Czym są zgody na cookies i reklamę spersonalizowaną?

Cookies to niewielkie pliki zapisywane w przeglądarce, które mogą pomagać w utrzymaniu sesji, zapamiętywaniu koszyka lub dopasowaniu reklam. Podobne zasady dotyczą innych technologii, które zapisują informacje na urządzeniu użytkownika albo uzyskują do nich dostęp. Dlatego ocena ustawień prywatności nie powinna ograniczać się do listy plików cookies. Trzeba sprawdzić również identyfikatory, skrypty i inne mechanizmy wykorzystywane przez serwis oraz jego partnerów.

Warto rozróżnić dwie powiązane, ale odrębne kwestie: zgodę na zapis lub odczyt informacji na urządzeniu oraz podstawę prawną późniejszego przetwarzania danych osobowych. Samo wyświetlenie banera nie przesądza, że wszystkie operacje są zgodne z prawem. Serwis powinien ustalić, jakie dane zbiera, w jakim celu, komu je przekazuje i na jakiej podstawie działa każdy element.

Cookies niezbędne do świadczenia usługi, takie jak te utrzymujące sesję albo zawartość koszyka, należy odróżniać od technologii analitycznych, reklamowych i służących profilowaniu. Opcjonalne zastosowania wymagają osobnego, zrozumiałego opisu. Zgoda na pomiar oglądalności nie powinna automatycznie oznaczać zgody na personalizację reklam czy udostępnianie danych partnerom.

Jak zaprojektować przejrzysty baner zgód?

Pierwszy widok banera powinien jasno wyjaśniać, że serwis zapisuje lub odczytuje informacje na urządzeniu oraz może przetwarzać dane osobowe. Należy krótko wskazać cele, a użytkownikowi umożliwić zaakceptowanie, odrzucenie lub dostosowanie opcjonalnych kategorii bez szukania ukrytych ustawień. Informacja ma pomagać w podjęciu decyzji, a nie skłaniać do kliknięcia jednego, z góry preferowanego przycisku.

Praktycznym rozwiązaniem jest układ warstwowy. Pierwsza warstwa zawiera zwięzłe wyjaśnienie oraz równorzędnie dostępne opcje, a panel ustawień przedstawia szczegóły. Cele warto rozdzielić, na przykład na pomiar oglądalności, personalizację treści, personalizację reklam i udostępnianie danych partnerom reklamowym. Ogólne sformułowania, takie jak „ulepszanie usług”, mogą nie mówić użytkownikowi, co faktycznie będzie się działo z jego danymi.

Przeczytaj także: Jak reklamy behawioralne wpływają na bezpieczeństwo Twoich danych osobowych?

Zgodnie z zasadami RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Milczenie, brak działania ani domyślnie zaznaczone pola nie stanowią zgody. Odmowa nie powinna być trudniejsza niż akceptacja, a kolory, rozmieszczenie przycisków i ich etykiety nie mogą wprowadzać w błąd. Użytkownik musi mieć także możliwość późniejszej zmiany decyzji.

W ustawieniach szczegółowych warto podać kategorie danych, okresy przechowywania, nazwy dostawców, cele oraz podstawy prawne ich działania. Jeśli serwis korzysta z platformy zarządzania zgodami, dobrze zaprojektowany panel może pozwalać na wybór osobno dla poszczególnych celów i dostawców. Jasne informacje zwiększają przejrzystość, ale nie zastępują prawidłowej konfiguracji technologii.

Jak wdrożyć i respektować wybory użytkownika?

Proces powinien zacząć się od inwentaryzacji technologii. Serwis ustala, jakie pliki i identyfikatory są wykorzystywane, jakie dane zbierają, kto je otrzymuje i do jakich celów służą. Następnie przypisuje właściwy mechanizm prawny oraz określa, które funkcje wymagają zgody. Bez takiego przeglądu łatwo przeoczyć skrypt uruchamiany przez zewnętrznego dostawcę.

Zobacz także: Jak poprawnie napisać zapytanie do urzędu skarbowego?

Przed wyborem użytkownika opcjonalne technologie nie powinny się uruchamiać, jeżeli ich zapis lub odczyt wymaga zgody. System zarządzania zgodami, czyli CMP, zapisuje preferencje i przekazuje je do tagów oraz partnerów. Integracja musi blokować działania sprzeczne z wyborem, a nie tylko rejestrować kliknięcie w banerze. Po odmowie odpowiednie tagi powinny pozostać nieaktywne.

