Ochrona danych osobowych i prywatności w Internecie. Cookies
Ochrona danych osobowych
Dane osobowe - pojęcie Za dane osobowe uznaje się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 u. o o.d.o.) Identyfikacja oznacza bezpośrednie lub pośrednie (czyli po pewnym rozsądnym - nakładzie kosztów i działań) określenie tożsamości (art. 6 ust. 2 u. o o.d.o.)
Przykłady danych osobowych w kontekście internetowym Adres IP może być traktowany jako dana osobowa, jeżeli jest na stałe lub przez dłuższy czas przypisany do określonego urządzenia, użytkowanego przez określony podmiot, ale z reguły tylko w połączeniu z innymi danymi. Adres e-mail uznaj się za daną osobową, jeżeli zawiera np. imię i nazwisko osoby. W innym przypadku jest daną osobową tylko w połączeniu z innymi danymi. Nick, pseudonim jeżeli osoba nie ujawnia innych danych (np. na forum internetowym), sam nick nie jest daną osobową.
Przetwarzanie danych osobowych Przetwarzanie danych osobowych to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie (także w systemach informatycznych).
Zasady przetwarzania danych osobowych Co do zasady wymagana jest zgoda osoby, której dane dotyczą. Przetwarzanie danych osobowych przez ich administratora w celach marketingu bezpośredniego własnych produktów i usług jest dozwolone bez uzyskania odrębnej zgody (ale osoba, o której dane chodzi, może w tym zakresie zgłosić sprzeciw). Administrator danych musi zidentyfikować się wobec osoby i poinformować ją m.in. o celu przetwarzania danych, a także o prawie dostępu do nich i ich poprawiania.
Zgoda na przetwarzanie danych Zgoda nie musi mieć formy pisemnej (wystarczy więc np. zaznaczenie odpowiedniego pola w formularzu elektronicznym). Pisemną formę (lub z bezpiecznym podpisem elektronicznym) musi mieć jedynie zgoda na przetwarzanie danych wrażliwych (np. o poglądach politycznych, przekonaniach religijnych, stanie zdrowia, kodzie genetycznym, nałogach, życiu seksualnym) przetwarzanie tych danych jest jednak możliwe bez zgody osoby, jeżeli ona sama publicznie je ujawniła. Zgoda nie może być domniemana lub dorozumiana. Zgoda może być odwołana w każdym czasie.
Żądanie usunięcia danych Można żądać usunięcia danych ze zbioru (a także ich uzupełnienia, uaktualnienia, sprostowania, czasowego lub stałego wstrzymania ich przetwarzania), jeżeli są niekompletnie, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane.
Co z tego wynika Prawo dopuszcza wyrażenie przez nas zgody na przetwarzanie dowolnych danych osobowych (nawet wrażliwych!) w dowolnym celu. Ograniczona jest jedynie możliwość przetwarzania danych bez naszej zgody. Nie należy więc bez zastanowienia zgadzać się na przetwarzanie naszych danych!
Kary za naruszenie przepisów o ochronie danych osobowych Przetwarzanie danych osobowych bez posiadania do tego uprawnień to przestępstwo, zagrożone karą grzywny, ograniczenia wolności albo pozbawienia wolności do 2 lat (3 lat w przypadku danych wrażliwych). Niedopełnienie obowiązku odpowiedniego poinformowania osoby, której dane dotyczą, zagrożone jest karą grzywny, ograniczenia wolności albo pozbawienia wolności do 1 roku.
Cookies (ciasteczka) Niestety nie takie do jedzenia
Cookies - pojęcie Cookie to informacja umieszczona w urządzeniu końcowym (telefonie, tablecie, komputerze itd.) użytkownika usług internetowych przez podmiot świadczący usługi w Internecie, wykorzystywana następnie do celów związanych z działalnością tego podmiotu.
Rodzaje cookies Ze względu na trwałość umieszczenia w urządzeniu (1) sesyjne, zapamiętują np. nasze kolejne kroki podczas danej wizyty w sklepie internetowym (10-20% ogółu cookies) albo (2) trwałe, na długi czas (nawet do 9999 roku!) wiążą działania odwiedzającego stronę z ustalonym wcześniej profilem (pozostałe 80-90% ogółu cookies). W praktyce wyłącznie strony podmiotów publicznych (np. organów administracji publicznej) wykorzystują jedynie cookies sesyjne (z wyłączeniem trwałych). Ale i tak jest takich stron mało.
Rodzaje cookies c.d. Ze względu na podmiot umieszczający cookies w urządzeniu (1) cookie dostarczane przez dostawcę aplikacji lub usługi (30% ogółu cookies), na potrzeby realizacji tej aplikacji lub usługi albo (2) cookie strony trzeciej (70% ogółu cookies), związane głównie z działalnością marketingową, umieszczane na naszym urządzeniu na skutek współpracy dostawcy usługi lub aplikacji oraz podmiotu prowadzącego działalność marketingową, działającego z kolei na zlecenie reklamodawców (wielostronna współpraca).
