Niemieckie rozporządzenie o centralnym zarządzaniu zgodami

Jak działa to nowe rozporządzenie? Jakie ma zalety i wady? Czy jest praktyczne dla właścicieli stron? I co najważniejsze — czy naprawdę zmniejszy zalew banerów cookies, które frustrują użytkowników i komplikują zgodność z przepisami dla firm?

Podstawy: Czym jest centralny system zarządzania zgodami?

"Centralny system zarządzania zgodami ma na celu zmniejszenie liczby próśb o zgodę i zapewnienie prostszego rozwiązania dla użytkowników końcowych." (Źródło - Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

Centralny system zarządzania zgodami pozwala użytkownikom zapisać swoje preferencje dotyczące cookies w jednej scentralizowanej usłudze. Strony internetowe, które integrują tę usługę, mogą pobierać i stosować te preferencje bez konieczności wyświetlania indywidualnych banerów cookies przy każdej wizycie. Teoretycznie to sytuacja "korzystna dla obu stron": mniej banerów dla użytkowników i łatwiejsza zgodność z RODO dla firm.

Podstawą prawną tego rozporządzenia jest § 25 ustawy o ochronie danych w telekomunikacji i telemediach (TTDSG). Zgodnie z tą ustawą cookies i podobne technologie mogą być ustawiane tylko za zgodą użytkownika, chyba że są technicznie niezbędne. Centralny system zarządzania zgodami ma na celu standaryzację i uproszczenie tego procesu, rozwiązując zarówno problem frustracji użytkowników, jak i wyzwania związane ze zgodnością dla właścicieli stron.

Kontekst: Dlaczego Niemcy wprowadzają to rozporządzenie?

EinwV jest częścią niemieckich działań na rzecz poprawy zgodności z ogólnym rozporządzeniem o ochronie danych osobowych Unii Europejskiej (RODO) oraz jego krajowego odpowiednika w zakresie telekomunikacji — ustawy o ochronie danych w telekomunikacji i telemediach (TTDSG).

Zgodnie z tymi przepisami strony internetowe muszą uzyskać wyraźną zgodę użytkownika na cookies i technologie śledzenia, z wyjątkiem cookies ściśle niezbędnych do funkcjonowania strony. Doprowadziło to do powszechnego stosowania banerów cookies, które pogorszyły doświadczenia użytkowników i wywołały zamieszanie wokół zarządzania zgodami.

EinwV wprowadza scentralizowany system zarządzania zgodami, umożliwiający użytkownikom zapisywanie preferencji cookies w jednym miejscu. Strony uczestniczące w tym systemie mogą następnie automatycznie pobierać i stosować te preferencje, bez konieczności powtarzania próśb o zgodę.

Rozporządzenie to obowiązuje wyłącznie w Niemczech i jest niezależne od szerszych inicjatyw UE, takich jak proponowane rozporządzenie ePrivacy, które dąży do ujednolicenia przepisów dotyczących cookies w całej Europie. Międzynarodowi właściciele stron powinni pamiętać, że ten system nie jest obowiązkowy, a jego wdrożenie jest obecnie ograniczone do niemieckich użytkowników i firm.

Nasze doświadczenie i podejście do zarządzania zgodami

Podchodzimy do tematu zarządzania zgodami i ochrony danych z innej perspektywy. Podczas gdy wiele rozwiązań skupia się na dodawaniu kolejnych warstw złożoności — takich jak scentralizowane usługi zgód — my zadaliśmy sobie proste pytanie: Czy nie ma prostszego sposobu?

Naszą odpowiedzią było stworzenie rozwiązania, które całkowicie eliminuje potrzebę stosowania cookies i skomplikowanych banerów zgód. Zamiast obciążać doświadczenie użytkownika kolejnymi warstwami, wybraliśmy podejście, które w ogóle unika przetwarzania danych. Dlatego pozostajemy sceptyczni co do tego, czy scentralizowane usługi zgód naprawdę rozwiązują główny problem. Nasze doświadczenie pokazuje, że zbyt złożone systemy ochrony prywatności często prowadzą do większej frustracji użytkowników i zwiększonego nakładu pracy dla firm.

