Third-party cookies – co to jest?

W dobie rosnących obaw o prywatność w Internecie third-party cookies stają się centralnym punktem debaty na ten temat. Jak działają te niewielkie pliki tekstowe i jaka jest ich przyszłość?

Z tego artykułu dowiesz się m.in.:

• Czym są third-party cookies?
• Jakie są zależności między third-party cookies a first-party cookies?
• Jakie przepisy prawa regulują działania third-party cookies?
• Jak działają third-party cookies?
• Jakie są zastosowania third-party cookies?
• Jak różne przeglądarki podchodzą do blokowania i usuwania third-party cookies?
• Jakie są alternatywy dla third-party cookies?
• Jaka może być przyszłość third-party cookies?

Third-party cookies – definicja

Third-party cookies to pliki tekstowe przechowywane w przeglądarce internetowej użytkownika, które są generowane przez domeny inne niż ta, którą użytkownik bezpośrednio odwiedza. Umieszczają je tam zewnętrzne serwisy, zazwyczaj powiązane z reklamodawcami, platformami analitycznymi lub narzędziami śledzącymi^{[1] [2]}.

Third-party cookies to pliki tekstowe umieszczane w przeglądarce użytkownika przez zewnętrzne serwisy, inne niż odwiedzana strona, wykorzystywane głównie do śledzenia aktywności użytkowników na różnych witrynach.

Definicja third-party cookies

Ich głównym celem jest monitorowanie zachowań konsumentów na różnych stronach internetowych, co pozwala na tworzenie bardziej szczegółowych profili konsumentów. Dzięki temu reklamodawcy mogą dostarczać spersonalizowane reklamy, które lepiej odpowiadają zainteresowaniom użytkownika. Ich stosowanie jednak budzi wiele kontrowersji związanych z prywatnością, ponieważ pozwalają na szeroką analizę aktywności użytkowników w sieci, co może prowadzić do naruszeń ochrony danych osobowych^{[3] [4]}.

Third-party cookies a first-party cookies

First-party cookies są generowane i przechowywane przez domenę, którą użytkownik bezpośrednio odwiedza. Mają ułatwiać korzystanie z witryny poprzez zapamiętywanie preferencji użytkownika, takich jak język, dane logowania czy zawartość koszyka zakupowego oraz zapewniają spersonalizowane doświadczenia użytkownika. Z kolei third-party cookies są umieszczane przez domeny zewnętrzne, niezwiązane bezpośrednio z odwiedzaną stroną. Najczęściej są to serwisy reklamowe lub analityczne, które śledzą aktywność użytkownika na różnych stronach internetowych^{[5] [6]}.

First-party cookies są zazwyczaj akceptowane jako narzędzie wspomagające komfort użytkownika, third-party cookies budzą więcej kontrowersji, ponieważ umożliwiają bardziej inwazyjne formy śledzenia. Coraz większa liczba przeglądarek i platform internetowych ogranicza stosowanie third-party cookies, więc first-party cookies nabierają większego znaczenia jako główne narzędzie personalizacji w obrębie jednej domeny^{[7] [8]}.

Third-party cookies a prawo

Kwestie związane z third-party cookies są regulowane przede wszystkim przez przepisy Unii Europejskiej, takie jak Ogólne Rozporządzenie o Ochronie Danych (GDPR, w Polsce RODO)^{[9] [10] [11]} oraz Dyrektywę ePrivacy^{[12] [13]}, znaną jako „prawo cookie”. Koncentrują się one na ochronie prywatności użytkowników w kontekście danych gromadzonych przez strony internetowe.

GDPR klasyfikuje pliki cookies jako „identyfikatory online”, co oznacza, że dane zbierane za ich pomocą mogą być traktowane jako dane osobowe, jeśli pozwalają na identyfikację użytkownika. W związku z tym przetwarzanie takich danych wymaga zgody użytkownika, która musi być wyrażona w sposób świadomy, dobrowolny, konkretny i jednoznaczny. Firmy muszą dostarczyć jasne informacje na temat celów, dla których pliki cookie są używane, a także umożliwić użytkownikom łatwe wycofanie zgody^{[14] [15]}.

