🍪 Ciasteczka na stronach internetowych: co to, po co to i dlaczego wszyscy chcą twojej zgody?

Nie ma to jak wejść na nową stronę i pierwsze co widzisz to wyskakujący baner:

„Ta strona używa plików cookies! Kliknij ‘akceptuję’, żebyśmy mogli cię śledzić jak ninja w kapciach.”

Super wkurzające! Szczególnie, gdy te banery zasłaniają niemal całą zawartość strony. A jeszcze bardziej denerwujące, gdy klikniesz, że się nie zgadzasz i przenosi Cię gdzieś indziej i nie jesteś w stanie zobaczyć tego czegoś po co przyszłaś na daną stronę. Mi się to kilka razy zdarzyło i delikatnie mówiąc cholera mnie wzięła.

Ale o co właściwie chodzi z tymi ciasteczkami? Czy ktoś naprawdę zostawia ci ciastko na komputerze? I czy musisz się tym martwić?

Rozpakujmy temat.

Co to są ciasteczka?

Pliki cookies (ciasteczka) to małe, niewinne z wyglądu pliki tekstowe, które strona internetowa zapisuje na twoim urządzeniu: komputerze, tablecie, telefonie, a może nawet na inteligentnym tosterze, jeśli ten ma przeglądarkę. Każde ciasteczko przechowuje malutki pakiecik danych, który pozwala stronie „pamiętać” coś o tobie, gdy ją odwiedzasz , albo, co często bardziej istotne, gdy odwiedzasz ją ponownie.

Pliki te przechowywane są lokalnie w pamięci twojej przeglądarki. Każda przeglądarka (Chrome, Safari, Firefox, Edge, Opera itd.) ma własny schowek na ciasteczka i zazwyczaj pozwala ci je podejrzeć, usunąć albo zablokować całkowicie. Nie są to więc pliki, które wędrują gdzieś w chmurze, są zapisane na twoim urządzeniu i to ty, teoretycznie, masz nad nimi kontrolę.

Jeśli chcesz się ich pozbyć (na przykład po podejrzanej sesji zakupów o 2 w nocy albo po wyjątkowo nachalnej kampanii reklamowej z czerwonym czajnikiem), możesz to zrobić ręcznie. W ustawieniach swojej przeglądarki znajdziesz zakładkę „Prywatność” albo „Dane witryn” i tam można usunąć pojedyncze ciasteczka, wszystkie naraz albo ustawić automatyczne czyszczenie przy zamykaniu przeglądarki. Możesz też zdecydować, które strony mogą ciasteczka zapisywać, a które dostaną twarde „nie”.

Warto jednak wiedzieć, że usunięcie ciasteczek często oznacza, że strona zapomni wszystko, co o tobie wiedziała. Wyloguje cię, zapomni co było w koszyku, przywróci domyślny język i może znów pokazać ci baner, który już kiedyś zamknęłaś. To trochę jak wciśnięcie „reset” na znajomość z daną stroną.

A co się dzieje z danymi przechowywanymi w ciasteczkach? To zależy od ich rodzaju. Niektóre ciasteczka (tzw. sesyjne) znikają, gdy tylko zamkniesz przeglądarkę jakby nigdy nic. Inne (trwałe) potrafią siedzieć cicho tygodniami, miesiącami, a nawet latami, cierpliwie czekając, aż wrócisz na stronę. Same ciasteczka nie są groźne, to po prostu dane. Ale jeśli służą do śledzenia aktywności, mogą trafiać na zewnętrzne serwery, gdzie są analizowane i wykorzystywane przez firmy reklamowe, analityczne czy marketingowe. I tu właśnie pojawiają się wątpliwości natury prywatności, bo nagle twoje „po prostu przeglądałam buty” staje się raportem o zachowaniu konsumenckim wysłanym do pięciu firm z różnych krajów.

Więc tak, ciasteczka są małe. Ale potrafią mieć wielkie ambicje.

Do czego służą ciasteczka? (czyli jak internet cię pamięta)

Ciasteczka potrafią naprawdę wiele. Przede wszystkim pozwalają stronie rozpoznać użytkownika i kontynuować sesję, dzięki nim nie musisz logować się co pięć sekund, kiedy przechodzisz z jednej podstrony na drugą. To one „trzymają” cię zalogowaną, pamiętają co masz w koszyku, nawet jeśli przypadkowo zamkniesz kartę i wrócisz za godzinę.