Zamiast hostować swoje wideo na YouTube, Vimeo czy Wistia, możesz hostować je u nas — całkowicie omijając potrzebę zarządzania zgodami. To nie tylko prostsze, ale daje Ci też znacznie więcej elastyczności w projektowaniu strony. Funkcje takie jak autoodtwarzanie wideo? Żaden problem. Sprawdź nasze funkcje i przekonaj się, jak mogą zmienić Twoje doświadczenie z hostingiem wideo.

Jakie są zalety centralnego zarządzania zgodami dla firm?

1. Mniejszy nakład techniczny Dzięki centralnej usłudze zgód firmy mogą zminimalizować zasoby potrzebne do wdrożenia i utrzymania indywidualnych banerów cookies. Jest to szczególnie korzystne dla małych i średnich przedsiębiorstw, które mogą nie mieć możliwości wdrażania złożonych rozwiązań ochrony danych.
2. Lepsze doświadczenie użytkownika (UX) Mniej inwazyjnych banerów cookies prowadzi do płynniejszego doświadczenia użytkownika, co może pozytywnie wpłynąć na wskaźniki czasu spędzonego na stronie i współczynniki konwersji. Płynniejsze przeglądanie pomaga zatrzymać użytkowników i poprawia ogólne zaangażowanie.
3. Ujednolicone standardy Centralne zarządzanie zgodami wprowadza ustandaryzowane ramy uzyskiwania zgody użytkownika. Upraszcza to zgodność z RODO i zmniejsza ryzyko problemów prawnych związanych z niespójnymi lub niezgodnymi mechanizmami zgód. To ujednolicone podejście przynosi korzyści nie tylko firmom, ale także wzmacnia zaufanie użytkowników dzięki jasnym i spójnym praktykom ochrony prywatności.

Jak to działa w praktyce?

Centralny system zarządzania zgodami pozwala użytkownikom zapisywać preferencje cookies w scentralizowanej usłudze, która udostępnia te dane uczestniczącym stronom. W praktyce proces ten jest podobny do integracji banera cookies za pomocą platformy zarządzania zgodami (CMP). Firmy wybierają centralnego dostawcę zgód, integrują go ze swoją stroną i pozwalają systemowi zarządzać preferencjami cookies. Oto jak wygląda proces krok po kroku:

1. Integracja certyfikowanej „centralnej usługi zgód"

• Wybierz centralną usługę zgód certyfikowaną zgodnie z nowym rozporządzeniem.
• Zintegruj usługę ze swoją stroną za pomocą SDK (Software Development Kit) lub plugin.
• Wdrożenie jest podobne do istniejących CMP — usługa jest osadzona w skrypcie nagłówka strony i kontroluje wszystkie cookies i skrypty.

2. Pobieranie danych użytkownika przez usługę

Gdy użytkownik odwiedza stronę, centralna usługa zgód sprawdza za pomocą Browser ID lub innego unikalnego identyfikatora, czy preferencje zostały już zapisane.

• Jeśli preferencje istnieją:
  • Usługa informuje stronę, które cookies i skrypty są dozwolone.
  • Aktywowane zostają tylko zatwierdzone skrypty (np. Google Analytics lub YouTube).
• Jeśli preferencje nie istnieją:
  • Strona prosi użytkownika o ustawienie preferencji za pośrednictwem centralnej usługi zgód.
  • Po zapisaniu preferencje są automatycznie stosowane przy kolejnych wizytach.

3. Dostosowanie treści strony

Na podstawie zapisanych preferencji:

• Dozwolone treści: Zatwierdzone cookies i skrypty (np. wideo lub narzędzia śledzenia) są aktywowane automatycznie.
• Zablokowane treści: Użytkownicy widzą alternatywne komunikaty, np.: "To wideo jest zablokowane, ponieważ cookies nie zostały włączone."

Użytkownicy mogą modyfikować swoje preferencje bezpośrednio przez centralną usługę lub zintegrowany interfejs na Twojej stronie.

