Opt-in kontra opt-out: dwa modele zgody wyjaśnione

Na świecie funkcjonują dwa zasadniczo odmienne podejścia do zgody na pliki cookie. Unia Europejska wymaga modelu opt-in: żadnych plików cookie, dopóki użytkownik nie wyrazi zgody. Stany Zjednoczone (w większości stanów) dopuszczają model opt-out: pliki cookie są instalowane domyślnie, a użytkownik może się nie zgodzić. Zrozumienie tych dwóch modeli — ich podstawy prawnej, konsekwencji oraz tego, gdzie każdy z nich obowiązuje — jest niezbędne dla każdej witryny o globalnym zasięgu.

Model opt-in

W modelu opt-in nieistotne pliki cookie nie mogą być instalowane, dopóki użytkownik nie wyrazi wyraźnej, świadomej zgody. Brak działania ze strony użytkownika oznacza brak plików cookie. To model wymagany przez unijną dyrektywę o prywatności i łączności elektronicznej (art. 5 ust. 3), interpretowaną w świetle definicji zgody zawartej w RODO (art. 4 pkt 11).

Jak model opt-in działa w praktyce

1. Użytkownik odwiedza witrynę po raz pierwszy.
2. Aktywne są wyłącznie ściśle niezbędne pliki cookie. Pliki analityczne, marketingowe i preferencyjne są zablokowane.
3. Pojawia się mechanizm zgody, prezentujący kategorie plików cookie i proszący użytkownika o dokonanie wyboru.
4. Użytkownik aktywnie wybiera, które kategorie zaakceptować (albo klika „Akceptuj wszystkie” lub „Odrzuć wszystkie”).
5. Ładowane są wyłącznie skrypty odpowiadające zaakceptowanym kategoriom.
6. Jeśli użytkownik nie podejmie żadnego działania, nie zostają zapisane żadne nieistotne pliki cookie. Mechanizm zgody pozostaje widoczny (lub dostępny), dopóki użytkownik nie dokona wyboru.

Podstawa prawna

Wymóg opt-in wynika z dwóch źródeł:

• Art. 5 ust. 3 dyrektywy ePrivacy: Wymaga „zgody” przed zapisaniem informacji na urządzeniu użytkownika.
• Art. 4 pkt 11 RODO: Definiuje zgodę jako wymagającą „wyraźnego działania potwierdzającego” — co wyklucza bierność, zaznaczone z góry pola oraz zgodę dorozumianą.
• Wyrok TSUE w sprawie Planet49 (C-673/17): Potwierdził, że wymagana jest aktywna zgoda, a wstępnie zaznaczone pola nie stanowią ważnej zgody.

Gdzie obowiązuje model opt-in

We wszystkich państwach członkowskich UE/EOG (27 krajów UE oraz Norwegia, Islandia i Liechtenstein), a także w Wielkiej Brytanii (która po Brexicie zachowała zasady ePrivacy poprzez Privacy and Electronic Communications Regulations, czyli PECR).

Konsekwencje dla operatorów witryn

• Należy spodziewać się znacznych wskaźników odrzucenia zgody. Dane branżowe wskazują, że 30–50% europejskich odwiedzających odrzuca nieistotne pliki cookie, gdy mają realny wybór.
• Dane analityczne będą niekompletne. Będziesz dysponować jedynie danymi od użytkowników, którzy wyrazili zgodę. To nie błąd — to zamierzony efekt regulacji.
• Ładowanie skryptów musi być warunkowe. Potrzebujesz mechanizmu technicznego, który blokuje skrypty do momentu zarejestrowania zgody. Nie da się tego osiągnąć samym banerem — wymaga to rzeczywistego zarządzania skryptami.

Model opt-out

W modelu opt-out pliki cookie mogą być instalowane domyślnie. Użytkownik ma prawo odmówić lub zrezygnować, ale dopóki nie podejmie działania, śledzenie jest dozwolone. To model stosowany w Stanach Zjednoczonych i w kilku innych jurysdykcjach.