Służą też do zapamiętywania ustawień, na przykład wyboru języka, preferencji dotyczących układu strony, motywu jasnego lub ciemnego albo tego, że raz już kliknęłaś „nie chcę oglądać tego popupu więcej”.

Strony wykorzystują też ciasteczka do celów analitycznych, śledząc co użytkownicy klikają, ile czasu spędzają na poszczególnych podstronach i kiedy w panice wychodzą z serwisu. Dzięki temu właściciele stron mogą optymalizować treści, zmieniać układ strony i, nie oszukujmy się, próbować lepiej ci coś sprzedać.

Ale to dopiero rozgrzewka. Ciasteczka marketingowe, te małe szpiegusy, są mistrzami w śledzeniu cię po całym internecie. Kiedy raz obejrzysz czerwony czajnik na stronie sklepu z AGD, to później ten sam czajnik będzie za tobą chodził jak zbłąkany pies. Wchodzisz na portal informacyjny? Czajnik. Sprawdzasz pogodę? Czajnik. Czytasz o czyszczeniu karmnika dla ptaków? Zgadnij co – czajnik. To zasługa ciasteczek reklamowych, które gromadzą dane o twoich zachowaniach i upodobaniach, a potem umożliwiają firmom targetowanie reklam idealnie dopasowanych do ciebie. Pamiętasz jak kiedyś mówiło się, że telefon nas podsłuchuje? To nie telefon tylko ciasteczka (i google, ale to inna historia)!

Strony społecznościowe, takie jak Facebook czy X (dawniej Twitter), też lubią ciasteczka. Dzięki nim wiedzą, że odwiedzasz witryny, które mają zintegrowany przycisk “Udostępnij”, nawet jeśli nigdy nic nie udostępniasz. Ciasteczka działają w tle, zbierając informacje, a twoja internetowa osobowość staje się coraz bardziej precyzyjna. Z czasem mogą z niej wyjść wnioski, których nawet ty o sobie nie byłabyś świadoma („ten człowiek nie tylko lubi Maltesersy, on je traktuje jak religię”).

Dlaczego ciasteczka są potrzebne?

Wbrew pozorom, ciasteczka to nie tylko narzędzie szpiegowskie. W rzeczywistości wiele stron internetowych nie może bez nich funkcjonować prawidłowo. Gdyby nagle całkowicie wyłączyć ich używanie, użytkownik mógłby doświadczyć klasycznego „co krok to restart”. Wyobraź sobie robienie zakupów online bez ciasteczek: dodajesz produkt do koszyka, przechodzisz dalej… i wszystko znika. Zaczynasz od nowa. A potem znów. I znów.

Ciasteczka są niezbędne w systemach logowania, panelach użytkownika, sklepach internetowych, aplikacjach webowych, bankowości online, forach, systemach rezerwacji… właściwie w każdym miejscu, gdzie cokolwiek personalizujesz lub gdzie strona ma pamiętać twoje działania przez dłużej niż 5 sekund.

Ale oprócz czysto funkcjonalnych zastosowań, wiele stron, szczególnie tych nastawionych na sprzedaż, e-commerce, marketing czy media społecznościowe, wykorzystuje ciasteczka, by zbierać dane i wyciągać z nich wnioski. Im więcej wiedzą o użytkownikach, tym skuteczniej mogą ich angażować, reklamować im produkty i zachęcać do konwersji (czyli, mówiąc wprost – do wydania pieniędzy).

Skąd się wzięło całe to ciasteczkowe zamieszanie?

Wszystko zaczęło się w Unii Europejskiej. W 2002 roku wprowadzono tzw. dyrektywę ePrivacy, znaną potocznie jako “dyrektywa o ciasteczkach”. Początkowo była jak taka luźna prośba babci: „daj znać, że podajesz ciastko”. Ale z czasem, a dokładniej w 2009 roku, dyrektywę zaktualizowano, dodając obowiązek uzyskania zgody użytkownika na przechowywanie i dostęp do informacji na jego urządzeniu. I wtedy się zaczęło.

To był moment, w którym pojawiły się banery ciasteczkowe. Najpierw nieśmiało, potem z impetem. Czasem wyglądające jak uprzejma prośba („hej, czy możemy zapisać jedno ciasteczko?”), a czasem zasłaniające pół ekranu i wymagające kliknięcia czterech checkboxów, zanim w ogóle zobaczysz stronę.

