Czy widget wsparcia wymaga zgody? § 25 TDDDG

Najważniejsze wnioski

• § 25 ust. 1 TDDDG wymaga co do zasady zgody na zapisywanie i odczytywanie informacji w urządzeniu końcowym.
• Istnieją dwa nierozstrzygnięte stanowiska: widget jako niezbędny formularz kontaktowy albo jako usługa wymagająca zgody.
• Datenschutzkonferenz wykłada wyjątki wąsko i często uznaje skrypty ładujące się automatycznie za wymagające zgody.
• Naruszenie obowiązku uzyskania zgody stanowi wykroczenie administracyjne i może zostać ukarane grzywną na podstawie § 28 TDDDG.
• Drogą o najmniejszym ryzyku jest ładowanie skryptu czatu dopiero po aktywnej zgodzie odwiedzającej.

To nie porada prawna, ale jasne ramy prawne

Ten artykuł nie stanowi porady prawnej. Porządkuje pragmatycznie stan prawny wokół widgetów wsparcia i pokazuje, jakie decyzje techniczne musisz podjąć jako osoba odpowiedzialna za wsparcie lub za stronę internetową. Kto osadza widget czatu we własnej witrynie, prędzej czy później staje przed pytaniem działu prawnego albo inspektora ochrony danych: czy widget należy do banera zgody, czy może ładować się od razu?

Punktem zwrotnym jest § 25 ustawy Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz (TDDDG), niemieckiej ustawy o ochronie danych w telekomunikacji i usługach cyfrowych. Przepis ten reguluje ochronę prywatności w urządzeniach końcowych i precyzyjnie rozgranicza czynności wymagające zgody od ustawowych wyjątków.

Zasada z ustępu 1. Wyjątek z ustępu 2.

Zgodnie z § 25 ust. 1 zdanie 1 TDDDG zapisywanie informacji w urządzeniu końcowym użytkownika końcowego lub dostęp do informacji już tam zapisanych jest dopuszczalny wyłącznie wtedy, gdy uprzednio wyrażono zgodę na podstawie jasnych i wyczerpujących informacji¹. W odczytaniu organów nadzorczych przepis sformułowano neutralnie technologicznie, tak że obejmuje wszystkie techniki i procedury, za pomocą których może nastąpić zapis i odczyt informacji, na przykład Local Storage, Session Storage lub IndexedDB².

Od tej zasady § 25 ust. 2 pkt 2 TDDDG przewiduje wąski wyjątek: zgoda nie jest konieczna, gdy zapis lub dostęp jest bezwzględnie niezbędny, aby dostawca usługi cyfrowej mógł udostępnić usługę cyfrową wyraźnie zażądaną przez użytkownika¹.

Istotne jest tu czyste rozdzielenie TDDDG i ogólnego rozporządzenia o ochronie danych (RODO): TDDDG chroni integralność urządzenia końcowego całkowicie niezależnie od tego, czy odczytywane lub zapisywane dane są danymi osobowymi. RODO stosuje się dodatkowo, gdy tylko przetwarzane są dane osobowe, takie jak adresy IP lub treści czatu.

Stanowisko 1: widget jako niezbędny formularz kontaktowy

Pierwszy pogląd prawny traktuje widget wsparcia zasadniczo jak nowoczesny, stale obecny formularz kontaktowy. Jego zwolennicy argumentują, że obsługa klienta jest podstawową funkcją każdej oferty cyfrowej. Kto odwiedza stronę lub aplikację internetową, oczekuje możliwości bezpośredniego kontaktu.

Utrzymanie sesji jako konieczność techniczna.

Od strony technicznej interaktywny widget wsparcia potrzebuje identyfikatora w Session Storage lub Local Storage przeglądarki. Bez niego historia czatu urywałaby się przy każdej zmianie strony lub przeładowaniu karty. Stanowisko 1 argumentuje zatem: jeśli wsparcie jest udostępniane, ustawienie tego czysto funkcjonalnego identyfikatora sesji jest technicznie nieodzowne, aby utrzymać rozmowę na przestrzeni kilku podstron.

Na tej przesłance firmy opierają działanie na wyjątku z § 25 ust. 2 pkt 2 TDDDG, który czyni zgodę zbędną, gdy dostęp jest bezwzględnie niezbędny do udostępnienia usługi cyfrowej wyraźnie zażądanej przez użytkownika¹. Skrypt zostaje przypisany do kategorii Niezbędne lub Konieczne w narzędziu do zarządzania zgodami i ładuje się natychmiast przy pierwszym wejściu na stronę, bez konieczności zaznaczania czegokolwiek w banerze.

