Argument, po który sięgnął organ

Belgijski organ ochrony danych, działając jako wiodący organ nadzorczy, próbował zamknąć skargę na cookies, nie badając nigdy samego banera cookies. Jego propozycja polegała na odrzuceniu sprawy jako nadużycia prawa na podstawie art. 77 i art. 80 ust. 1 RODO. Skarga dotyczyła banera zgody Vlaamse Radio- en Televisieomroeporganisatie, flamandzkiego nadawcy publicznego, i pochodziła od noyb, organizacji zajmującej się prywatnością, która składa skargi na dużą skalę w trybie pełnomocnictwa przedstawicielskiego z art. 80 ust. 1 RODO.

Austriacki organ ochrony danych zgłosił sprzeciw. To ten sprzeciw wyprowadził akta z Belgii i wprowadził je w mechanizm spójności, i dlatego ostatecznie rozstrzygnęła Europejska Rada Ochrony Danych na podstawie art. 65 ust. 1 lit. a) RODO, zamiast żeby belgijski organ po prostu zamknął sprawę.

Wynikiem jest Wiążąca decyzja 1/2026. Przyjęto ją 28 maja 2026 roku, a opublikowano 14 lipca 2026 roku. Przyjęcie jest zdarzeniem starszym. Publikacja z 14 lipca postawiła to uzasadnienie przed oczami każdego, kto prowadzi baner w Unii Europejskiej.

Co Rada zdecydowała 28 maja

Europejska Rada Ochrony Danych nie stwierdziła nadużycia prawa i uznała, że nie został spełniony żaden z dwóch elementów, których takie ustalenie wymaga. Stosując standardy wypracowane przez Trybunał Sprawiedliwości Unii Europejskiej, przyjęła, że nie zaistniał ani element obiektywny, ani element subiektywny.

Następnie poleciła wiodącemu organowi nadzorczemu ocenić skargę merytorycznie i przedłożyć nowy projekt decyzji na podstawie art. 60 ust. 3 RODO. Dla tego nowego projektu nie wskazano żadnego terminu.

Czytane uważnie, jest to rozstrzygnięcie proceduralne i nic więcej. Nie tworzy reguły dotyczącej projektowania banerów. Nie stwierdza, że nadawca zrobił cokolwiek źle. Nic nie zostało rozstrzygnięte merytorycznie, żadna sankcja nie została ustalona, a pytanie o to, czy baner był zgodny z prawem, stoi dokładnie tam, gdzie stało w 2021 roku, i czeka na odpowiedź.

Skala nie czyni pełnomocnictwa podejrzanym

Właśnie zamknęła się proceduralna furtka awaryjna, a była to ta, na którą po cichu liczyła większość operatorów. Argument miał oczywisty urok. Ta skarga jest jedną z tysięcy złożonych przez organizację aktywistyczną, więc samo złożenie traktuje się jako wadę i sprawę się odrzuca. Krajowy organ regulacyjny, występując jako organ wiodący, rzeczywiście podniósł ten argument. Rada odrzuciła go w wiążącej decyzji.

Zasada, o której donoszą media, brzmi tak, że ważne pełnomocnictwo z art. 80 ust. 1 RODO nie staje się podejrzane wyłącznie dlatego, że organizacja reprezentująca działa na dużą skalę. To sformułowanie pochodzi z doniesień o decyzji, a nie z jej tekstu, i z tego powodu warto traktować je ostrożnie. Sam wynik nie budzi wątpliwości.

Konsekwencja dla właściciela jest bezpośrednia. Państwa ekspozycja na banerze zgody rozstrzyga się poprzez projekt banera, a nie przez to, kto na niego poskarżył się ani ile skarg złożył. Każda obrona zbudowana na tożsamości lub przepustowości skarżącego jest teraz obroną, której organ wiodący spróbował i z którą przegrał.

Pięć lat w kolejce, a sprawa wciąż żywa

Skarga została złożona 10 sierpnia 2021 roku. Dopiero teraz, prawie pięć lat później, wraca do rozstrzygnięcia merytorycznego. Leżała w kolejce, a to leżenie niczego nie zmieniło w jej pozycji.

Wniosek, który z tego wyciągamy, jest taki, że uśpiona skarga zachowuje pełną moc. Baner, który naprawili Państwo w 2023 roku, nie wycofuje skargi złożonej przez kogoś przeciwko wersji prowadzonej w 2021 roku. Proszę założyć, że wersja wypuszczona lata temu wciąż podlega ocenie, ponieważ w tej sprawie podlega.

Co to zmienia na Państwa stronie

Proszę pracować przy założeniu, że baner prowadzony lata temu wciąż podlega ocenie, a nie przy założeniu wynikającym z wieku Państwa archiwum. Jeżeli nie potrafią Państwo przedstawić interfejsu zgody w postaci, w jakiej wyglądał w 2021 lub 2022 roku, nie pokażą Państwo, co organ nadzorczy faktycznie by oceniał, i będą Państwo spierać się o ekran, którego już nie mają.

Dlatego proszę prowadzić wersjonowaną dokumentację samego banera. Treść, hierarchię przycisków, stany domyślne, warstwę, na której oferowano odmowę. To są rzeczy, na które patrzy ocena merytoryczna, i to są rzeczy, które po cichu zmieniają się za każdym razem, gdy platforma zgód wypuszcza aktualizację.

I proszę przestać czytać liczbę złożonych skarg jako sygnał ryzyka. To, ile skarg składa organizacja, nie mówi Państwu nic o tym, czy ta skierowana przeciwko Państwu zostanie rozpoznana. Wiążąca decyzja 1/2026 wskazuje, że zostanie.

Czytaj dalej: UE pisze RODO na nowo  |  Pierwszy wniosek o dane może być nadużyciem