Za każdym razem, gdy przychodzi mi zmierzyć się z plikami cookies, dochodzę do wniosku że zdecydowanie wolę ciasteczka na talerzu niż na stronie internetowej. 😊 W ostatnim czasie, Wojewódzki Sąd Administracyjny w Warszawie (dalej także: WSA w Warszawie) wypowiadając się w temacie cookies z jednej strony dolał oliwy do ognia, ale z drugiej – być może wydane przez ten Sąd rozstrzygnięcie raz na zawsze położy kres towarzyszącym administratorom witryn internetowych bolączkom dotyczącym tego, czy korzystanie z ciasteczek wiąże się z wykorzystywaniem danych osobowych czy też nie [1].

Tło rozstrzygnięcia wydanego przez WSA

Wyrok WSA w Warszawie jest wynikiem skargi złożonej na decyzję PUODO, o której już pisaliśmy na Blogu <TUTAJ>.  W celu przybliżenia rozstrzygnięcia PUODO i sedna sprawy, poniżej krótkie streszczenie jej przebiegu.

Użytkownik złożył skargę do PUODO na działanie strony internetowej, która wyposażona w ciasteczka automatycznie pobrała i udostępniła podmiotom trzecim jego adres IP oraz nadała cookie ID (identyfikator cookie), tym samym pozwalając na ustalenie części historii wyszukiwania. Sprawa trafiła do PUODO, albowiem Spółka do której należała witryna, nie uwzględniła żądania internauty w zakresie dostępu do wyżej wskazanych danych i ich usunięcia. W wydanej przez siebie decyzji Prezes Urzędu Ochrony Danych Osobowych stanął po stronie użytkownika, wskazując, iż pliki cookies mogą działać i zbierać informacje dotyczące użytkownika oraz jego aktywności w sieci wyłącznie wówczas, kiedy wyrazi on na to zgodę w sposób aktywny. Oznacza to, iż nie może to być zgoda bierna udzielona jedynie poprzez domyślne ustawienia przeglądarki internetowej. Według PUODO automatycznie ustawiona zgoda nie spełnia wymogów RODO, albowiem unijne rozporządzenie wymaga dla zgody elementów: dobrowolności, świadomości i konkretności, o których ciężko mówić w sytuacji domyślnych ustawień pozwalających na automatyczną aktywność ciasteczek. W konsekwencji Spółka, której działanie zostało zaskarżone, została przez PUODO upomniana i zobowiązana do uwzględnienia żądania internauty.

Wyrok WSA w Warszawie

Spółka, wobec której została wydana decyzja PUDO, postanowiła zaskarżyć to rozstrzygnięcie. W konsekwencji, Wojewódzki Sąd Administracyjny w Warszawie zakwestionował rozstrzygnięcie organu nadzorczego. W wydanym wyroku Sąd ten wskazał, iż na kanwie tej konkretnej sprawy PUODO nie wyjaśnił należycie, dlaczego adres IP oraz identyfikator cookies uznał za dane osobowe. Problem dotyczy w szczególności adresu IP, ponieważ nie zawsze jest on daną osobową. I faktycznie, ciężko podważyć takie stanowisko, albowiem  adres IP jest dynamiczny (tj. może on ulec zmianie), a nadto dotyczy on bardziej urządzenia czy sieci, z których korzystać może niekoniecznie tylko jeden użytkownik, zatem w takiej sytuacji, co do zasady, ciężko mówić chociażby o pośredniej możliwości ustalenia tożsamości danej osoby, a tym samym o danych osobowych. O adresie IP też już co nie co napisaliśmy <TUTAJ>.

Co dalej?

W ramach wydanego wyroku, WSA uchyliło decyzję PUODO, ale organ nadzorczy nie poddaje się – według opublikowanych informacji, rozstrzygnięcie WSA zostało zaskarżone do Naczelnego Sądu Administracyjnego. My swoje zdanie przedstawiliśmy już wcześniej <TUTAJ> i <TUTAJ>, niemniej jesteśmy niezmiernie ciekawi, jaką decyzję podejmie NSA, tym bardziej iż z doniesień prasowych [2] wynika, iż obecnie PUODO wstrzymuje się z rozstrzyganiem podobnych spraw – czy zatem szykuje się rewolucja w podejściu do plików cookies? Z lekkimi wypiekami na twarzy, czekamy zatem jak potoczą się dalsze losy ciasteczek. 😊

[1] Wyrok WSA w Warszawie z dnia 11 lipca 2022r. w sprawie o sygnaturze akt II SA Wa/3993/21

[2] takie informacje wynikają z artykułu dostępnego pod adresem:

https://www.rp.pl/dane-osobowe/art37253781-sad-adres-ip-i-pliki-cookies-nie-zawsze-stanowia-dana-osobowa