• Kanał wsparcia traktuje się jako standardową drogę kontaktu, analogicznie do odnośników e-mail lub formularzy kontaktowych.
• Zapis identyfikatora sesji służy wyłącznie prowadzeniu dialogu i nie wiąże się ze śledzeniem.
• Funkcja przekazania i pomocy jest dostępna dla klientek natychmiast, bez żadnej bariery i bez wcześniejszego kliknięcia zgody.
• Skrypt figuruje w banerze zgody jako usługa niezbędna i ładuje się automatycznie wraz ze stroną.

Stanowisko 2: rygorystyczne spojrzenie Datenschutzkonferenz

Datenschutzkonferenz (DSK), wspólne gremium niezależnych organów ochrony danych federacji i krajów związkowych Niemiec, reprezentuje wyraźnie surowszą wykładnię. W swoich wytycznych dla dostawców telemediów stwierdza, że § 25 ust. 1 ustanawia zasadę wymogu zgody, a odstępują od niej wyłącznie dwa wąsko ujęte wyjątki z ustępu 2². Ustawodawca świadomie trzymał się bardzo blisko brzmienia przepisu europejskiego i nie dodał kolejnych wyjątków, przez co bez zgody można osadzić tylko nieliczne usługi².

Automatyczne ładowanie bez interakcji nie jest wyraźnym żądaniem.

Zdaniem organów nadzorczych właśnie w tym tkwi sedno problemu przy widgecie czatu ładującym się automatycznie: odwiedzająca otwiera stronę, aby zapoznać się z produktem albo przeczytać artykuł. W tym momencie w ogóle nie zażądała jeszcze wyraźnie usługi wsparcia. Zgodnie z brzmieniem ustawy wyjątek działa tylko wtedy, gdy dostęp jest bezwzględnie niezbędny, aby udostępnić usługę cyfrową wyraźnie zażądaną przez użytkownika¹. Datenschutzkonferenz podkreśla, że obie te przesłanki pozostają w nierozerwalnym związku, a bezwzględną niezbędność należy zawsze badać w odniesieniu do konkretnie zażądanej usługi, co wymaga szczegółowego spojrzenia na poszczególne funkcje strony². Jeśli skrypt ładuje się już w tle i ustawia identyfikator urządzenia, zanim użytkowniczka aktywnie kliknęła ikonę czatu, to w tej wykładni brakuje przesłanki wyraźnego żądania.

Organy wskazują ponadto, że wiele powszechnych skryptów widgetów już przy inicjalizacji zbiera dane urządzenia i przeglądarki, przesyła adresy IP na serwery osób trzecich albo doładowuje kroje pisma i zasoby zewnętrzne. Wymóg zgody obowiązuje niezależnie od tego, czy zapisane lub odczytane informacje mają charakter osobowy². Dochodzi do tego moment: zgoda musi istnieć, zanim nastąpi dostęp do urządzenia końcowego. W tej rygorystycznej wykładni ryczałtowe ładowanie widgetu na każdej podstronie wymaga zgody.

Skutki praktyczne: ładowanie po kliknięciu czy kategoria w banerze?

Kwalifikacja prawna nie jest ćwiczeniem teoretycznym. Dyktuje dokładnie, jak twój widget musi zostać zaimplementowany technicznie i wpięty w system zarządzania zgodami. Kto opowiada się za jednym z dwóch poglądów prawnych, musi wybrać odpowiadającą mu architekturę techniczną.

Wariant A: natychmiastowe ładowanie jako usługa niezbędna.

Jeśli twoja firma kwalifikuje widget jako technicznie bezwzględnie niezbędny, wpisujesz skrypt w narzędziu do zgód do grupy Niezbędne lub Konieczne. Widget ładuje się asynchronicznie przy wejściu na stronę. Odwiedzająca od razu widzi przycisk wsparcia w rogu ekranu. Zaleta: maksymalna dostępność i brak progu wejścia dla szukających pomocy.

Wariant B: sterowanie przez baner zgody.

