Jakie są ramy prawne korzystania z plików cookie?

ODPOWIEDŹ

Ochronę poufności komunikacji w związku z wykorzystaniem plików cookie i podobnych rozwiązań regulują przede wszystkim:

• Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dalej „Dyrektywa 2002/58/WE”) oraz implementująca ją do polskiego porządku prawnego ustawa z 16 lipca 2004 r. Prawo telekomunikacyjne (Dz.U. z 2004 r. nr 171 poz. 1800 z późn. zm., dalej „UPT”).
• Rozporządzenie 2016/679 Parlamentu Europejskiego i Rady z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej „RODO”).

Z racji nakładających się obowiązków określonych w przywołanych wyżej przepisach, pierwszą rzeczą jest określenie relacji między nimi. W tym zakresie pragnę zwrócić uwagę na dwa postanowienia:

• Motyw 10 Dyrektywy 2002/58/WE: (…) Dyrektywę 95/46/WE (zgodnie z treścią art. 94 ust. 1 RODO Dyrektywa 95/46/WE została uchylona ze skutkiem od 25.5.2018 r., a zakres jej regulacji przekazano pod reżim RODO) stosuje się w szczególności do wszystkich spraw dotyczących ochrony podstawowych praw i wolności, które nie są szczegółowo objęte przepisami niniejszej dyrektywy, włączając zobowiązania nałożone na kontrolera oraz prawa jednostek.
• Motyw 173 RODO: niniejsze rozporządzenie powinno mieć zastosowanie do wszystkich tych kwestii dotyczących ochrony podstawowych praw i wolności
  w związku z przetwarzaniem danych osobowych, które nie podlegają szczególnym obowiązkom mającym ten sam cel, określonym w dyrektywie Parlamentu.

Powyższe jest zgodne z doktryną, że prawo regulujące kwestie szczegółowe (lex specialis) ma pierwszeństwo przed prawem regulującym jedynie kwestie ogólne (lex generalis). Zatem bezpośrednie zastosowanie w zakresie zapisywania lub uzyskiwania dostępu do plików cookie zapisanych na urządzeniu końcowym abonenta lub użytkownika końcowego będzie miał art. 173 i 174 UPT. RODO będzie miało zastosowanie w całości, wyłączając kwestie uregulowane szczegółowo w UPT, dotyczące przede wszystkim warunków uzyskania zgody abonenta lub użytkownika końcowego.

Pozostałe przepisy RODO, w tym zasady określające jakość danych, prawa osób, których dane dotyczą, poufność i bezpieczeństwo przetwarzania oraz kwestie przekazywania danych osobowych do państw trzecich będą miały zastosowanie w całej rozciągłości.