Przy współpracy z naszą Grupą Roboczą wykonaliśmy analizę stron www kandydatów na Prezydenta RP w tegorocznych wyborach za pomocą wtyczki Rentgen. Pod uwagę wzięliśmy mechanizmy zbierania zgód na stronach oraz ich przełożenie na zachowanie skryptów śledzących.
Kandydaci startujący w wyborach
Poniżej przedstawiamy skrótowe zestawienie wyników analizy.
| Kandydat | Czy jest mechanizm pozyskiwania zgody? | Czy można jednym kliknięciem odmówić zgody? | Czy przycisk odmowy zgody jest tak samo wyróżniony, jak przycisk od wyrażania zgody? | Czy brak zgody jest respektowany? | Ile jest domen podmiotów trzecich czytających cookies przed/po wyrażeniu zgody? | Ile jest domen podmiotów trzecich otrzymujących część historii przeglądania użytkownika przed/po wyrażeniu zgody? |
|---|---|---|---|---|---|---|
| Artur Bartoszewicz | tak | tak | nie | nie | 1 / 5 | 11 |
| Magdalena Biejat | tak | tak | tak | tak | 0 / 0 | 3 / 5 |
| Grzegorz Braun | tak | tak | nie | nie | 2 / 4 | 9 / 14 |
| Szymon Hołownia | tak | tak | nie | nie | 2 / 6 | 4 / 5 |
| Marek Jakubiak | nie | n/d | n/d | tak | 0 / 0 | 2 / 2 |
| Maciej Maciak | nie | nie | n/d | nie | 3 / 3 | 9 / 9 |
| Sławomir Mentzen | tak | tak | nie | nie | 2 / 2 | 7 / 7 |
| Karol Nawrocki | nie | nie | n/d | nie | 1 / 1 | 5 / 5 |
| Joanna Senyszyn | tak | tak | nie | tak | 0 / 0 | 0 / 0 |
| Krzysztof Stanowski | tak | tak | nie | nie | 0 / 0 | 6 / 6 |
| Rafał Trzaskowski | nie | nie | n/d | nie | 15 / 15 | 48 / 48 |
| Marek Woch | tak | tak | tak | nie | 1 / 4 | 4 / 6 |
| Adrian Zandberg | tak | tak | tak | tak | 0 / 0 | 7 / 12 |
Niedoszli kandydaci
Poniżej przedstawiamy zestawienie informacji o niedoszłych kandydatach – osobach, które zapowiadały start w wyborach, ale nie uzbierały odpowiedniej liczby podpisów poparcia.
| Kandydat | Czy jest mechanizm pozyskiwania zgody? | Czy można jednym kliknięciem odmówić zgody? | Czy przycisk odmowy zgody jest tak samo wyróżniony, jak przycisk od wyrażania zgody? | Czy brak zgody jest respektowany? | Ile jest domen podmiotów trzecich czytających cookies przed/po wyrażeniu zgody? | Ile jest domen podmiotów trzecich otrzymujących część historii przeglądania użytkownika przed/po wyrażeniu zgody? |
|---|---|---|---|---|---|---|
| Kamil Całek | tak | tak | nie | tak | 0 / 2 | 7 / 8 |
| Dawid Jackiewicz | tak | tak | tak | tak | 0 / 0 | 5 / 5 |
| Jan Kubań | tak | tak | tak | nie | 2 / 2 | 9 / 10 |
| Eugeniusz Maciejewski | nie | nie | n/d | nie | 3 / 5 | 10 / 10 |
| Romuald Starosielec | tak | tak | nie | nie | 3 / 3 | 3 / 3 |
| Piotr Szumlewicz | nie | n/d | n/d | tak | 0 / 0 | 0 / 0 |
| Paweł Tanajno | nie | nie | n/d | nie | 1 / 1 | 7 / 7 |
| Krzysztof Tołwiński | nie | n/d | n/d | tak | 0 / 0 | 6 / 6 |
| Stanisław Żółtek | nie | nie | n/d | nie | 3 / 3 | 10 / 10 |
Wybrane obserwacje
Łatwiejsza odmowa zgód
W 2023 r. wykonaliśmy analizę stron partii politycznych startujących w wyborach parlamentarnych. Widzimy zmianę na lepsze po porównaniu stron kandydatów w wyborach na Prezydenta RP w 2025 r. do stron partii w 2023 r.
9 z 13 stron kandydatów posiada mechanizmy pozyskiwania zgód na cookies i podobne technologie. Wszystkie z tych dziewięciu stron umożliwiają odmowę zgody jednym kliknięciem. Cieszy nas, że już zanika „moda” na okienka cookies, które wymagają wielu kliknięć do odmowy zgody, albo które wprowadzają użytkownika w błąd treściami pokroju „korzystając ze strony wyrażasz zgodę”.
