Czy pliki cookies to dane osobowe?

Czy pliki cookies to dane osobowe? Odpowiedź brzmi: tak, jeśli dane zawarte w plikach cookies pozwalają na identyfikację osoby fizycznej, nawet pośrednio [1][6][7]. Kwestia ta uzależniona jest jednak od konkretnej sytuacji i rodzaju gromadzonych danych, a także sposobu ich wykorzystania przez administratorów serwisów internetowych [1][4].

Definicja danych osobowych według RODO

Zgodnie z RODO, za dane osobowe uznaje się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej [6][1]. Katalog tych informacji obejmuje nie tylko imiona i nazwiska, lecz także identyfikatory internetowe – jak adres IP czy identyfikator cookie [6][1]. Oznacza to, że przepisanie identyfikatora do konkretnych cech lub danych urządzenia, a także powiązanie z innymi kategoriami informacji, nawet bez znajomości nazwiska, może skutkować kwalifikacją pliku cookie jako danych osobowych [6][1][7].

Pliki cookies a identyfikacja osoby

Pliki cookies rejestrują na urządzeniu użytkownika unikalne identyfikatory. Te mechanizmy mogą umożliwiać serwisowi śledzenie aktywności oraz personalizację usług [6][7]. Sam identyfikator cookie zwykle nie pozwala na jednoznaczną identyfikację osoby, lecz połączenie tych danych z innymi informacjami – na przykład adresem IP, danymi o lokalizacji czy preferencjach – prowadzi do sytuacji, gdy cookie mogą być zakwalifikowane jako dane osobowe [1][7]. Kluczową kwestią jest zatem możliwość powiązania identyfikatora cookie z konkretną osobą fizyczną.

Organ nadzorczy, jakim jest Prezes UODO, stoi na stanowisku, że przetwarzanie cookies zawierających identyfikatory internetowe powinno być traktowane jako przetwarzanie danych osobowych, wymagające stosowania przepisów RODO [1][4]. Jednak decyzja Wojewódzkiego Sądu Administracyjnego w Warszawie z 11 lipca 2022 roku pokazuje, że nie każda sytuacja powinna automatycznie kończyć się taką kwalifikacją – konieczna jest indywidualna analiza kontekstu technicznego i realnych możliwości identyfikacji osoby [4][1].

Prawo telekomunikacyjne oraz zgoda użytkownika

Istotną rolę w przetwarzaniu cookies odgrywają zarówno RODO, jak i przepisy prawa telekomunikacyjnego. Pliki cookies niezbędne do świadczenia usług drogą elektroniczną mogą być stosowane bez konieczności uzyskania wyraźnej zgody użytkownika [5][8]. Natomiast wszystkie pozostałe cookies, które np. służą do celów analitycznych czy marketingowych, wymagają jasnej i uprzedniej zgody internauty oraz przejrzystej informacji na temat celu ich przetwarzania [5][8].

Wyrok Trybunału Sprawiedliwości Unii Europejskiej z 1 października 2019 roku (sprawa Planet 49) jednoznacznie podkreślił, że zgoda na cookies inne niż niezbędne nie może być dorozumiana – nie wystarczy samo korzystanie z domyślnych ustawień przeglądarki, a użytkownik powinien mieć realny wpływ na wybór [8].

Mechanizmy powiązań cookies z danymi osobowymi

Pliki cookies często zawierają takie komponenty jak unikalne identyfikatory, adresy IP, dane o preferencjach oraz informacje o sesjach użytkownika [6][7]. Sama obecność identyfikatora w cookie nie przesądza o tym, że mamy do czynienia z danymi osobowymi, lecz jeśli zostanie on połączony z dodatkowymi informacjami, dochodzi do sytuacji, w której użytkownik jest zidentyfikowany lub możliwy do zidentyfikowania [6][1]. Kluczowym elementem jest właśnie możliwość przypisania tych treści do konkretnej osoby fizycznej, nawet jeżeli odbywa się to pośrednio.

Z praktycznego punktu widzenia, administrator serwisu musi rozróżnić pliki niezbędne do funkcjonowania strony od pozostałych cookies i wdrożyć właściwe mechanizmy zbierania zgód zgodnie z RODO, zapewniając użytkownikom możliwość dostępu do informacji, a także opcję zarządzania swoimi danymi [5][8]. Odpowiedzialność za prawidłowe przetwarzanie i informowanie użytkowników spoczywa na administratorze [5].

Obowiązki administratora i prawa użytkownika

Jeśli cookies stanowią dane osobowe, administrator obowiązany jest przestrzegać zasad RODO – w tym uzyskiwać wyraźną zgodę na ich wykorzystanie, przedstawiać politykę prywatności, realizować prawo użytkownika do dostępu, sprostowania czy żądania usunięcia dotyczących go danych [6][5][8]. Użytkownik powinien być również informowany o celach przetwarzania i możliwości zarządzania swoimi preferencjami dotyczących cookies [5][8].

Przetwarzanie danych z cookies wymaga przejrzystości oraz umożliwienia serwisantom użytkownikom skutecznego zarządzania zgodami i ustawieniami. Polityka cookies powinna wyraźnie odróżniać pliki niezbędne od pozostałych, a komunikaty powinny być jasne i zrozumiałe [5][8].

Podsumowanie: czy cookies to dane osobowe?

Cookies mogą być danymi osobowymi – kluczowe jest to, czy umożliwiają zidentyfikowanie konkretnej osoby, bezpośrednio lub pośrednio [6][1][7]. Każdy przypadek należy analizować indywidualnie, biorąc pod uwagę rodzaj danych i możliwości ich powiązania z użytkownikiem [1][4]. W większości przypadków, gdy cookies zbierają unikalne identyfikatory i są powiązane z innymi informacjami o użytkowniku, spełniają definicję danych osobowych przedstawioną przez RODO [6][1][7]. Ich legalne przetwarzanie powinno zawsze odbywać się zgodnie z przepisami – przede wszystkim RODO i wymogami prawa telekomunikacyjnego, co za każdym razem oznacza konieczność uzyskania zgody użytkownika dla plików innych niż niezbędne oraz zapewnienia transparentnej polityki informacyjnej [5][8].

Źródła:

• [1] https://www.jdsupra.com/legalnews/pliki-cookies-a-dane-osobowe-jakie-sa-8861008/
• [4] https://www.soczko.pl/iod-soczko-partnerzy/blog-ochrona-danych/czy-pliki-cookies-zawieraja-dane-osobowe/
• [5] https://www.pwc.pl/pl/artykuly/wykorzystywanie-plikow-cookies-perspektywa-prawna.html
• [6] https://odo24.pl/wiedza/pytania-i-odpowiedzi-wpis.czy-pliki-cookie-to-dane-osobowe
• [7] https://prawomarketingu.pl/czy-informacje-z-cookies-lub-pikseli-to-dane-osobowe/
• [8] https://lexdigital.pl/polityka-cookies-wzor-jak-prawidlowo-zarzadzac-ciasteczkami