W branżach, w których serwisy rozwijają rozbudowane funkcje cyfrowe, podobne zasady projektowania doświadczeń użytkownika można dostrzec także w rozwiązaniach takich jak eZoologik.pl. Niezależnie od rodzaju usługi, mechanizm zgód powinien być czytelny, działać zgodnie z deklaracją i nie ukrywać istotnych wyborów.

Standardy branżowe mogą ułatwiać przekazywanie preferencji. IAB Europe wprowadziło TCF v2.2 w maju 2023 roku. Framework opisuje wspólny sposób informowania o wyborach i przekazywania ich między wydawcami, CMP oraz dostawcami technologii reklamowych. Taki sygnał pomaga koordynować ustawienia w ekosystemie, ale nie zastępuje obowiązków prawnych. Wydawca nadal odpowiada za prawidłowe wdrożenie i sprawdzenie, czy partnerzy respektują decyzję użytkownika.

Polecamy również: Ile trwa rozpatrzenie reklamacji w Media Markt?

Co oznaczają reklamy spersonalizowane i model zgoda albo opłata?

Reklama spersonalizowana, nazywana też behawioralną, zwykle wykorzystuje informacje o aktywności lub zainteresowaniach użytkownika, aby dopasować wyświetlane treści reklamowe. Może to oznaczać analizę zachowań w serwisie albo użycie danych przekazywanych przez partnerów. Użytkownik powinien wiedzieć, jaki jest cel takiego przetwarzania i kto bierze w nim udział, zanim podejmie decyzję.

W modelu „zgoda albo opłata” użytkownik wybiera między korzystaniem z usługi z reklamą behawioralną a dostępem płatnym. EROD przyjęła Opinię 08/2024 w sprawie ważności zgody w takich modelach 17 kwietnia 2024 roku. Dokument koncentruje się na zgodzie na przetwarzanie danych w celu reklamy behawioralnej. Sama obecność dwóch opcji nie przesądza o dobrowolności: trzeba ocenić, czy wybór jest rzeczywisty, a konsekwencje obu możliwości jasno wyjaśnione.

Serwis powinien przeanalizować zakres przetwarzania, warunki dostępu do usługi i ewentualną presję wywieraną na użytkownika. Brak zgody nie powinien prowadzić do nieuzasadnionej presji ani poważnej szkody. Istotne są również proporcjonalność oraz to, czy użytkownik rozumie, na co się zgadza. Podobne wątpliwości mogą budzić tak zwane ściany cookies, które blokują podstawową usługę do chwili kliknięcia „Akceptuj”, jeśli nie pozostawiają realnej alternatywy.

Przeczytaj też: Czy RODO naprawdę wpływa na ochronę danych w internecie?

Jak umożliwić wycofanie zgody i mierzyć jakość procesu?

Zgoda nie jest jednorazowym zezwoleniem na wszystkie przyszłe działania. Użytkownik powinien móc łatwo wrócić do ustawień, zmienić wybór albo wycofać zgodę. Pomaga w tym stale dostępny link, na przykład „Ustawienia prywatności” w stopce serwisu. Po zmianie CMP powinien zaktualizować zapis preferencji, przekazać nowy sygnał i zatrzymać objęte nim tagi. Możliwość odwołania nie może być wyłącznie teoretyczna.

Jakość procesu warto oceniać za pomocą wskaźników, które pokazują zarówno wybory użytkowników, jak i działanie techniczne. Przydatne są:

  • odsetek akceptacji, odmów oraz wyborów częściowych;
  • udział użytkowników, którzy później zmieniają ustawienia;
  • czas potrzebny do odnalezienia i wycofania zgody;
  • liczba opcjonalnych tagów uruchomionych przed dokonaniem wyboru;
  • odsetek partnerów prawidłowo respektujących przekazany sygnał.

Wyniki trzeba opisywać wraz z okresem, rynkiem i metodą pomiaru. Przytaczane dla Europy benchmarki Didomi wskazywały w 2025 roku wskaźniki opt-in od 55,7% do 67,6%, ale ich poziom zależy między innymi od regionu, projektu banera, rodzaju serwisu i sposobu liczenia. Nie są więc uniwersalną normą ani celem, który należy osiągać kosztem swobody wyboru. Dobrze zarządzane zgody łączą czytelną informację, granularne ustawienia, prawidłową blokadę technologii i łatwe wycofanie decyzji.