Niestety, większość z badanych stron nie respektuje braku zgody użytkownika i wciąż przetwarza cookiesy przed otrzymaniem zgody lub po jej odmowie. Pozostaje się zastanawiać – po co w ogóle „zawracają głowę” użytkownikom pytaniami o zgodę, skoro ignorują odpowiedź użytkownika?
Niechlubny zwycięzca
Na tle zestawienia mocno wyróżnia się kandydat Rafał Trzaskowski, którego strona nie posiada mechanizmu pozyskiwania zgody, a osadza skrypty śledzące wielu podmiotów (w zestawieniu tabelkowym bije rekord – aż 15 domen z cookiesami i 48 z samą częścią historii przeglądania). Strona wysyła bez zgody użytkownika dane m.in. do Google, Facebooka, adform.net, casalemedia.com (giełdy danych użytkowników na potrzeby reklamowe).
Niespotykana trafność
Strona niedoszłego kandydata Piotra Szumlewicza nie wykorzystuje cookiesów. Autor strony wykazuje się wręcz dumą, gdyż w stopce strony możemy przeczytać komunikat:
Niniejsza strona nie korzysta z plików cookie i nie zbiera danych osobowych.
Cieszy taki poziom świadomości - zwłaszcza, że w trakcie codziennego przeglądania Internetu napotykamy strony, które informują, że korzystają z cookies, a tak naprawdę w ogóle ich nie wykorzystują.
Szczegóły analizy
Poniżej opisujemy, jakie kryteria braliśmy pod uwagę przy analizie stron.
Czy jest mechanizm pozyskiwania zgody?
Sprawdzamy, czy na stronie występuje jakikolwiek mechanizm pozyskiwania zgody. Najczęściej ma postać wyskakującego okienka, w którym trzeba podjąć wybór. Brak okienka o zgodach nie musi świadczyć o braku szacunku dla prywatności – jeżeli strona nie ma skryptów śledzących, a cookiesy używa tylko do celów niezbędnych, to nie musi pytać użytkownika o zgodę na cookies.
W tabeli z podsumowaniem komórka z odpowiedzią na to pytanie dla strony danego kandydata jest pokolorowana na czerwono, jeżeli strona nie ma mechanizmu pozyskiwania zgody, a wysyła dane z cookies do podmiotów trzecich.
Czy można jednym kliknięciem odmówić zgody?
Jeżeli strona używa zgody jako podstawy prawnej przetwarzania danych osobowych, to pytając o tę zgodę, musi dać użytkownikowi możliwość odmowy zgody. Odmowa zgody musi być tak samo łatwa, jak wyrażenie zgody. Jeżeli wyrażenie zgody jest łatwiejsze, niż jej odmowa (na przykład: wymaga mniejszej liczby kliknięć), to tak pozyskana zgoda nie jest ważna w kontekście RODO.
Czy przycisk odmowy zgody jest tak samo wyróżniony, jak przycisk od wyrażania zgody?
O ile prawo nie reguluje tego ściśle, o tyle uważamy, że wyróżnianie przycisku od wyrażania zgody lub sprawianie, że przycisk odmowy zgody jest mniej widoczny, stanowi tzw. Dark Pattern lub Deceptive Design Pattern i sprawia, że zgoda jest wyrażana w bardziej „odruchowy” sposób. Tym pytaniem sprawdzamy, w jakim stopniu zachowanie strony kandydatów wyraża (lub nie) szacunek dla podmiotowości ją odwiedzających.
W tabeli z podsumowaniem komórka z odpowiedzią na to pytanie dla strony danego kandydata jest pokolorowana na czerwono, jeżeli:
- strona wizualnie wyróżnia przycisk od akceptacji zgód, sprawiając, że jest on bardziej widoczny, wygląda na bardziej klikalny lub w inny sposób zachęca do kliknięcia bardziej, niż przycisk do odmowy zgody; lub
- strona nie ma mechanizmu pozyskiwania zgody, a wysyła dane z cookies do podmiotów trzecich.
Czy brak zgody jest respektowany?
Sprawdzamy, czy wybory użytkownika mają wpływ na ilość przetwarzanych danych. Nierzadko na stronach www zdarza się, że niektóre skrypty śledzące włączają się jeszcze zanim użytkownik podejmie jakiekolwiek wybory w okienku o zgodzie. Administrator nie może w takiej sytuacji powoływać się na zgodę jako podstawę prawną przetwarzania danych. Jeżeli administrator przetwarza dane niezależnie od zgody osoby, której dane dotyczą, to wyświetlanie okienka z pytaniem o zgodę powoduje tylko stratę czasu czytelnika.
Uznajemy, że brak zgody jest respektowany, jeżeli przy braku zgody użytkownika strona nie wysyła danych z cookiesów do podmiotów trzecich.