4. Dokumentacja i identyfikowalność

Centralna usługa rejestruje całą aktywność związaną ze zgodami, w tym:

• Znacznik czasu zgody.
• Pochodzenie zgody (np. strona, na której preferencje zostały ustawione po raz pierwszy).
• Okres ważności zgody.

Firmy mogą uzyskać dostęp do tych danych przez panel zarządzania, aby wykazać zgodność z przepisami. Jednak w celu ochrony prywatności użytkowników firmy nie mogą przeglądać szczegółów dotyczących innych stron, na których zostały zapisane preferencje użytkownika.

Jakie wymagania musi spełnić centralny serwis zarządzania zgodami?

Aby centralny serwis zarządzania zgodami mógł uzyskać certyfikację na mocy nowego rozporządzenia, musi spełnić określone kryteria w trzech kluczowych obszarach: zgodność prawna, standardy techniczne i funkcjonalność. Te wymagania zapewniają, że serwis chroni prawa użytkowników, gwarantuje niezawodne bezpieczeństwo danych i bezproblemowo integruje się z istniejącymi technologiami.

1. Wymagania prawne

Serwis musi spełniać rygorystyczne standardy prawne, zapewniając ochronę praw użytkowników i zgodność z zasadami RODO.

Kluczowe wymagania:

• Dobrowolna i świadoma zgoda:
  • Zgoda musi być wyrażona dobrowolnie, w sposób konkretny i świadomy.
  • Użytkownicy nie mogą być manipulowani przez design (np. nudging) ani zmuszani do wyrażenia zgody.
• Prawo do wycofania i przejrzystość:
  • Użytkownicy muszą mieć możliwość wycofania lub zmiany zgody w dowolnym momencie.
  • Serwis musi udostępniać te opcje w sposób jasny i łatwo dostępny.

Odniesienie do rozporządzenia: "Centralne serwisy zarządzania zgodami [...] są zobowiązane do przejrzystej ochrony praw użytkowników końcowych i umożliwienia im podjęcia wolnej decyzji." (BT-Drs. 20/12718, s. 4 - Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

2. Wymagania techniczne

Certyfikowane serwisy zarządzania zgodami muszą spełniać najwyższe standardy bezpieczeństwa danych i niezawodności technicznej.

Kluczowe wymagania:

• Bezpieczeństwo danych:
  • Dane użytkowników muszą być szyfrowane i chronione przed nieautoryzowanym dostępem.
  • Serwis musi stosować zasady privacy-by-design, minimalizując ilość zbieranych danych.

• Wysoka dostępność:
  • Serwis musi być niezawodny i oferować odpowiedzi o niskim opóźnieniu, ponieważ strony internetowe odpytują go przy każdej wizycie.

• Możliwości integracji:
  • Serwis powinien obsługiwać wszystkie główne platformy i narzędzia zewnętrzne (np. Google Analytics, YouTube), zapewniając szeroką kompatybilność.

Odniesienie do rozporządzenia: "Certyfikowane serwisy muszą zapewniać ochronę danych przed nieautoryzowanym dostępem oraz stałą zgodność z przepisami o ochronie danych." (BT-Drs. 20/12718, s. 6 - Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

3. Wymagania funkcjonalne

Oprócz zgodności prawnej i technicznej, centralne serwisy zarządzania zgodami muszą spełniać wymagania funkcjonalne, ułatwiając wdrożenie firmom i obsługę użytkownikom końcowym.

Kluczowe funkcje:

• Interoperacyjność: Serwis musi bezproblemowo integrować się z istniejącymi systemami zarządzania zgodami i architekturami stron internetowych.
• Dostępność dla użytkowników: Interfejsy muszą być przyjazne dla użytkownika, umożliwiając łatwe zarządzanie preferencjami.

• Pełne logowanie: Serwis musi dokumentować aktywność związaną ze zgodami (np. znacznik czasu, źródło zgody i ważność) w celu śledzenia i audytu zgodności.

Sprawdzian rzeczywistości: o ile mniej banerów jest realistycznie możliwe?

