Temat cookies i innych sposobów identyfikowania lub śledzenia, na które codziennie trafiamy w sieci budzi wiele kontrowersji w kontekście ochrony danych osobowych. Ciekawych informacji do przemyśleń na tym polu dostarcza nam francuski organ ochrony danych osobowych („CNIL”).
CNIL ogłosił ostatnio projekt wytycznych w sprawie plików cookies i znaczników (tracers). Projekt nie jest jeszcze ostateczny, ale wywołał spory niepokój wśród francuskich producentów bezpłatnych aplikacji i administratorów stron internetowych. W oczekiwaniu na zapowiadane europejskie rozporządzenie o nazwie „e-Privacy” mające kompleksowo uregulować m.in. kwestie związane ze stosowaniem informacji śledzących, CNIL przyjął w lipcu 2019 r. nowe wytyczne na temat operacji odczytu lub zapisu w terminalu użytkownika (zwanych powszechnie „plikami cookies”). Obecnie CNIL jest w trakcie uzupełniania tych wytycznych w zakresie sposobów uzyskiwania zgody na korzystania z informacji śledzących. Projekt ten, choć przedstawiony jako niewiążący (sformułowany jako zalecenia a nie obowiązki), budzi obawy, ponieważ ustanawia nowe reguły, które są bardziej wymagające niż dotychczas stosowane. W szczególności wytyczne potwierdzają, że samo kontynuowanie korzystania ze strony internetowej nie może być formą uzyskania zgody na zapisywanie informacji śledzących.
Jedną z nowości projektu o największej sile oddziaływania jest zasada, że odmowa musi być tak prosta, jak akceptacja. Dotychczasową powszechną praktyką wydawców (witryn i aplikacji) było wymuszanie wyrażania zgody przez użytkownika, poprzez np. odpowiednie ustawienia domyślne (brak rejestracji odmowy skutkujący nieustannymi nowymi prośbami o zgodę, prostota sprzyjająca „akceptowaniu wszystkiego” kontra złożone formuły i procedury odmowy). CNIL radykalizuje swoje stanowisko, wymagając tego samego stopnia prostoty „zdolności do wyrażenia zgody lub nie wyrażenia zgody”, ale także poprzez zobowiązanie do zachowania indywidualnego dowodu każdej zgody. Pomimo, że są to jedynie zalecenia, to po ich ostatecznym przyjęciu, będą odzwierciedlały stanowisko CNIL w tym zakresie. Zatem można z dużym prawdopodobieństwem zakładać, że po wejściu w życie rekomendacji, CNIL będzie na ich podstawie interpretował przepisy francuskiej ustawy o ochronie danych osobowych odnoszące się do informacji śledzących. Dlatego główni gracze na francuskim rynku cyfrowym zaczynają już teraz przygotowania do wyposażenia się w narzędzia umożliwiające im spełnienie tych nowych wymagań.
Stanowisko francuskiego organu ochrony danych osobowych oczywiście w żaden sposób nie oddziałuje bezpośrednio na praktykę stosowania prawa ochrony danych osobowych w Polsce. Jak dotychczas, polski organ ochrony danych osobowych (PUODO) nie zajął jednoznacznego stanowiska odnośnie kontrowersji związanych ze stosowaniem informacji śledzących w kontekście ochrony danych osobowych. Nie można jednak wykluczyć, że w niedalekiej przyszłości PUODO zdecyduje się na zajęcie podobnego do CNIL stanowiska, zwłaszcza gdy stanowisko to rozpowszechni się w UE.
