To jak wygląda cookie banner zostało w sporym stopniu ustandaryzowane ze względu na funkcjonujące wtyczki i aplikacje. Z drugiej strony – wymogi prawne wobec cookie-bannerów nie zostały ujednolicone w pełni na poziomie unijnym. W związku z tym w każdym państwie UE istnieją podobne, ale nie takie same wymogi. W niedawnym wyroku w tej kwestii wypowiedział się sąd administracyjny w Hanowerze. Wniosek sądu jest następujący: gdy istnieje przycisk „akceptuj wszystkie”, musi istnieć też przycisk „odrzuć wszystkie”.
Opis sytuacji
Sprawa dotyczyła strony www „Neuen Osnabrücker Zeitung”. Gazeta została wezwana przez organ nadzoru nad ochroną danych osobowych do zmiany cookie bannera. Według organu, strona www nie dawała realnej możliwości wyboru albo odrzucenia plików cookies. Gazeta kwestionowała ustalenia organu oraz samą kompetencję organu do wypowiadania się w kwestiach bannera cookie. Chociaż gazeta wprowadziła kilka zmian do swojego banneru i wskazywała, że spełnia on wymogi Trust and Consent Framework (TCF) oraz Interactive Advertising Bureau (IAB), organ nadal nalegał na wykonanie dalszych zmian.
Wyrok sądu w Hanowerze – cookie banner
Sąd administracyjny podzielił w przeważającej części zdanie organu. Sąd stwierdził, że użytkownicy nie wyrazili świadomej, dobrowolnej i jednoznacznej zgody na opcjonalne pliki cookies w rozumieniu RODO. W związku z tym użycie plików cookie, które nie są niezbędne, odbyło się bez podstawy prawnej. Jednocześnie gazeta naruszyła § 25 Telekommunikation-Telemedien-Datenschutzgesetz (TTDSG; odpowiednik polskiego prawa komunikacji elektronicznej).
Odniesienie do Menedżera Tagów Google
Sąd pochylił się także nad kwestią korzystania z Google Tag Managera (GTM). Skrypty GTM są często uruchamiane już w momencie wejścia na stronę – tj. przed wyrażeniem zgody. W rezultacie dane mogą być przesyłane do Google lub innych dostawców zewnętrznych jeszcze przed wyrażeniem zgody.
Sąd wskazał również, że także korzystanie z Google Tag Managera wymagało zgody użytkownika zgodnie z art. 25 ust. 1 TDDSG i art. 6 ust. 1 lit. “a” RODO. Zgodnie z uzasadnieniem, nie jest to usługa domyślnie żądana przez użytkownika strony internetowej ani nie oferuje użytkownikowi strony żadnej wartości dodanej.
Zatem prawidłowa konfiguracja GTM ma kluczowe znaczenie: wszystkie tagi śledzące muszą być zablokowane do momentu wyrażenia zgody. Samo korzystanie z platformy do zarządzania zgodami (CMP) nie oznacza automatycznie, że zgoda jest prawnie skuteczna.
Podsumowanie
Wyrok sądu w Hanowerze jest kolejną, realną wskazówką jakie treści powinny zawierać cookie bannery. Jednocześnie, na uwadze powszechność korzystania z Google Tag Managera – również jego użycie powinno być uzależnione od zgody użytkownika.
Wyrok Verwaltungsgericht w Hanowerze z 19 marca 2025 r., sygn. akt: 10 A 5385/22: https://voris.wolterskluwer-online.de/browse/document/230df5cf-d76c-4561-9499-e44445a96f11
W przypadku pytań lub wątpliwości – zachęcam do kontaktu: piotr.mijal@prawo-it.pl