Jak model opt-out działa w praktyce

1. Użytkownik odwiedza witrynę.
2. Wszystkie pliki cookie — w tym analityczne i marketingowe — zostają natychmiast zainstalowane.
3. Powiadomienie informuje użytkownika, że pliki cookie są używane, i udostępnia sposób rezygnacji.
4. Jeśli użytkownik nie podejmie żadnego działania, pliki cookie pozostają aktywne.
5. Jeśli użytkownik zrezygnuje, jego preferencje są odtąd respektowane (a w niektórych jurysdykcjach wcześniej zebrane dane mogą wymagać usunięcia).

Podstawa prawna

Model opt-out znajdziemy w:

• CCPA/CPRA (Kalifornia): Konsumenci z Kalifornii mają prawo zrezygnować ze „sprzedaży” lub „udostępniania” danych osobowych. Pliki cookie wykorzystywane do reklamy behawioralnej w różnych kontekstach stanowią „udostępnianie” w rozumieniu CPRA. Obowiązkiem jest zapewnienie mechanizmu rezygnacji (często poprzez link „Do Not Sell or Share My Personal Information”), a nie uzyskanie wcześniejszej zgody.
• CAN-SPAM Act i wytyczne FTC: Federalne podejście USA do śledzenia online historycznie opierało się na modelu powiadomienia i wyboru, a nie na świadomej zgodzie.
• Różne ustawy stanowe USA: Wirginia (VCDPA), Kolorado (CPA), Connecticut (CTDPA) i inne stosują odmiany modelu opt-out w odniesieniu do reklamy ukierunkowanej i sprzedaży danych.

Gdzie obowiązuje model opt-out

W Stanach Zjednoczonych (z różnicami zależnymi od stanu), Kanadzie (PIPEDA — choć może się to zmienić wraz z proponowanymi reformami), Australii (na mocy Privacy Act — również podlegającej przeglądowi) oraz w kilku innych jurysdykcjach poza UE/EOG.

Konsekwencje dla operatorów witryn

• Więcej gromadzonych danych domyślnie. Ponieważ pliki cookie są instalowane, o ile użytkownik nie zgłosi sprzeciwu, dane analityczne i reklamowe są pełniejsze.
• Konieczność zapewnienia jasnego mechanizmu rezygnacji. Zgodnie z CCPA/CPRA oznacza to link „Do Not Sell or Share My Personal Information”, który jest łatwy do znalezienia i użycia.
• Konieczność honorowania Global Privacy Control (GPC). Prawo kalifornijskie wymaga, aby firmy traktowały sygnał przeglądarki GPC jako ważne żądanie rezygnacji.

Szczegółowe porównanie

Czy można stosować różne modele dla różnych regionów?

Tak, i wiele globalnych witryn tak robi. Podejście to nazywa się geolokalizowanym zarządzaniem zgodą. Witryna wykrywa lokalizację odwiedzającego (zwykle poprzez geolokalizację IP) i prezentuje odpowiedni model zgody:

• Odwiedzający z UE/EOG/Wielkiej Brytanii: Model opt-in ze szczegółową zgodą.
• Odwiedzający z Kalifornii: Model opt-out z linkiem „Do Not Sell or Share”.
• Pozostali odwiedzający z USA: Wyłącznie powiadomienie (w zależności od zastosowania prawa stanowego).
• Inne jurysdykcje: Na podstawie obowiązującego prawa lokalnego.

Wyzwania związane z geolokalizacją

• Geolokalizacja IP nie jest doskonała. Użytkownicy VPN mogą zostać błędnie zlokalizowani. Użytkownicy mobilni mogą przemieszczać się między jurysdykcjami.
• Obciążenie związane z utrzymaniem. Musisz śledzić rozwój przepisów w każdej jurysdykcji, którą obsługujesz, i odpowiednio aktualizować swoje ścieżki zgody.
• Złożoność testowania. Musisz weryfikować, czy każdy wariant regionalny działa poprawnie — różne banery, różne stany domyślne, różne zachowania blokowania skryptów.
• RODO obowiązuje eksterytorialnie. Jeśli kierujesz ofertę do użytkowników z UE (art. 3 ust. 2), RODO ma zastosowanie niezależnie od tego, gdzie znajduje się Twoja firma. „Kierowanie oferty” obejmuje oferowanie towarów lub usług mieszkańcom UE albo monitorowanie ich zachowań.

