Francuski organ ochrony danych (CNIL) zareagował na liczne skargi osób, których dotyczą dane, i wydał nakazy dostosowania banerów zgody na cookies na stronach internetowych. Powodem jest stosowanie tzw. dark patterns — projektów interfejsu, które w praktyce zniechęcają do odrzucenia cookies albo utrudniają odmowę, mimo że taka odmowa powinna być równie prosta jak akceptacja.
O co chodzi w banerach „dark patterns” w cookies?
CNIL przypomina, że co do zasady cookies można używać dopiero po uzyskaniu zgody użytkownika (z pewnymi wyjątkami). W tym samym duchu serwis musi zapewnić użytkownikowi możliwość odrzucenia cookies równie łatwo, jak ich akceptację — a sposób prezentacji opcji nie może wprowadzać w błąd.
Prawo nie wymaga jednego, konkretnego formatu banera. Zamiast tego obowiązuje zasada: projekt banera ma umożliwiać ważną zgodę, czyli zgodę opartą na jasnej informacji i swobodnym wyborze.
Jak CNIL ocenia poprawność banera?
Po otrzymaniu skargi CNIL analizuje banery indywidualnie (case-by-case), biorąc pod uwagę m.in.:
- francuską ustawę o ochronie danych (w szczególności art. 82),
- wytyczne i rekomendacje CNIL,
- raport dotyczący banerów cookies przyjęty przez Europejską Radę Ochrony Danych (EDPB) 17 stycznia 2023 r.
Na tej podstawie CNIL wydaje nakazy w sytuacjach, gdy banery:
- czynią odmowę trudniejszą niż akceptację,
- zachęcają użytkownika do wyrażenia zgody przez niejasny lub mylący projekt.
Przykłady niezgodnych praktyk wskazane przez CNIL
W uzasadnieniach CNIL pojawiają się m.in. takie problemy:
- opcja „odmów” jest stylizowana (kolor, rozmiar czcionki, pogrubienie) tak, że wyraźnie dominuje przycisk akceptacji,
- odmowa jest ukryta w treści w taki sposób, że nie jest od razu widoczna,
- przycisk odmowy jest ulokowany w otoczeniu innych treści bez odpowiedniego odstępu, przez co wizualnie traci wyraźność,
- akceptacja jest pokazana wielokrotnie, podczas gdy odmowa występuje tylko raz i dodatkowo w sposób mało wyraźny (np. jako „Odmówić nieistotnych celów”).
Co zrobiła CNIL?
W ocenie przewodniczącego CNIL takie banery naruszają francuskie przepisy (art. 82). W konsekwencji CNIL wydała nakazy dostosowania banerów tak, aby uzyskana zgoda była ważna — w terminie jednego miesiąca.
Organ wzywa wszystkich interesariuszy, aby dopilnowali zgodności z wymaganiami RODO (GDPR) i dyrektywy ePrivacy.
Jeśli chcesz, mogę przerobić to na krótszy post na bloga (ok. 150–200 słów) albo przygotować checklistę „co poprawić w banerze cookies, żeby uniknąć zarzutów dark patterns”.