Głównym celem rozporządzenia o centralnym zarządzaniu zgodami (EinwV) jest ograniczenie liczby natrętnych banerów cookies. Jednak praktyczna implementacja rodzi poważne pytania o skuteczność. Intencja jest jasna, ale bliższe przyjrzenie się realiom pokazuje, dlaczego redukcja banerów może pozostać ograniczona.

1. Technicznie niezbędne cookies są już wyłączone z obowiązku

Strony internetowe, które wykorzystują wyłącznie technicznie niezbędne cookies, już teraz nie wymagają banerów cookies. Przykłady:

• Strony firmowe bez śledzenia użytkowników i narzędzi marketingowych.
• Sklepy internetowe, które używają cookies wyłącznie do koszyka zakupowego lub zarządzania sesją.

W tych przypadkach centralny system zarządzania zgodami nie wnosi żadnej wartości dodanej, ponieważ baner w ogóle nie jest wymagany. Nasza strona jest tego doskonałym przykładem: czy widziałeś baner cookies, wchodząc na ten artykuł? Prawdopodobnie nie. Dla firm, które poważnie traktują prywatność użytkowników, nowe rozporządzenie nie jest koniecznością.

2. Uczestnictwo jest dobrowolne

Zgodnie z rozporządzeniem strony internetowe nie są zobowiązane do wdrożenia centralnego systemu zarządzania zgodami:

"Integracja serwisów zarządzania zgodami przez operatorów stron internetowych jest dobrowolna (§ 18 ust. 1 EinwV)." (Źródło: Urząd Ochrony Danych Dolnej Saksonii - Uwaga: oryginał jest w języku niemieckim, przetłumaczyliśmy cytat)

Ta dobrowolność rodzi kilka wyzwań:

• Strategiczna kontrola nad danymi: Niektóre firmy mogą preferować własne banery zgód, aby zachować kontrolę nad danymi użytkowników.
• Obawy o koszty: Wdrożenie centralnego systemu wymaga dostosowań technicznych i dodatkowych wydatków.
• Wymagania międzynarodowe: Firmy o globalnym zasięgu mogą potrzebować alternatywnych rozwiązań zapewniających zgodność w różnych jurysdykcjach.

Bez powszechnego wdrożenia wpływ systemu prawdopodobnie pozostanie ograniczony do wąskiego grona uczestników.

3. Usługi zewnętrzne komplikują wdrożenie

Większość stron internetowych korzysta z wielu narzędzi zewnętrznych, takich jak YouTube, Google Analytics czy HubSpot. Narzędzia te często wymagają indywidualnych ustawień zgody.

Nawet jeśli użytkownicy wyrażą zgodę w centralnym systemie, ich preferencje muszą dokładnie odpowiadać narzędziom używanym przez daną stronę.

Przykład:

• Użytkownik wyraża zgodę na Google Analytics, ale odmawia HubSpot.
• Strony internetowe często korzystają z unikalnych kombinacji 30–50 usług zewnętrznych, co sprawia, że jest mało prawdopodobne, aby wcześniej ustawione preferencje idealnie pasowały.

W rezultacie firmy mogą nadal potrzebować banerów cookies do obsługi usług, które nie pasują do centralnego systemu.

4. Zachowania użytkowników: kluczowe wyzwanie

Aby system działał, użytkownicy muszą aktywnie zapisać swoje preferencje. Jednak wzorce zachowań wskazują na problemy:

• Zachowanie „Zaakceptuj wszystko":
  • Może to być wygodne dla firm, ale jest sprzeczne z celem RODO dotyczącym świadomej zgody.
  • Wielu użytkowników klika „Zaakceptuj wszystko", aby ominąć banery, nie rozumiejąc ustawień.
• Rzadkie aktualizacje preferencji:
  • Użytkownicy rzadko wracają i aktualizują swoje ustawienia, co oznacza, że zapisane preferencje mogą się zdezaktualizować.
  • W takim przypadku banery mogą się ponownie pojawić, niwecząc korzyści centralnego zarządzania zgodami.