Z kolei dyrektywa ePrivacy, wprowadzona w 2002 roku i zaktualizowana w 2009 roku, wymaga od stron internetowych uzyskania zgody użytkowników przed zainstalowaniem cookies, z wyjątkiem tych niezbędnych do funkcjonowania witryny. Doprowadziła ona do wprowadzenia powszechnych banerów z informacjami o plikach cookie na stronach internetowych. Planowane jest zastąpienie jej bardziej kompleksowym Rozporządzeniem ePrivacy, które ma na celu lepsze dostosowanie przepisów do współczesnych technologii, takich jak IoT czy komunikacja maszyna-maszyna^{[16] [17]}.

W Stanach Zjednoczonych nie ma jednolitego federalnego prawa dotyczącego cookies, jednak poszczególne stany, takie jak Kalifornia, wprowadzają przepisy, które mają na celu regulację ochrony danych użytkowników, np. California Consumer Privacy Act (CCPA)^[18].

Działanie third-party cookies

Third-party cookies powstają^{[19] [20]} w wyniku interakcji użytkownika z witryną internetową, w której zewnętrzne podmioty – dostawcy reklam, sieci społecznościowe lub systemy analityczne – umieszczają swoje własne pliki cookie na urządzeniu użytkownika.

Zaczyna się to, gdy strona internetowa, na którą wchodzi użytkownik, zawiera zasoby pochodzące z domen zewnętrznych, np. reklamy lub wtyczki społecznościowe. Zewnętrzny podmiot, którego zasoby są zintegrowane z tą stroną, generuje plik cookie i umieszcza go w przeglądarce użytkownika za pomocą mechanizmu zwanego żądaniem HTTP.

Te cookies pozwalają zewnętrznym podmiotom śledzić użytkownika nie tylko na jednej stronie, ale na wielu różnych witrynach. Dzięki temu mogą posłużyć do stworzenia szczegółowych profili na temat zachowań i preferencji użytkownika, co umożliwia lepsze targetowanie reklam oraz analizowanie ruchu na stronie. Proces ten opiera się na identyfikacji użytkownika za pomocą unikalnego identyfikatora przechowywanego w pliku cookie – kiedy użytkownik ponownie odwiedza inne strony korzystające z tych samych zewnętrznych zasobów, third-party cookies są odczytywane, a zewnętrzny serwer otrzymuje informacje o jego aktywności^{[21] [22]}.

Działanie third-party cookies wywołuje kontrowersje, ponieważ użytkownik często nie zdaje sobie sprawy z tego, że jest śledzony przez podmioty inne niż odwiedzana witryna. Taka forma monitorowania może naruszać prywatność, dlatego wiele wprowadzono regulacje takie jak GDPR i dyrektywa ePrivacy, które wymagają od reklamodawców i firm uzyskanie świadomej zgody użytkownika na ich stosowanie.

Zastosowania third-party cookies

Third-party cookies są szeroko stosowane w marketingu internetowym i analityce^{[23] [24]}. Ich głównym celem jest gromadzenie informacji o zachowaniach użytkowników w sieci, dzięki czemu reklamodawcy mogą tworzyć bardziej szczegółowe profile konsumentów i dostarczać im reklam odpowiadające na ich zainteresowania i preferencje.

Tego rodzaju cookies umożliwiają też monitorowanie skuteczności kampanii reklamowych, pozwalając na mierzenie konwersji, a także na ograniczanie liczby wyświetleń tych samych reklam dla jednego użytkownika.

Cookies wykorzystuje się też w systemach analitycznych do śledzenia ruchu na stronach internetowych. Dzięki nim administratorzy stron mogą optymalizować zawartość swoich witryn oraz dostosowywać je do potrzeb użytkowników. W kontekście komercyjnym pomagają w segmentacji rynku i targetowaniu specyficznych grup użytkowników, umożliwiając tworzenie kampanii reklamowych, które są bardziej skuteczne i precyzyjne.

