Bullshit Basics: Cookies nie są plikami tekstowymi

Cookies często są określane jako pliki tekstowe. Nawet najnowsze deklaracje ochrony danych rozprzestrzeniają ten mit. Prawda jest coś innego, czego mogę udowodnić.

Practically każda deklaracja ochrony danych, która wskazuje na pliki cookie, określa je jako pliki tekstowe. Tam można przeczytać: „Plik cookie jest plikiem tekstowym”. W deklaracji ochrony danych jednego z firm, które znam, znalazł się ten sam wpis. Został on napisany przez prawnika. Skąd miałby wiedzieć lepiej, skoro nawet administratorzy stron internetowych mają często braki wiedzy.

Wcześniej pliki cookie były rzeczywiście często, a może nawet zawsze plikami tekstowymi. Jak faktycznie są przechowywane pliki cookie decyduje każdy przeglądarka sama. Wcześniej wiele, a może wszystkie przeglądarki przechowywały pliki cookie jako pliki tekstowe. Było to jednak przypadkowo, ponieważ istnieją liczne techniczne możliwości przechowywania małych informacji takich jak te w plikach cookie. Jednakże teoretyczna wielkość pliku cookie nie jest najmniejsza.

Obecnie nowe przeglądarki przechowują pliki cookie inaczej. Przeglądarka Firefox na przykład używa bazy danych. Jako bazę danych wybiera Firefox SQLite. SQLite jest baza danych oparta na plikach.

Sqlite przechowuje, tak jak każda klasyczna baza danych SQL również, kilka rekordów w jednej tabeli. Kilka tabel z kolei tworzy bazę danych. Baza danych z kolei jest zapisywana przez Sqlite jako pojedyncza plik. Ale tutaj również obowiązuje to: Ciasteczko nie jest plikiem tekstowym i nie jest plikiem! Baza danych jest plikiem (przede wszystkim nie tekstowym!), który zawiera wiele ciasteczek, ale nie wszystkie informacje o nich. Inne informacje o ciasteczkach, które np. sterują widocznością są przechowywane w innej bazie danych.

Dla Firefoksa is dostępna cała seria takich baz danych. Oto wybór z nich:

Baza danych, w której są przechowywane pliki cookie, ma nazwę cookies.sqlite. Nie jest to plik tekstowy, lecz plik binarny. Nawet gdyby był to plik tekstowy: Tam nie jest zapisany żaden plik cookie, a także nie są tam wszystkie informacje o jednym pliku cookie! Często w kilku plikach są przechowywane kilka plików cookie. Wtedy jeden plik cookie (często) jest rozproszony na kilka plików.

Lokalizacja plików można otworzyć w Firefoxie poprzez wpisanie about:support do pola adresu przeglądarki, naciśnięcie Enter i kliknięcie przycisku "Folder otwórz" (po prawej stronie od opisu "Katalog profilowy")

W tej wskazanej bazie danych są zapisane istotne informacje o plikach cookies. Są to m.in.:

• Name
• Wartość
• Domena
• Droga
• Okres życia
• Flags wie HTTP yes/no, Sicher yes/no, SameSite yes/no

Dodatkowe metadane są przechowywane w innych bazach danych.

Baza danych dotycząca plików cookies zawiera np. wpisy takie jak poniższe:

Jasne, można zobaczyć, że pliki cookies nie są plikami tekstowymi.

Więcej jeszcze tego ma zastosowanie:

Krótkie przeglądy wykazały: Każda z (małej) deklaracji ochrony danych, które sprawdziłem, była błędna w odniesieniu do opisu, co to są pliki cookies. Co ciekawe, nawet dostawcy narzędzi do zgody nie wiedzą, czym są pliki cookies naprawdę. Jak pokazałem, narzędzia do zgody są niewystarczające do tworzenia stron internetowych zgodnych z przepisami o ochronie danych.

Ktoś, kto jeszcze chce twierdzić, że pliki cookies są plikami tekstowymi, proszę wyjaśniąć mi następującą wersję z rzekomego pliku cookie Firefox'a:

Widok został wyświetlony przy otwarciu głównej pliku bazy danych ciasteczek Firefox z pomocą potężnego edytora Notepad++

Widać jest wiele niedarzających się znaków, które znajdują się w jednej z baz danych plików cookies. Plik tekstowy to według Wikipedii (i według mojego zdroworozsądkowego przekonania) jest plikiem, który „zawiera darzające się znaki”. Jedynym wyjątkiem jest taka sytuacja, gdy te znaki są podzielone na linie i strony za pomocą sterujących znaków. Powyższy przykład pokazuje wiele znaków, które nie wchodzą w żadną z tych kategorii.

Jeśli jednak takie pliki nazwałoby się plikami tekstowymi, każdy plik byłby plikiem tekstowym. To nie ma sensu. Plik jest bowiem formą przechowywania określoną przez przeglądarkę. Nikt nie zna wszystkich form przechowywania wszystkich przeglądarek. Jednak prawidłowo jest, że plik cookie to zestaw danych lub pamięć danych lub pamięć stanu, bez względu na to, jakie przeglądarki obsługują pliki cookies. Wynika to z RFC 6265.