Cookies a reklama behawioralna Cookies są często wykorzystywane na potrzeby reklamy behawioralnej, dostosowującej się do użytkownika poprzez analizę jego aktywności internetowej. Zbierane dane mogą dotyczyć: rodzaju odwiedzanych stron i częstotliwość tych wizyt, interakcji z materiałami na stronach, haseł wyszukiwania, treści zamieszczanych w Internecie.
Europejski model cookies: opt-in Prawo europejskie (a za nim polskie prawo krajowe) wymaga wyrażenia zgody przez użytkownika na przechowywanie cookies na jego urządzeniu oraz uzyskiwanie do nich dostępu. Prawo przewiduje następującą sekwencję zdarzeń: przekazanie użytkownikowi informacji o cookies => uzyskanie zgody użytkownika => zapisane cookies w urządzeniu.
Wykonanie obowiązku informacyjnego Informacja powinna wyraźnie, łatwo i zrozumiale wskazywać, że w urządzeniu zostanie zapisana informacja, nad której treścią i wykorzystaniem użytkownik nie będzie miał kontroli. Ogólna informacja o cookies powinna być umieszczona na stronie startowej usługi. Początkowa informacja o cookies powinna odsyłać do specjalnego adresu, pod którym dostępna jest pełna informacja o cookies.
Pełna informacja o cookies Pełna informacja o cookies powinna określać m.in. cele stosowania cookies, dysponentów cookies (w tym strony trzecie, np. w związku z marketingiem), okres przechowywania, jak można zaakceptować lub odmówić zgody na cookies (odmowa może wpłynąć na funkcjonalność usług). W praktyce ponad 40% stron internetowych nie zawiera wystarczająco precyzyjnej informacji szczegółowej o cookies. Treść informacji przechowywanej w urządzeniu musi odpowiadać opisowi funkcji cookies.
Udzielenie zgody na cookies W Polsce może to nastąpić poprzez wyrażenie zgody w (1) sposób klasyczny (np. zaznaczenie odpowiedniej opcji w oknie dialogowym) albo (2) poprzez inne, ale koniecznie aktywne działanie, np. podjęcie czynności polegającej na przystąpieniu do korzystania z usługi po uprzednim poinformowaniu, że spowoduje to umieszczenie w urządzeniu cookies (np. kliknięcie linku do artykułu na głównej stronie portalu informacyjnego). Powinna istnieć możliwość osobnego decydowania o różnych rodzajach cookies (np. pochodzących od stron trzecich). Może to także nastąpić poprzez ustawienia przeglądarki lub urządzenia.
Tryb incognito nie tylko do oglądania pornografii Uruchomienie trybu incognito (w Chrome; w IE InPrivate; w Firefox Okno prywatne) w przeglądarce powoduje nie tylko niezapisywanie historii sesji, lecz także zapisywanie cookies wyłącznie na czas trwania danej sesji. Po jej zakończeniu wszystkie cookies z sesji są usuwane (nawet te, które przy normalnym przeglądaniu zapisałyby się jako trwałe). Można w ten sposób ograniczyć skalę zapisywanych na urządzeniu cookies, bez ustawienia całkowitego ich odrzucania w przeglądarce (co na dłuższą metę może być uciążliwe, przez ograniczenie funkcjonalności usług).
Cookies stron trzecich czyste zło? Wyłączenie akceptacji dla cookies stron trzecich nie ma sensu tylko w przypadku osób, które autentycznie życzą sobie widzieć reklamy wybrane według klucza behawioralnego (a więc na podstawie śledzenia aktywności w sieci). Wyłączenie cookies stron trzecich nie powinno mieć wpływu na funkcjonalność usług, z których korzystamy na poszczególnych stronach internetowych.
Cookies a dane osobowe Jeżeli dane zawarte w cookies zawierają informacje pozwalające na identyfikację użytkownika, mają wówczas charakter danych osobowych i ich przetwarzanie wymaga wyraźnej, uprzedniej zgody, zarejestrowania zbioru danych itd. Z reguły jednak nie mają takiego charakteru.
Kary za naruszenie przepisów o cookies Za naruszenie przepisów o cookies Prezes Urzędu Komunikacji Elektronicznej nakłada karę w wysokości do 3% przychodu ukaranego podmiotu.
Ciekawa lektura Polecam bardzo ciekawy i pouczający tekst z Guardiana (po angielsku): Alex Hern, I read all the small print on the internet and it made me want to die http://www.theguardian.com/technology/2015/jun/15/i-read-all-thesmall-print-on-the-internet
Literatura Ustawa z 1997 o ochronie danych osobowych. Cookie sweep combined analysis report, 14/EN WP 229, http://ec.europa.eu/justice/data-protection/article- 29/documentation/opinionrecommendation/files/2015/wp229_en.pdf S. Piątek, Prawne warunki stosowania cookies, ikar 6 (4) 2015.