Szanowni Państwo,

w dniu 2023-04-23 odwiedziłem stronę https://paulinamatysiak.pl/polityka-prywatnosci/. Po podejrzeniu ruchu sieciowego generowanego przez tę stronę za pomocą wtyczki Rentgen w przeglądarce Firefox chciałbym zwrócić Państwa uwagę na kilka potencjalnych problemów ze zgodnością RODO na Państwa stronie.
Cele przetwarzania danych

Państwa strona ujawniła dane mnie dotyczące w zakresie treści plików cookies i części mojej historii przeglądania podmiotom, które są właścicielami nastepujących domen:

wp.com: część mojej historii przeglądania (query params w URL o nazwie srv);
getresponse.com: część mojej historii przeglądania (nagłówek HTTP Origin, query params w URL o nazwie url);
www.google.com: treść plików cookies;
googlevideo.com: część mojej historii przeglądania (query params w URL o nazwie mime);
region1.analytics.google.com: treść plików cookies i część mojej historii przeglądania (query params w URL o nazwie dl);
google-analytics.com: część mojej historii przeglądania (query params w URL o nazwie dl);
stats.g.doubleclick.net: część mojej historii przeglądania (nagłówek HTTP Origin);
youtube.com: treść plików cookies i część mojej historii przeglądania (nagłówek HTTP X-YouTube-Time-Zone).

Apeluję o umieszczenie informacji na temat na Państwa stronie, aby jej użytkownicy mogli podejmować w pełni świadome wybory dotyczące przetwarzania danych ich dotyczących.
Ciasteczka stanowią dane osobowe

Sztucznie wygenerowane identyfikatory przechowywane w plikach Cookies stanowią dane osobowe. Wskazuje na to wprost Art. 4. pkt 1. RODO, wymieniając „identyfikator internetowy” i „numer identyfikacyjny” jako przykłady danych osobowych. Losowe przypisane identyfikatory mogą nie zawierać imienia i nazwiska osoby, której dotyczą, ani nie prowadzić wprost do ich ustalenia, ale pozwalają odróżnić jedną, daną konkretną osobę, od innych.

Por. komentarz z D. Lubasz [w:] Ochrona Danych Osobowych [red.] D. Lubasz, Warszawa 2020 r., str. 81:

Zidentyfikowaną osobą fizyczną jest osoba, której tożsamość jest ustalona - bezpośrednio i natychmiast, czyli taka, którą bezpośrednio można wskazać, wyodrębnić lub wyróżnić z określonej zbiorowości. Nie musi to natomiast polegać na podaniu jej imienia nazwiska. Konstatacja ta jest zwłaszcza istotna w środowisku cyfrowym, w którym identyfikacja sprowadza się do oznaczenia danego użytkownika w celu wywierania na niego określonego wpływu. (...) Możliwą do zidentyfikowania jest osoba, której tożsamość dopiero administrator może ustalić - niezależnie od tego, czy to zrobi, czy nie.

Podobnie za P. Litwiński [w:] Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, Komentarz [red.] P. Litwiński, Warszawa 2018 r.:

Jak zwrócono uwagę w nauce prawa, identyfikacja osoby powinna być rozumiana jako możliwość „fizycznego” wskazania tejże osoby, nie zaś jako ustalenie podstawowych danych tej osoby (...). Analogicznie, identyfikacja osoby nie wymaga znajomości jej imienia lub nazwiska, wymaga natomiast znajomości pewnych unikalnych cech tej osoby, które odróżniają ją od innych osób (...). W ten sam sposób należy więc rozumieć zwrot „można zidentyfikować” - nie tylko jako możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz także jako możliwość wskazania tej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób.
Państwa rola jako współadministratora danych osobowych

Zwracam Państwa uwagę na fakt, że w myśl treści wyroku TSUE w sprawie C-40/17 poprzez wysyłanie moich danych w wyżej opisanym zakresie stają się Państwo współadministratorem moich danych osobowych, nawet jeżeli nie są Państwo bezpośrednimi autorami osadzonych na Państwa stronie skryptów czy innych zasobów ujawniających dane użytkowników Państwa strony podmiotom trzecim. Dlatego ciąży na Państwu obowiązek odpowiedzi na moje pytania na mocy Art. 12 i 13 Rozporządzenia 2016/679 Parlamentu Europejskiego i Rady (UE) z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – RODO