Ciasteczko strony trzeciej działa jak agent handlowy, który wchodzi do sklepu razem z klientem, a potem chodzi za nim po wszystkich kolejnych sklepach i notuje. Plik zapisany przez zewnętrzną firmę reklamową na jednej witrynie rozpoznaje tę samą przeglądarkę na tysiącach innych — i z pojedynczych odwiedzin skleja profil: zainteresowania, problemy zdrowotne, poglądy, sytuację finansową. Partia Razem w stanowisku ws. cyfryzacji z 2018 roku uderza w podstawę tej machiny: technologie śledzące mają zostać zakazane, zgoda nie może być domniemana, a zakaz handlu danymi osobowymi ma być rzeczywiście egzekwowany (stanowisko ws. cyfryzacji, 2018). Stawką jest cały łańcuch dalszych ogniw: superciasteczka odtwarzają się po usunięciu, a gotowe profile stają się przedmiotem obrotu między firmami, których nazw użytkownik nigdy nie widział.
Zgoda, której nikt nie udzielił
Obrona przed tym modelem została w praktyce sprywatyzowana: to pojedynczy użytkownik ma czytać polityki prywatności, konfigurować banery i odwoływać zgody u dziesiątek administratorów osobno. Przy kilkudziesięciu odwiedzanych witrynach dziennie rzetelne wykonywanie tych czynności zajmowałoby więcej czasu niż samo korzystanie z sieci — więc niemal nikt ich nie wykonuje, a system zgód pozostaje fasadą, za którą rynek danych toczy się bez zmian.
RODO wymaga od 2018 roku zgody dobrowolnej, konkretnej i świadomej (rozporządzenie 2016/679); banery zgód projektuje się tymczasem tak, by odmowa kosztowała więcej kliknięć niż akceptacja, a „uzasadniony interes" administratora rozciąga się na śledzenie, którego nikt by świadomie nie autoryzował. Rosnące tarcia między tym modelem a użytkownikami widać w statystykach polskiego organu nadzorczego: do Prezesa UODO wpłynęło w 2024 roku 8056 skarg — o ponad tysiąc więcej niż rok wcześniej, gdy było ich 6962 — oraz 14 842 zgłoszenia naruszeń ochrony danych (sprawozdanie Prezesa UODO za 2024 rok).
Skargi obejmują przy tym wyłącznie przypadki, o których zainteresowani w ogóle się dowiedzieli: skarży się ten, kto wie, że jego dane wyciekły albo krążą po rynku. Istota reklamy behawioralnej polega na tym, że obrót odbywa się poza polem widzenia zainteresowanego — między wydawcą, pośrednikami aukcji reklamowych i brokerami danych. Stanowisko Razem nazywa ten układ bez ogródek: „Wielkie korporacje nie mogą zarabiać handlując naszymi tożsamościami za naszymi plecami" (stanowisko ws. cyfryzacji, 2018).
27 kar na 13,9 mln zł rocznie
Po stronie egzekwowania dysproporcja sił jest równie wyraźna. W 2024 roku Prezes UODO wydał 1719 decyzji administracyjnych, ale kary pieniężne nałożył w 22 sprawach — 27 kar na łączną kwotę 13,9 mln zł (sprawozdanie Prezesa UODO za 2024 rok). Dla branży, której model biznesowy opiera się na profilowaniu milionów użytkowników, taka suma, rozłożona na wszystkie ukarane podmioty w kraju przez cały rok, mieści się w kategoriach zwykłego kosztu operacyjnego. O ryzyku, które zmieniałoby czyjekolwiek zachowanie, trudno tu mówić. Rachunek jest prosty do przewidzenia: jeżeli naruszanie zasad przynosi więcej, niż kosztuje sporadyczna kara, samo istnienie przepisów nie zmienia zachowań rynku. Stąd w programie Razem obok nowych zakazów stoi żądanie skuteczności wobec zakazów już istniejących.
Co proponuje Razem
Postulaty z bloku „Wygoda i bezpieczeństwo użytkownika w świecie cyfrowym" mają wyraźnie zaznaczony poziom realizacji — to dążenia na forum Unii Europejskiej, bo rynek reklamowy i najwięksi gracze działają ponad granicami państw:
- „Będziemy dążyć do zakazu wykorzystywania technologii śledzących takich jak ciasteczka stron trzecich (ang. third-party cookies) i superciasteczek oraz innych mających podobne funkcje na terenie Unii Europejskiej" (pkt 4);
- „Będziemy dążyć do ograniczenia wykorzystywania ciasteczek na terenie Unii Europejskiej. Zgoda na ich wykorzystywanie przez stronę internetową nie powinna być domniemana" (pkt 5);
- „Będziemy dążyć do wprowadzenia konieczności uzyskania zgody użytkownika przed jakimkolwiek wykorzystaniem jego danych" (pkt 7).
Czwarty element pochodzi z bloku „Cyberbezpieczeństwo bez inwigilacji" i dotyczy już krajowego egzekwowania prawa: „Poprawimy egzekwowanie zakazu handlu danymi osobowymi" (pkt 4). Zestawione razem, punkty te opisują spójną zmianę reguł gry: śledzenie przestaje być domyślne, zgoda wraca do swojego słownikowego znaczenia, a obrót cudzymi danymi — dziś opłacalny nawet po doliczeniu ryzyka kar — staje się działalnością realnie ściganą.
Osobnym piętrem tej samej gospodarki uwagi są algorytmy rekomendacyjne platform, które zebrane o użytkowniku dane zamieniają w decyzje o tym, co zobaczy — ich jawności poświęcony jest tekst serwisu Razem dla Równości o algorytmach wielkich platform. Mapę wszystkich postulatów prywatnościowych prowadzimy w hubie prywatność i inwigilacja.