Blokowanie i usunięcie third-party cookies w przeglądarkach

Przeglądarki stopniowo odchodzą od third-party cookies na rzecz nowych technologii, które mają zmniejszyć inwazyjne śledzenie przy jednoczesnym zachowaniu funkcjonalności, takich jak personalizacja reklam.

Google Chrome

Google Chrome, jako najpopularniejsza przeglądarka internetowa, miał długoletni związek z third-party cookies. Początkowo obsługiwał je bez większych ograniczeń, co umożliwiało reklamodawcom i zewnętrznym serwisom śledzenie działań użytkowników na wielu stronach internetowych, ale pojawiające się regulacje prawna i rosnące obawy dotyczące prywatności skłoniły firmę do zmiany podejścia.

W 2020 roku Google zapowiedział stopniowe wycofywanie third-party cookies w ramach inicjatywy Privacy Sandbox, której celem było znalezienie bardziej prywatnych metod reklamowych. Początkowo planowano całkowite wyłączenie third-party cookies w Chrome do 2022 roku, ale termin został przesunięty, aby dać branży reklamowej czas na przystosowanie się do nowych technologii^{[25] [26]}.

Ostateczne usunięcie third-party cookies zaplanowano na 2024 rok, ale w lipcu tego roku Google stwierdziło, że jednak nie będzie ich usuwać – w zamian firma będzie rozwijać „nowe środowisko”, które ma zadowolić wszystkie zainteresowane strony, czyli samo Google, reklamodawców oraz regulatorów w rodzaju Unii Europejskiej^{[27] [28] [29]}. Jednocześnie firma cały czas rozwija nowe rozwiązania^{[30] [31]}, takie jak:

• Topics API, który pozwala na kierowanie reklam na podstawie zainteresowań bez naruszania prywatności użytkowników;
• Attribution Reporting i FLEDGE, które pozwalają na pomiar skuteczności reklam bez śledzenia użytkowników na wielu stronach, co ma na celu zapobieganie nadużyciom związanym z technikami, takimi jak fingerprinting.

Mozilla Firefox

Mozilla Firefox już w 2018 roku wprowadził funkcję Enhanced Tracking Protection (ETP), która automatycznie blokuje znane trackery używające third-party cookies. W 2021 roku Mozilla wprowadziła nowy mechanizm o nazwie Total Cookie Protection, który działa poprzez izolowanie ciasteczek w „oddzielnych pojemnikach” dla każdej odwiedzanej witryny, dzięki czemu ciasteczka jednej strony nie mogą być używane do śledzenia aktywności użytkownika na innych stronach^{[32] [33]}.

Firefox nie tylko blokuje trackery oparte na liście, ale całkowicie izoluje wszystkie ciasteczka, niezależnie od tego, czy dany tracker jest rozpoznany. W 2024 roku przeglądarka wprowadzała dalsze udoskonalenia, blokując jeszcze więcej third-party cookies oraz stosując nowe mechanizmy partycjonowania ciasteczek, aby zapewnić jeszcze wyższy poziom prywatności^{[34] [35]}.

Safari

Safari od dawna przoduje w ochronie prywatności użytkowników – w 2017 roku Apple wprowadziło funkcję Intelligent Tracking Prevention, która uniemożliwia dzielenie się ciasteczkami między różnymi stronami, więc firmy nie mogą tworzyć szczegółowych profili użytkowników na podstawie ich aktywności w sieci – nadal jednak zezwala na korzystanie z ciasteczek first-party. Do 2020 roku Safari w pełni zablokowało third-party cookies^{[36] [37]}.