Jeśli twoja firma podąża za stanowiskiem organów ochrony danych, widget należy do kategorii Funkcjonalne lub Media zewnętrzne. W praktyce oznacza to: baner zgody blokuje skrypt i wstrzykuje go dopiero wtedy, gdy użytkowniczka aktywnie kliknie Akceptuj wszystkie albo wybierze Funkcjonalne. Jeśli odwiedzająca odmówi, widget pozostaje dla niej całkowicie niewidoczny. W takim przypadku warto udostępnić statyczne możliwości kontaktu w stopce albo publiczne centrum pomocy jako rozwiązanie zapasowe.

Wariant C: rozwiązanie dwóch kliknięć z symbolem zastępczym.

Elegancką alternatywą wobec blokady banerem jest ładowanie po kliknięciu. Na początku nie ładuje się tu żaden skrypt zewnętrzny ani żaden plik cookie. Na stronie leży wyłącznie lokalna ikona zastępcza. Gdy odwiedzająca aktywnie kliknie tę ikonę czatu, potwierdza tym samym wyraźne żądanie usługi wsparcia. Dopiero to kliknięcie wyzwala dynamiczne doładowanie skryptu widgetu. Pasuje to do brzmienia wyjątku z § 25 ust. 2 pkt 2 TDDDG, który zwalnia dostęp wyłącznie dla wyraźnie zażądanej usługi cyfrowej¹.

1. 01Wariant 1 (niezbędne): skrypt ładuje się bezpośrednio. Wysoka dostępność, wymaga solidnej dokumentacji w firmie.
2. 02Wariant 2 (opt-in w banerze): skrypt ładuje się tylko przy zgodzie w banerze. Odmowa w banerze oznacza utratę kanału czatu.
3. 03Wariant 3 (doładowanie dwoma kliknięciami): symbol zastępczy ładuje skrypt dopiero przy aktywnej interakcji. Wysoka pewność prawna przy zachowanej widoczności.

Dokumentacja: dlaczego sama decyzja nie wystarcza

Niezależnie od tego, którą drogę wybierze twój zespół: nieformalna decyzja na Slacku wsparcia albo ustna zgoda nie wystarczą przy kontroli organu. Art. 5 ust. 2 RODO ustanawia zasadę rozliczalności. Musisz w każdej chwili móc wykazać i uzasadnić, dlaczego dane narzędzie jest wykorzystywane w taki właśnie sposób.

Wpis w rejestrze czynności przetwarzania.

Każdy stosowany system wsparcia musi obowiązkowo znaleźć się w rejestrze czynności przetwarzania zgodnie z art. 30 RODO. Trzeba tam przejrzyście odnotować cele przetwarzania, kategorie osób, których dane dotyczą, odbiorców danych, okresy przechowywania oraz wykorzystywane podstawy prawne z TDDDG i RODO.

Dodatkowo polityka prywatności twojej strony musi szczegółowo rozpisać wykorzystanie widgetu. Jeśli ustawiane są tam identyfikatory, trzeba precyzyjnie wskazać okres przechowywania, sposób działania i zaangażowanych usługodawców. To także podstawa, by na późniejsze zapytania użytkowników lub formalne wnioski o dostęp na gruncie RODO odpowiedzieć pewnie i w terminie.

• Udokumentowane uzasadnienie kwalifikacji na gruncie § 25 TDDDG (niezbędne, opt-in w banerze albo dwa kliknięcia).
• Utrzymywanie wpisu w rejestrze czynności przetwarzania zgodnie z art. 30 RODO.
• Pełna klauzula w polityce prywatności z podaniem usługodawcy, okresów przechowywania i celu danych.
• Zawarcie umowy powierzenia przetwarzania danych na podstawie art. 28 RODO z dostawcą widgetu.

Droga o najmniejszym ryzyku dla osób odpowiedzialnych za stronę

Kto chce zminimalizować ryzyko prawne, musi trzeźwo rozważyć możliwe konsekwencje. Naruszenia wymogów § 25 ust. 1 TDDDG nie są drobiazgiem. Zgodnie z § 28 ust. 1 pkt 13 w związku z ust. 2 TDDDG zapis informacji lub dostęp do nich bez zgody może zostać ukarany grzywną do trzystu tysięcy euro⁴.

Ryzyko wezwań ze strony organizacji i konkurentów.

Poza grzywnami organów przy nieprzejrzyście osadzonych skryptach zawsze istnieje ryzyko wezwań na gruncie prawa konkurencji ze strony organizacji konsumenckich lub konkurentów. Skrypty, które bez zgody w banerze ustawiają pliki cookie śledzące albo przekazują dane do państw trzecich bez odpowiedniego poziomu ochrony, są w polu widzenia zautomatyzowanych robotów.