Ile jest domen podmiotów trzecich czytających cookies przed/po wyrażeniu zgody?
Za pomocą narzędzia Rentgen sprawdziliśmy, ile jest łącznie zapytań HTTP wygenerowanych przez stronę internetową, które spełniają obydwa następujące warunki:
- prowadzą do domen, które według naszych heurystyk są domenami podmiotów trzecich;
- są opatrzone nagłówkami zawierającymi dane z Cookies.
Prawo wymaga, aby dostęp do danych z Cookies był wykonywany tylko, gdy takie przetwarzanie jest konieczne do obsługi strony lub gdy użytkownik wyrazi na to zgodę (zob. Art. 173 ustawy Prawo Telekomunikacyjne). Liczba domen podmiotów trzecich otrzymujących dane z Cookies traktujemy jako podstawowy wyznacznik tego, jak wiele podmiotów otrzymuje informacje o użytkownikach, którzy odwiedzili daną stronę. Dane te mogą być potem używane do profilowania użytkowników.
Cookiesy nie są jedynym narzędziem, jakim posługują się skrypty śledzące – więcej z nich opisujemy w naszym zestawieniu metod na śledzenie użytkowników Internetu:
Arkadiusz Wieczorek
Komórka odpowiadająca temu pytaniu w tabeli z zestawieniem wyników ma kolor:
- zielony – jeżeli strona nie wysyła danych z cookies przed wyrażeniem zgody lub nie wysyła danych z cookies wcale;
- czerwony – jeżeli strona wysyła dane z cookies przed otrzymaniem zgody użytkownika;
Zakładamy, że do wyświetlania statycznych treści informacyjnych o kandydacie nie jest konieczne wysyłanie danych z cookies podmiotów trzecich, więc wszystkie dane z cookies traktujemy jako wymagające zgody, a nie jako konieczne do wyświetlenia strony.
Ile jest domen podmiotów trzecich otrzymujących część historii przeglądania użytkownika przed/po wyrażeniu zgody?
Rentgen zlicza także liczba zapytań HTTP, które spełniają obydwa następujące warunki:
- prowadzą do domen, które według naszych heurystyk są domenami podmiotów trzecich;
- zawierają adres strony, którą aktualnie odwiedza użytkownik – albo samą domenę, albo pełen adres razem ze ścieżką do konkretnej odwiedzanej podstrony.
Takie dane mogą znajdować się w nagłówku Referer, który przeglądarka internetowa automatycznie „dokleja” do zapytań sieciowych. Można jednak skonfigurować swoją stronę tak, aby instruowała przeglądarkę do niewysyłania nagłówka Referer – to jest w rękach administratora strony.
Rentgen zlicza także zapytania, które zawierają adres aktualnie odwiedzanej strony w innych miejscach, niż nagłówek Referer.
Adresy stron, które przeanalizowaliśmy
- Artur Bartoszewicz - https://777.org.pl
- Magdalena Biejat - https://biejat2025.pl
- Grzegorz Braun - https://www.braun2025.pl
- Szymon Hołownia - https://holownia2025.pl
- Marek Jakubiak - https://marekjakubiak2025.pl
- Maciej Maciak - https://kwwrdip.pl
- Sławomir Mentzen - https://mentzen2025.pl
- Karol Nawrocki - https://karolnawrocki2025.pl
- Joanna Senyszyn - https://senyszyn.eu
- Krzysztof Stanowski - https://stanowski2025.de
- Rafał Trzaskowski - https://trzaskowski.pl
- Marek Woch - https://bezpartyjnisamorzadowcy.org.pl/wybory-na-prezydenta-rp-2025
- Adrian Zandberg – https://zandberg2025.pl
- Kamil Całek - https://prezydentcalek.pl
- Dawid Jackiewicz - https://jackiewicz2025.pl
- Jan Kubań - https://kuban2025.pl
- Eugeniusz Maciejewski - https://piast-jmen.pl/wybory-prezydenckie-2020
- Romuald Starosielec - https://starosielec2025.pl
- Piotr Szumlewicz - https://www.szumlewicz2025.pl
- Paweł Tanajno - https://tanajno.pl
- Krzysztof Tołwiński - http://www.fronttolwinski.pl
- Stanisław Żółtek - https://stanislawzoltek.pl
Podziękowania dla grupy roboczej 💛
Ten raport nie powstałby bez zaangażowania i wsparcia członków naszej grupy roboczej — serdecznie dziękujemy wszystkim za pomoc i cenne uwagi!
Jeśli chcesz zaangażować się i wspierać nasze inicjatywy na rzecz lepszego internetu, zapraszamy na nasze forum – czekamy na Ciebie!
Użyte narzędzia
Arkadiusz Wieczorek