Ciasteczka nie zapisują nawet plików, lecz dane. Plik ma nazwę, jest umieszczony w systemie plików dostępnym dla użytkownika w określonym katalogu i może być szukany za pomocą tego systemu oraz zazwyczaj czytany i modyfikowany. Dane w ciasteczkach nie spełniają tych kryteriów. Zobacz też artykuł Wikipedii o plikach. Ciasteczka są raczej zarządzane (jak, to kwestia przeglądarki). Mogę nawet napisać samodzielnie przeglądarkę, która zarządza ciasteczkami tak, że nikt poza moją przeglądarką nie widzi ciasteczek zarządzanych przez przeglądarkę.

Może przydadzą się w podejmowaniu decyzji, jeśli rozważymy fakt, że polityki prywatności stron internetowych wymienionych poniżej uznają pliki cookies za pliki tekstowe (stan na 18.01.2021):

• UserCentrics: „Plik cookie przeglądarki internetowej jest małym plikiem tekstowym, który zostaje wysłany przez stronę internetową na komputer lub urządzenie mobilne, gdzie zostaje zapisany przez przeglądarke internetową.” eRecht24 również poleca UserCentrics i wyjaśnia pliki cookie w swojej polityce prywatności jako pliki tekstowe.
• Cookiebot: "Ciasteczka są małymi plikami tekstowymi, które używane są przez strony internetowe do ułatwienia korzystania z nich
• Zarządca zgody: „Przy plikach cookie chodzi o małe pliki tekstowe, które są przechowywane na Twoim dysku twardym i przyporządkowane do tego, którym z nich używasz przeglądarki. Pliki te umożliwiają stronie, która je ustawia (tutaj przez nas), dostarczenie określonych informacji. Pliki cookie nie mogą uruchamiać programów ani przenosić wirusów na Twojego komputera.”.
• Ciasteczka są małymi plikami tekstowymi, które zostają umieszczone na Twoim komputerze i przechowywane przez Twoją przeglądarkę ([1])
• Jednym z nich jest OneTrust: „Cookie to małe pakiet danych (plik tekstowy), który Twoja przeglądarka przechowuje na urządzeniu po poleceniu odwiedzonej strony, aby zapamiętać informacje o Tobie, takie jak ustawienia języka lub dane logowania.” ([1])

Ktoś, kto uważa, że nie wymienione tutaj oferty narzędzi do zgody są lepsze, może zobaczyć moją próbkę praktyczną dotyczącą rozwiązań dotyczących zgody. Wynik testu: Wszystkie testowane narzędzia do zgody generują bzdur na stronach internetowych.

Na stronie internetowej Facebooka nawet opisuje się cookies jako małe tekstowe fragmenty.

Ktoś przyjaźnie proponował, aby nazwać pliki cookies w informacjach o ochronie danych. Yes już wcześniej sugerowałem, by nazwać plik cookie jako zestaw danych lub kawałek informacji. Jednakże określenie to jest bardziej małe niż duże. Wyrażenie to nie jest całkowicie dokładne.

Jednak następujący pomysł wydaje się łatwiejszy do zrozumienia:

Ciastko jest informacją przechowywaną na Twoim urządzeniu końcowym (komputerze, telefonie itp.)

Czy ciasteczka są małe? Nie, nie są. Ciasteczko może, jak wynika z RFC 6265, przechowywać ilość danych do 4096 bajtów (4 kilobajty). Local Storage to magazyn internetowy, który może przechować znacznie większe ilości danych. Według Wikipedii wielkość zależy od przeglądarki i może wynosić kilka megabajtów. Zatem ciasteczka nie są wcale małe. Dodatkowo, nawet 4 KB danych osobowych przy klasycznych ciasteczkach to ilość danych o wielkościach setek razy większych niż każde inne dane, które mi przyjdzie na myśl, aby zidentyfikować osobę. Imię osoby ma tylko kilka bajtów. Nawet adres pocztowy często ma mniej niż 100 bajtów.

Czy pliki cookies są również przechowywane na serwerze internetowym strony lub usługi włączonej do niej? Nie, przynajmniej w teorii. Tylko wartości cookies są wysyłane na serwer internetowy. Czy i jak te wartości będą przechowywane to zależy od serwera. Zgodnie ze specyfikacją RFC6265 na serwerze internetowym nie ma niczego, co można by nazwać plikami cookies. Jest i pozostaje błędem, określanie cookies jako tekstowe pliki. Cookies to nie są tekstowe pliki, niezależnie od tego, jak się ich podejdzie. Nie poprawi się sytuacja przez powtarzanie fałszywych twierdzeń. Jeśli ktoś potrafi programować i ma doświadczenie w dziedzinie ochrony danych osobowych i uważa, że cookies to tekstowe pliki: cookies są nadal nie tekstowymi plikami. Dlaczego powinny mieć tu znaczenie umiejętności programistyczne i doświadczenie w dziedzinie ochrony danych osobowych? Co ma znaczenie, to fakty i dowody, a nie opinie czy poglądy.

Dużo powodzenia przy zmianie własnej polityki prywatności.

PS: Także yes padłem na wiele czasu na deklaracje niektórych rzekomych ekspertów od ochrony danych i pisałem fałszywą definicję plików cookie. Od pewnego czasu szukam samej prawdy i piszę ją, tak dobrze jak potrafię, na blogu Dr. RODO. Powinniście porzucić przypuszczenie, że coś jest prawdą tylko dlatego, że wielu ludzi o tym mówi. Czasem to odwrotnie jest prawdą.

Nie chodzi mi tutaj o proste wyjaśnienie czym są pliki cookies. Chcę pokazać, że wielu osób w dziedzinach takich jak technika i ochrona danych osobowych cyfrowych nie ma pojęcia o tym co robią.