Zdecydowanie najmniej ryzykowna droga jest więc dwojaka: albo osadzasz widget w prawdziwej logice dwóch kliknięć, tak by dane popłynęły dopiero po kliknięciu czatu, albo przypisujesz widget w banerze do kategorii wymagającej zgody. Jeśli natomiast chcesz ładować widget bezpośrednio jako niezbędny, upewnij się, że dostawca nie prowadzi żadnego śledzenia przez podmioty trzecie, że dane są przetwarzane w całości w UE i że uzasadnienie jest bez luk udokumentowane w rejestrze czynności przetwarzania.

Wsparcie AI zgodne z RODO dzięki Comlayer

Jeśli chcesz zautomatyzować nowoczesną obsługę klienta bez ryzykowania prawnych stref szarości, liczy się właściwa podstawa techniczna. Rozstrzygające jest rozwiązanie, które czysto oddziela interfejs od przetwarzania danych i zostawia ci pełną swobodę osadzenia.

Lekki skrypt i elastyczne tryby ładowania.

Widget Comlayer osadza się za pomocą asynchronicznego fragmentu JavaScriptu. Sam decydujesz, czy fragment ładuje się bezpośrednio w kodzie źródłowym, czy zostaje zwolniony przez twój system zarządzania zgodami po wyrażeniu zgody, czy też inicjalizuje się dynamicznie dopiero przez zdarzenie kliknięcia na twojej stronie. Lista dozwolonych domen zapewnia, że twój klucz widgetu nie zostanie nadużyty na obcych domenach.

Jak taka decyzja wygląda, gdy już zapadnie, można przeczytać u samego Comlayer. We własnym rejestrze zgód czat wsparcia jest zakwalifikowany jako niezbędny na gruncie § 25 ust. 2 pkt 2 TDDDG, z uzasadnieniem, że jest jedynym kanałem wsparcia tej strony i dlatego traktuje się go jak formularz kontaktowy. Stanowisko przeciwne stoi wyraźnie obok: Datenschutzkonferenz zalicza automatycznie ładujące się widgety czatu do usług wymagających zgody, ponieważ skrypt ładuje się bez udziału odwiedzającej i ustawia identyfikator. Kto ocenia to inaczej, przenosi wpis do kategorii funkcjonalnej, wiąże ładowanie ze zgodą i podnosi wersję banera, aby pytanie padło ponownie. To również nie jest rozstrzygnięta kwestia prawna, lecz uzasadniona i udokumentowana decyzja — dokładnie ta, którą opisuje ten artykuł.

Przetwarzanie w UE i brak trenowania modeli.

Za widgetem pracuje czysta europejska infrastruktura bezpieczeństwa i ochrony danych: rozmowy, załączniki i przetwarzanie przez AI działają w europejskich centrach danych. Umowa powierzenia przetwarzania danych na podstawie art. 28 RODO jest udostępniana bezpośrednio. Punkt kluczowy dla firm: twoje dane klientów i rozmowy wsparcia nie są wykorzystywane do trenowania modeli AI. Odpowiedzi opierają się na RAG (Retrieval-Augmented Generation) i zawsze dostarczają odnośnik do źródła.

Plany taryfowe mają przejrzystą strukturę: plan Free umożliwia bezpłatny start z widgetem wsparcia, centrum pomocy i dwoma miejscami w zespole. Plan Pro jest skierowany do zespołów, które wykorzystują wsparcie AI produkcyjnie, i obejmuje 500 odpowiedzi AI w cenie oraz własną domenę centrum pomocy. Przy większych wolumenach dostępny jest plan Scale z 5000 odpowiedzi AI w cenie.

• Elastyczne osadzenie: bezpośrednie ładowanie, sprzężenie z banerem albo wyzwalacz dwóch kliknięć w JavaScripcie.
• Hosting i przetwarzanie AI w regionach europejskich, z umową powierzenia.
• Brak trenowania publicznych modeli AI na twoich rozmowach z klientami.
• Przejrzyste modele cenowe, od bezpłatnego planu Free przez Pro po Scale, z ceną bazową miesięcznie, ceną za miejsce i odpowiedziami AI rozliczanymi według zużycia.

Najczęściej zadawane pytania