Najlepsza praktyka: domyślnie stosuj opt-in

Jeśli zarządzanie wieloma modelami zgody wydaje się przytłaczające, istnieje prostsza droga: domyślnie stosuj model opt-in globalnie.

Oto dlaczego to działa:

1. Zgodność wszędzie. Model opt-in spełnia najbardziej rygorystyczne wymogi. Jeśli spełniasz wymogi zgody wynikające z RODO, automatycznie wykraczasz poza wymagania CCPA, LGPD i większości innych regulacji.
2. Prostota. Jeden mechanizm zgody, jedno wdrożenie, jeden zestaw testów. Bez geolokalizacji, bez wariantów regionalnych, bez przypadków brzegowych.
3. Odporność na przyszłe zmiany. Globalny trend zmierza w kierunku surowszych wymogów zgody. Proponowane reformy w USA, Kanadzie, Australii i Indiach zmierzają w stronę bardziej wyraźnej zgody. Budowanie systemu opt-in już teraz oznacza, że nie będziesz musiał go później przerabiać.
4. Zaufanie użytkowników. Użytkownicy na całym świecie pozytywnie reagują na przejrzyste, oparte na szacunku praktyki dotyczące zgody. Oferowanie realnego wyboru — nawet tam, gdzie prawo tego ściśle nie wymaga — buduje zaufanie i wiarygodność marki.
5. Jakość danych. Dane oparte na zgodzie są czystsze, łatwiejsze do obrony i bardziej wartościowe niż dane gromadzone w warunkach niejasności prawnej.

Kompromis jest realny: będziesz gromadzić mniej danych globalnie. Ale dane, które zbierzesz, będą prawidłowe pod względem prawnym, czyste pod względem etycznym i coraz bardziej wartościowe w miarę jak dane od podmiotów trzecich stają się mniej dostępne.

Nadchodzące zmiany

Krajobraz zgody nie jest statyczny. Warto śledzić kilka wydarzeń:

• Rozporządzenie ePrivacy. UE pracuje nad zastąpieniem dyrektywy ePrivacy od 2017 roku. Gdy zostanie przyjęte, stanie się bezpośrednio obowiązującym rozporządzeniem (jak RODO), a nie dyrektywą wymagającą transpozycji do prawa krajowego. Oczekuje się, że zasady dotyczące zgody na pliki cookie pozostaną podobne do obecnych ram lub bardziej rygorystyczne.
• Global Privacy Control (GPC). Ten sygnał na poziomie przeglądarki automatycznie komunikuje preferencje prywatności użytkownika. Prawo kalifornijskie już wymaga honorowania GPC. Kolorado i Connecticut również. Może się to stać standardowym mechanizmem komunikowania preferencji rezygnacji.
• Modele „zgoda albo zapłata”. Opinia EROD z 2024 roku dotycząca „zgody albo zapłaty” (zwłaszcza w kontekście podejścia Meta) kształtuje sposób, w jaki organy regulacyjne postrzegają relację między zgodą a dostępem do usług.
• Zgoda na poziomie przeglądarki. Niektóre propozycje zakładają przeniesienie zarządzania zgodą z poszczególnych witryn do samej przeglądarki, gdzie użytkownicy ustawialiby swoje preferencje raz, zamiast na każdej stronie. Zmieniłoby to zasadniczo sposób, w jaki zgoda działa w praktyce.

Passiro pomaga wdrożyć właściwy model zgody dla Twoich odbiorców, z automatycznym wykrywaniem i kategoryzacją wszystkich plików cookie na Twojej witrynie — niezależnie od tego, czy wybierzesz opt-in, opt-out, czy podejście geolokalizowane.

W ostatniej sekcji przyjrzyjmy się najlepszym praktykom dotyczącym zgody — praktycznym, gotowym do wdrożenia wskazówkom dotyczącym implementacji zgody, która jest zarówno zgodna z przepisami, jak i przyjazna dla użytkownika.