5. Krajowe różnice w regulacjach

Centralny system zarządzania zgodami obowiązuje wyłącznie w Niemczech, co stwarza problemy dla międzynarodowych stron internetowych:

"Gdy użytkownicy przekraczają wirtualną 'granicę' w internecie, obowiązują istniejące przepisy. W przypadku stron o orientacji międzynarodowej oznacza to konieczność zróżnicowanych dostosowań." (Źródło: IITR - Uwaga: oryginał jest w języku niemieckim, przetłumaczyliśmy cytat)

Kluczowe problemy:

• W krajach takich jak Francja, gdzie CNIL egzekwuje surowsze zasady dotyczące zgody na cookies, banery pozostają obowiązkowe.
• Międzynarodowe strony internetowe muszą albo:

W praktyce większość firm prawdopodobnie wybierze te drugie opcje, co jeszcze bardziej ograniczy wpływ rozporządzenia.

6. Ograniczony zakres: TTDSG a RODO

Istotnym zarzutem wobec rozporządzenia jest jego wąski zakres:

"Serwisy zarządzania zgodami obejmują jedynie zgody na podstawie § 25 TTDSG, a nie zgody wymagane na mocy RODO. W rezultacie serwisy te nie upraszczają obsługi zgód." (Źródło: Urząd Ochrony Danych Dolnej Saksonii - Uwaga: oryginał jest w języku niemieckim, przetłumaczyliśmy cytat)

TTDSG reguluje zgody specyficzne dla technologii (np. ustawianie cookies), podczas gdy RODO reguluje zgody specyficzne dla danych (np. przetwarzanie zebranych danych).

Przykład:

Używasz Google Analytics na swojej stronie.

• Wymóg TTDSG: Zgoda jest potrzebna na zapisanie pliku cookie śledzącego na urządzeniu użytkownika.
• Wymóg RODO: Zgoda jest potrzebna na przetwarzanie danych (np. adres IP, zachowanie) zebranych przez cookie.

Centralny system obsługuje wymóg TTDSG, ale wymóg RODO pozostaje nierozwiązany, zmuszając firmy do zarządzania dwoma oddzielnymi systemami.

7. Co dalej? RODO już jest słabo wdrażane...

Przyjrzyjmy się jednemu z najważniejszych punktów rozporządzenia:

„Centralne usługi zarządzania zgodami [...] są zobowiązane do przejrzystej ochrony praw użytkowników końcowych i umożliwienia im podjęcia wolnej decyzji." (Źródło: BT-Drs. 20/12718, s. 4 - Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

Patrząc na stan rzeczy kilka lat po wprowadzeniu RODO, sytuację można opisać jako mniejszy lub większy bałagan. Z jednej strony są strony internetowe, które robią wszystko poprawnie. Z drugiej strony badania pokazują, że wiele witryn nadal nie jest zgodnych z RODO (Źródło: arXiv.org).

„Głównym problemem jest to, że dostawcy usług cyfrowych nie są zobowiązani do akceptowania decyzji użytkowników podjętych za pośrednictwem usług zarządzania zgodami (§ 19 EinwV). Jeśli użytkownicy odrzucą zgodę, dostawcy mogą wielokrotnie o nią prosić, ile tylko chcą. Wywiera to na użytkowników presję, by wyrażali zgodę. Jest to niedopuszczalne, sprzeczne z wymogami RODO i odbiera użytkownikom motywację do korzystania z usług zarządzania zgodami. Rozporządzenie musi stanowić, że dostawcy usług cyfrowych respektują decyzje użytkowników." (Źródło: DATEV Magazin - Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

Największe problemy z zarządzaniem zgodami dziś

• Błędnie sklasyfikowane usługi Raz za razem, czy to z niewiedzy, czy celowo, usługi są umieszczane w kategorii „niezbędnych cookies" i nie można ich odrzucić. W takich przypadkach uzyskana zgoda jest nieważna. Na przykład Google Analytics jednoznacznie wymaga zgody, podobnie jak YouTube, Vimeo i inne serwisy hostingowe wideo (nawet w wariantach „NoCookie"), a także Google reCAPTCHA.