Później nadeszło RODO (czyli ogólne rozporządzenie o ochronie danych osobowych), które zaczęło obowiązywać w 2018 roku i podkręciło śrubę. Zgoda musiała być świadoma, jednoznaczna i dobrowolna, a nie, jak dotychczas, domyślna albo ukryta pod tekstem „korzystając z tej strony, zgadzasz się”. Od tej pory ciasteczkowe banery musiały być bardziej szczegółowe, przejrzyste i, co najważniejsze, musiały dawać prawdziwy wybór.

Czy banery informujące o ciasteczkach są konieczne?

Wszystko zależy od tego, jakich ciasteczek używane są na danej stronie internetowej.

Jeśli na stronie znajdują się tylko pliki absolutnie niezbędne do działania, np. te, które umożliwiają logowanie, zapamiętanie preferencji językowych czy obsługę koszyka, wtedy strona nie potrzebuje zgody użytkownika, a jedynie przejrzystą informację (np. w polityce prywatności).

Ale jeśli używa ciasteczek analitycznych, marketingowych, remarketingowych albo współpracuje z zewnętrznymi dostawcami reklam (Google, Meta, TikTok, etc.), to musi uzyskać aktywną zgodę użytkownika. I to zanim te ciasteczka zostaną w ogóle aktywowane. Co ważne, zgoda nie może być „domyślna” ani ukryta. Użytkownik musi mieć realny wybór: „zaakceptuj” albo „odrzuć”.

Nawet jeśli dana strona działa poza UE, ale odwiedzają ją użytkownicy z Europy, też musi przestrzegać tych zasad. Prawo RODO działa jak kosmiczna mgła: obejmuje nie miejsce serwera, ale miejsce pobytu użytkownika.

Jeśli strona nie ma banera o ciasteczkach, a powinna go mieć, to… robi się ciepło.
W Unii Europejskiej brak banera lub nieprawidłowe informowanie o cookies to naruszenie prawa. Jeśli strona korzysta z plików cookies innych niż „niezbędne” (czyli np. analitycznych, reklamowych, remarketingowych) i nie uzyskała świadomej zgody użytkownika, to łamie przepisy. To może prowadzić do grzywny. Przykładowo Francuski CNIL ukarał Google i Facebooka grzywnami po 100 i 60 milionów euro za nieprawidłowe zgody na cookies. Niemiecki BfDI i inne kraje UE także lubią sięgać po portfel.

Oczywiście, mała strona z blogiem o kotach raczej nie dostanie miliona kary, ale nadzór może wysłać ostrzeżenie, żądanie dostosowania albo nałożyć mniejszą grzywnę (kilkaset lub kilka tysięcy euro — co i tak może boleć).

Podobno, tak twierdzą „eksperci” jeśli użytkownik widzi, że strona nie pyta o zgodę, a mimo to śledzi jego zachowanie, może poczuć się jak w tanim thrillerze z ukrytymi kamerami. Brak banera to sygnał: „robimy coś za twoimi plecami”, a to zaufania nie buduje. Mnie osobiście to nie wzrusza, a wręcz doceniam, że nie muszę klikać w kolejny baner, ale być może to tylko ja tak mam.

W USA, Australii czy Indiach nie ma jednego, ogólnego obowiązku pokazywania banera, ale są lokalne przepisy (np. Kalifornia i jej CCPA), które wymagają informowania o śledzeniu i pozwalają użytkownikowi zrezygnować z gromadzenia danych. Więc nawet jeśli strona prowadzona jest „z dala od Europy”, ale odwiedza ją ktoś z UE, przepisy unijne nadal mają zastosowanie.

I co teraz?

Jeśli prowadzisz stronę, warto przyjrzeć się, z jakich cookies faktycznie korzystasz. Może się okazać, że nawet nieświadomie masz osadzone narzędzia śledzące (Google Fonts i YouTube też potrafią zostawić ślad). Jeśli korzystasz z gotowego CMS-a, sprawdź, jakie wtyczki dodają ciasteczka.

A jeśli jesteś po drugiej stronie, jako użytkownik, wiedz, że te wszystkie banery, choć irytujące, są po to, żeby dać ci większą kontrolę nad własną prywatnością. Choć czasem wygląda to bardziej jak kontrola pozorna („chcesz dać nam dane dobrowolnie, czy dobrowolnie z uśmiechem?”), to jednak zmierzamy w kierunku większej przejrzystości.

A teraz… zgadnij, co zostawiła ci moja strona?

Tak. Ciasteczko. Ale tylko jedno. I tylko po to, żeby pamiętać, że przeczytałaś ten wpis. 😉