Czy pliki cookie to dane osobowe?

ODPOWIEDŹ

Pliki cookie mogą stanowić dane osobowe.

Odpowiedź na to pytanie zaczniemy od rozważań teoretycznych. Według art. 4 pkt 1 RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Motyw 30 RODO wskazuje z kolei, że osobom fizycznym mogą zostać przypisane identyfikatory internetowe, takie jak adresy IP, identyfikatory plików cookie, generowane przez ich urządzenia, aplikacje, narzędzia i protokoły czy też inne identyfikatory, generowane na przykład przez etykiety RFID. Jak to interpretować? Jeżeli pliki cookie mogą zidentyfikować osobę za pośrednictwem jej urządzenia, powinniśmy je uważać za dane osobowe. Potwierdza to motyw 26 RODO, który wskazuje, że nawet spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać za informacje o możliwej do zidentyfikowania osobie fizycznej.

Kiedy to może mieć miejsce? Na przykład, gdy wykorzystujemy pliki cookie do uwierzytelniania użytkownika, co wiąże się z przetwarzaniem jego danych osobowych, ponieważ służy ono do umożliwienia użytkownikowi zalogowania się na swoje konto w usłudze online.

Inny przykład, kiedy pliki cookie to dane osobowe, to pliki cookie strony trzeciej umieszczone na stronie internetowej danej organizacji (np. Google Analytics). W tej kwestii wypowiedział się francuski organ nadzorczy, wskazując m.in. że w ramach funkcji Google Analytics przetwarzane są następujące kategorie danych osobowych:

• identyfikator osoby odwiedzającej stronę (identyfikator pliku cookie Google Analytics, tj. identyfikator klienta Google Analytics);
• w przypadku osób, które zalogowały się na stronie internetowej za pomocą konta użytkownika – wewnętrzny identyfikator;
• ewentualne identyfikatory zleceń;
• adresy IP.