Microsoft Edge

Microsoft Edge także dąży do stopniowego wycofania third-party cookies – od dłuższego czasu wprowadza funkcje, takie jak Tracking Prevention, która domyślnie blokuje je oraz inne mechanizmy śledzące. W 2024 roku Edge ma rozpocząć eksperymenty z wycofywaniem third-party cookies, początkowo dla mniej niż 1% użytkowników, aby ocenić wpływ tej zmiany na ekosystem reklamowy i stron internetowych. Pełne wycofanie ma nastąpić stopniowo, z dalszymi testami i stopniowym wdrażaniem nowych narzędzi. Firma opracowuje też nowe technologie, takie jak Ad Selection API, która chroni dane użytkowników, wykorzystując zaawansowane mechanizmy ochrony prywatności, takie jak k-anonimowość oraz differential privacy (pol. prywatność różnicowa), i nie wykorzystuje third-party cookies. Pozwala to prowadzić aukcje reklamowe bez ujawniania prywatnych danych użytkowników^{[38] [39]}.

Alternatywy dla third-party cookies

W obliczu wycofania third-party cookies na znaczeniu zyskują ich alternatywy^{[40] [41] [42] [43]}, takie jak:

• Jednym z głównych zamienników są first-party cookies – są bardziej zaufane, ponieważ pochodzą bezpośrednio z interakcji użytkownika z witryną, a nie z monitorowania jego aktywności w różnych domenach. Organizacje coraz częściej inwestują w gromadzenie danych first-party, aby tworzyć bardziej spersonalizowane doświadczenia użytkowników przy jednoczesnym poszanowaniu prywatności.
• Innym rozwiązaniem jest reklama kontekstowa, która opiera się na treściach i tematach obecnych na stronie, a nie na danych użytkownika, co pozwala uniknąć inwazyjnego śledzenia, przy jednoczesnym utrzymaniu efektywności kampanii reklamowych.
• Kolejną alternatywą była technologia Federated Learning of Cohorts (FLoC), zaproponowana przez Google, która grupuje użytkowników na podstawie podobnych zainteresowań bez śledzenia indywidualnych osób – spotkała się ona jednak z krytyką ze strony organizacji zajmujących się prywatnością w sieci i została zastąpiona przez Topics API. Dzięki temu API można wyświetlać reklamy na podstawie szerokich zainteresowań użytkowników, bez ujawniania ich prywatnych danych.
• Inne metody obejmują zbieranie danych zero-party, czyli informacji dobrowolnie udostępnianych przez użytkowników, oraz serwerowe śledzenie danych (server-side tracking), które umożliwia gromadzenie danych bezpośrednio na serwerach firm, co eliminuje potrzebę przechowywania danych na urządzeniach użytkowników.

Przyszłość third-party cookies

Przyszłość third-party cookies^{[44] [45] [46]} zmierza ku stopniowemu wycofaniu, co jest wynikiem rosnących obaw dotyczących prywatności oraz nacisków regulacyjnych. Główne przeglądarki, takie jak Chrome, Firefox, Safari i Edge, już zapowiedziały lub rozpoczęły proces ich eliminacji czy poważnego ograniczenia ich roli. Dążą one też do wprowadzenia bardziej prywatnych technologii śledzenia, które będą jednocześnie wspierać reklamodawców i zapewniać bezpieczeństwo danych użytkowników.

Branża reklamowa zostanie zmuszona do przystosowania się do nowych technologii, które zamiast śledzenia indywidualnych użytkowników, będą opierać się na grupowych analizach behawioralnych czy innych rozwiązaniach, które zachowują funkcjonalność personalizacji reklam, jednocześnie eliminując potrzebę gromadzenia szczegółowych danych o jednostkach.

Wycofanie third-party cookies może również doprowadzić do rozwoju bardziej ukrytych metod śledzenia, takich jak fingerprinting, co budzi obawy związane z potencjalnym rozwojem jeszcze bardziej inwazyjnych technik monitorowania aktywności online. Z tego względu można się spodziewać, że regulacje prawne, takie jak RODO i CCPA, będą modyfikowane, żeby lepiej kontrolować działanie nowe technologii śledzących, a przyszłość reklamy cyfrowej będzie kompromisem między zachowaniem prywatności a skutecznością marketingową, z rosnącym naciskiem na pierwszorzędne dane oraz budowanie bezpośrednich relacji z użytkownikami.