadzone filmy i narzędzia testowe.
2. Jeśli jest ich tylko kilka i rzadko się zmieniają, umieść sekcję o cookies w polityce prywatności.
3. Jeśli jest ich wiele albo twój zespół marketingowy często dodaje tagi, opublikuj osobną stronę o cookies i podlinkuj ją zarówno z polityki prywatności, jak i z narzędzia do zgód.
4. Cokolwiek wybierzesz, nazywaj każde narzędzie konsekwentnie i daj użytkownikom jedno oczywiste miejsce do zmiany wyborów.

Jest jeszcze jedna możliwość, którą przeocza wiele małych stron: używaj mniej technologii śledzących. Każdy usunięty tag to jedna informacja mniej do utrzymywania, jedna zgoda mniej do zebrania i jeden dostawca mniej do sprawdzenia. Konfiguracje analityki przyjazne prywatności, samodzielnie hostowane czcionki i filmy ładowane po kliknięciu mogą radykalnie skrócić twoją listę cookies.

Jeśli budujesz stronę od zera, nasz poradnik jak stworzyć politykę prywatności strony internetowej omawia cały proces, w tym miejsce informacji o cookies.

Polityka prywatności obejmuje każdy sposób przetwarzania danych osobowych: formularze, konta, zakupy, e-maile, obsługę klienta, analitykę, reklamy i inne. Wyjaśnia cele, podstawy prawne, odbiorców, przekazywanie danych, okresy przechowywania i prawa.

Polityka cookies odpowiada na węższe pytanie: jakie technologie zapisują informacje na urządzeniu odwiedzającego lub uzyskują do nich dostęp i dlaczego. Obejmuje to:

• pliki cookie HTTP, zarówno własne, jak i podmiotów trzecich
• pamięć lokalną i pamięć sesji
• piksele śledzące i sygnalizatory sieciowe (web beacons)
• SDK i skrypty odczytujące identyfikatory urządzeń
• techniki fingerprintingu

Oba zakresy w dużej mierze się pokrywają. Większość analitycznych i reklamowych plików cookie przetwarza dane osobowe, więc i tak należą one do polityki prywatności. Polityka cookies dodaje szczegóły: poszczególne narzędzia lub nazwy plików cookie, okresy ważności i sposób zmiany wyborów.

Uczciwa odpowiedź na pytanie o politykę prywatności a politykę cookies brzmi więc tak: polityka cookies jest zwykle wyspecjalizowanym rozszerzeniem polityki prywatności, a nie odrębnym reżimem prawnym z własnym wymogiem dokumentu. Prawdziwe pytania prawne dotyczą tego, czy twoje informacje są kompletne i czy masz zgodę tam, gdzie wymaga jej prawo.

Prawo tego nie wymaga. Obowiązek polega na przekazaniu jasnych i wyczerpujących informacji, które ludzie mogą łatwo znaleźć. Miejsce, w którym się znajdą, zależy od ciebie.

Sekcja w polityce prywatności sprawdza się dobrze, gdy:

• używasz kilku narzędzi, na przykład jednej usługi analitycznej i niezbędnych sesyjnych plików cookie
• informacje o cookies mieszczą się w krótkiej liście lub tabeli
• chcesz utrzymywać jeden dokument

Osobna strona z polityką cookies sprawdza się lepiej, gdy:

• ładujesz wiele tagów, pikseli lub dostawców reklam
• lista dostawców często się zmienia i chcesz ją aktualizować bez ponownego publikowania całej polityki prywatności
• twoje narzędzie do zgód odsyła do szczegółowej listy plików cookie

Jeśli je rozdzielasz, podlinkuj obie strony wzajemnie i używaj tych samych nazw dla każdego narzędzia. Polityka prywatności, która mówi, że nie używasz reklamowych plików cookie, obok listy cookies pokazującej piksel reklamowy, to właśnie ten rodzaj sprzeczności, który zauważają regulatorzy i skłonni do składania skarg odwiedzający.

To, czy potrzebujesz też banera cookies, to osobne pytanie, omówione w artykule czy potrzebujesz banera cookies.

Niezależnie od tego, czy to osobna strona, czy sekcja polityki prywatności, przydatna informacja o cookies obejmuje:

1. Czym są te technologie, prostymi słowami: pliki cookie, pamięć lokalna, piksele, SDK.
2. Kategorie i cele: ściśle niezbędne, preferencje, analityka, reklama oraz to, co każda z nich faktycznie robi na twojej stronie.
3. Kto je ustawia: twoje własne pliki cookie i wymienione z nazwy podmioty trzecie, takie jak dostawca analityki lub reklam.
4. Okres ważności: tylko na czas sesji lub jak długo każdy z nich jest przechowywany.
5. Zgoda i wybory: które kategorie wymagają zgody, jak ją wyrazić lub odmówić i jak ją później wycofać.
6. Ustawienia przeglądarki: odesłanie do ustawień przeglądarki i wszelkich narzędzi rezygnacji, które faktycznie obsługujesz.
7. Linki: do polityki prywatności w sprawie praw, podstaw prawnych, przekazywania danych i danych kontaktowych.
8. Data ostatniej aktualizacji.

Miniprzykład jednego wpisu: „Analityka. Nasz dostawca analityki ustawia pliki cookie, które rejestrują wyświetlone strony i długość wizyty, abyśmy mogli zrozumieć, jak korzystasz ze strony. Ustawiane wyłącznie za Twoją zgodą. Wygasają po 12 miesiącach.” To konkretne, sprawdzalne i uczciwe.

Sformułowania dla konkretnych narzędzi znajdziesz w artykułach informacje o analityce w polityce prywatności i poradnik o polityce prywatności dla Google Analytics.