• Dark patterns – wprowadzające w błąd banery cookies Wiele stron projektuje swoje banery cookies tak, aby wyróżniać przycisk „akceptuj", jednocześnie ukrywając lub utrudniając znalezienie opcji „odrzuć". Te „dark patterns" mają na celu manipulowanie użytkownikami w celu uzyskania zgody i zostały uznane za niezgodne z prawem przez organy ochrony danych.

„Zbadaliśmy 100 najczęściej odwiedzanych stron internetowych w kraju pod kątem dark patterns i stwierdziliśmy, że cztery na pięć używają manipulacyjnych banerów cookies." (Źródło: Netzpolitik.org - Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

• Nudging Niektóre firmy bombardują odwiedzających banerami cookies tak często i uporczywie, że użytkownicy w końcu się poddają i wyrażają zgodę. Dzieje się tak np. gdy strony lub aplikacje proszą o zgodę przy każdej nowej wizycie i nie zapisują odmów.

• Modele „Pay or OK" Niektóre portale informacyjne, takie jak SPIEGEL, stosują modele, w których użytkownicy muszą albo wyrazić zgodę na przetwarzanie danych, albo wykupić subskrypcję. Takie podejście zostało skrytykowane przez organizacje zajmujące się ochroną prywatności, takie jak noyb, i jest obecnie przedmiotem sporów prawnych. (Źródło: noyb)
• Automatyczna zgoda przez scrollowanie Niektóre strony interpretują czynności takie jak scrollowanie lub samo przebywanie na stronie jako zgodę użytkownika na przetwarzanie danych, bez wyraźnego jej uzyskania. Taka praktyka narusza wymogi RODO dotyczące świadomej i dobrowolnej zgody. (Źródło: Usercentrics)

8. Dobrze, ale dlaczego mnie to powinno obchodzić?

Ponieważ to ty, a nie centralna usługa zarządzania zgodami, poniesiesz odpowiedzialność. Jeśli twoja implementacja jest niezgodna z przepisami, to twoja firma ponosi ryzyko prawne i finansowe.

Podsumowanie: Cóż...

Komisarz ds. Ochrony Danych Dolnej Saksonii podsumowuje to doskonale:

„LfD Niedersachsen zakłada, że obecne praktyki dotyczące zgód na stronach internetowych niestety niewiele się zmienią, a użytkownicy nadal będą nękani wyświetlanymi prośbami o zgodę." (Źródło: Organ ochrony danych Dolnej Saksonii Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

Nowe rozporządzenie o centralnym zarządzaniu zgodami jest dobrze pomyślane, ale budzi poważne wątpliwości co do jego skuteczności i praktycznego wdrożenia.

„Nawiasem mówiąc, problem uciążliwych banerów zgody można by łatwo rozwiązać bez wprowadzania usług zarządzania zgodami. Operatorzy stron internetowych musieliby po prostu konsekwentnie projektować swoje witryny w sposób przyjazny prywatności — na przykład unikając usług zewnętrznych i cookies, szczególnie w przypadku nadmiernego i nieprzewidywalnego marketingu cyfrowego. Co więcej, wiele banerów zgody jest tak uciążliwych, ponieważ użytkownicy nie mogą ich po prostu «odkliknąć»." (Źródło: Organ ochrony danych Dolnej Saksonii Uwaga: oryginał jest w języku niemieckim. Przetłumaczyliśmy tekst.)

Nasza perspektywa

Zamiast opracowywać kolejne skomplikowane niemieckie rozwiązanie, które w praktyce pozostawia tyle pytań bez odpowiedzi, dlaczego nie skupić się na całkowitym wyeliminowaniu problemu?

Właśnie dlatego na nowo przemyśleliśmy hosting wideo z podejściem Prywatność przede wszystkim:

• Najnowocześniejszy hosting bez wymogu zgody i śledzenia użytkowników.
• Wideo, które odtwarza się dla wszystkich odwiedzających — bez zarządzania zgodami, bez nakładek i bez przesyłania danych do USA.

Rozwiążmy problem u źródła, zamiast budować wokół niego kolejne skomplikowane struktury.