Te trzy rzeczy są często mylone:

• Baner cookies lub narzędzie do zgód: interfejs, który prosi o zgodę, zanim załadują się nieniezbędne technologie, i pozwala użytkownikom później zmienić wybór. Dotyczy zachowania twojej strony.
• Polityka cookies lub sekcja o cookies: pisemne wyjaśnienie technologii, celów, dostawców i okresów ważności. Dotyczy informacji.
• Polityka prywatności: pełna informacja o całym przetwarzaniu danych osobowych, w tym o plikach cookie, gdy wiążą się z danymi osobowymi.

Baner bez polityki prosi użytkowników o zgodę na coś, o czym nie mogą przeczytać. Polityka bez banera, tam gdzie wymagana jest zgoda, wyjaśnia, co robisz, ale nie czyni tego zgodnym z prawem. W UE i Wielkiej Brytanii strona korzystająca z analitycznych lub reklamowych plików cookie zazwyczaj potrzebuje obu: zgody przez działający mechanizm i informacji w polityce.

Gwoli jasności co do narzędzi: Legal Policy Generator przygotowuje tekst polityki prywatności, w tym informacje o cookies, analityce i śledzeniu na podstawie twoich odpowiedzi. Nie zapewnia banera cookies ani narzędzia do zarządzania zgodami. Łączysz politykę z wybranym mechanizmem zgody i dbasz o to, by oba opisywały te same narzędzia w ten sam sposób.

W UE zasada wynika z art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej. Przechowywanie informacji na urządzeniu użytkownika lub uzyskiwanie dostępu do informacji już tam przechowywanych jest dozwolone tylko wtedy, gdy użytkownik wyraził zgodę po otrzymaniu jasnych i wyczerpujących informacji, w szczególności o celach. Wyjątki obejmują przechowywanie lub dostęp potrzebne wyłącznie do przesłania komunikatu albo ściśle niezbędne do świadczenia usługi, o którą użytkownik wyraźnie poprosił.

Wytyczne 2/2023 Europejskiej Rady Ochrony Danych potwierdzają, że zasada ta wykracza poza klasyczne pliki cookie i obejmuje technologie takie jak piksele śledzące, linki śledzące, pamięć lokalną i niektóre formy fingerprintingu urządzeń.

W Wielkiej Brytanii równoważną zasadę ustanawia regulation 6 Privacy and Electronic Communications Regulations. Aktualne wytyczne ICO dotyczące technologii przechowywania i dostępu mówią, że informacje powinny obejmować używane technologie, ich cele, zaangażowane podmioty trzecie i okres przechowywania informacji. Wielka Brytania dodała też kilka nowych wyjątków od zasady zgody, więc szczegóły sprawdź w aktualnych wytycznych ICO.

Gdy pliki cookie wiążą się z danymi osobowymi, zastosowanie mają również obowiązki przejrzystości z art. 12–14 RODO i UK GDPR. Żadna z tych zasad nie narzuca tytułu dokumentu.

Prawo USA nie ma ogólnej zasady zgody na cookies, takiej jak dyrektywa ePrivacy, ale informacje o cookies nadal mają znaczenie.

• CalOPPA wymaga, aby polityka prywatności komercyjnej strony ujawniała, jak reaguje ona na sygnały Do Not Track z przeglądarki i czy inne podmioty mogą zbierać dane umożliwiające identyfikację o aktywności użytkowników w internecie w czasie i na różnych stronach.
• CCPA i CPRA traktują identyfikatory zbierane przez pliki cookie jako dane osobowe. Twoja polityka prywatności musi opisywać zbierane kategorie i to, czy sprzedajesz lub udostępniasz dane osobowe, co może obejmować wiele konfiguracji reklamy opartej na różnych kontekstach, a także sposób, w jaki ludzie mogą zrezygnować.
• Inne stanowe ustawy o prywatności wymagają podobnej informacji o reklamie ukierunkowanej i prawie do rezygnacji z niej.

Żaden z tych przepisów nie wymaga osobno zatytułowanej polityki cookies. Dobrze zorganizowana sekcja o cookies i śledzeniu w polityce prywatności zwykle załatwia kwestię informacyjną, a linki rezygnacji i sygnały preferencji obsługuje się na samej stronie.

Szczegóły znajdziesz w artykułach wymagania CCPA i CPRA wobec polityki prywatności i informacje o reklamach w polityce prywatności.

Informacje o cookies dezaktualizują się szybciej niż niemal każda inna część polityki prywatności, bo narzędzia marketingowe często zmieniają się bez przeglądu kodu. Wprowadź prostą rutynę:

• Skanuj regularnie. Otwórz stronę w czystym profilu przeglądarki, odmów zgody, a potem ją wyraź i spisz, co ładuje się w każdym stanie.
• Sprawdzaj każdy nowy tag. Dodaj przegląd informacji do listy kontrolnej przed wdrożeniem każdego nowego piksela, osadzenia lub skryptu.
• Porównuj politykę, baner i rzeczywistość. Wszystkie trzy powinny wymieniać te same narzędzia.
• Aktualizuj datę przy każdej zmianie listy.

Gdy generujesz politykę za pomocą Legal Policy Generator, wskazujesz, jakich technologii analitycznych, reklamowych i śledzących używasz, a informacje o cookies i śledzeniu wynikają z tych odpowiedzi. Gdy twoje narzędzia się zmieniają, zaktualizuj odpowiedzi i wygeneruj politykę ponownie, zamiast ręcznie łatać tekst. Kwestionariusz i pełny podgląd są bezpłatne i nie wymagają konta, a prosty plik HTML lub PDF do pobrania jest bezpłatny.

Wygenerowany tekst odzwierciedla twoje odpowiedzi i nie jest poradą prawną. Samą zgodą nadal musi zarządzać mechanizm zgody na twojej stronie.