W jednym zdaniu. CMP ma pomagać stronie respektować wybór dotyczący zapisu i odczytu informacji z urządzenia na gruncie art. 399 PKE oraz, gdy dochodzi do przetwarzania danych osobowych na podstawie zgody, warunki RODO. TCF jest potrzebny tylko w odpowiednim modelu reklamowym, a konfigurację i dowody trzeba sprawdzić w praktyce.
Jaką platformę zarządzania zgodami (CMP) wybrać dla polskiej strony w 2026 r.? Najpierw zinwentaryzuj technologie na stronie i odróżnij te objęte wyjątkiem od wymagających zgody. Dopiero potem oceniaj, czy platforma potrafi zablokować odpowiednie skrypty, zapisać i respektować wybór oraz wykazać konfigurację. Standard IAB TCF jest osobnym kryterium dla określonego ekosystemu reklamowego, nie wymogiem każdej strony. CMP to nie tylko banner — to system, który zbiera, rejestruje i egzekwuje zgody użytkowników na cookies i inne technologie śledzące. Poniżej porównuję zadania i modele wdrożenia, a nie niezweryfikowane rankingi lub cenniki dostawców.
Najważniejsze punkty
- Art. 399 PKE reguluje przechowywanie informacji w urządzeniu końcowym i dostęp do niej, z wyjątkami dla transmisji i usługi żądanej przez użytkownika.
- Zgoda na cookies inne niż niezbędne musi być uprzednia, dobrowolna i granularna.
- IAB TCF jest standardem sygnałów dla określonego ekosystemu reklamowego; sprawdź aktualną wersję i wymagania partnerów, jeśli z niego korzystasz.
- Jeśli podstawą przetwarzania danych osobowych jest zgoda, administrator musi umieć ją wykazać (art. 7 ust. 1 RODO); sam wygląd bannera nie wystarcza.
- CMP rozwiązuje wąski problem cookies; nie zastępuje pełnej dokumentacji RODO.
Kontekst prawny: PKE i zgoda na cookies
Podstawa prawna wymogu zgody na cookies w Polsce zmieniła się. Do niedawna źródłem obowiązku był art. 173 Prawa telekomunikacyjnego. Od listopada 2024 r. weszło w życie Prawo komunikacji elektronicznej (PKE), które zastąpiło dotychczasowe przepisy telekomunikacyjne, w tym reżim zgody na przechowywanie i dostęp do informacji w urządzeniu końcowym użytkownika (cookies). Właściwą podstawą jest art. 399 PKE. Obejmuje nie tylko pliki cookie, lecz także inne sposoby przechowywania informacji lub dostępu do niej w urządzeniu końcowym.
Zasada pozostaje spójna z ePrivacy i RODO: zgoda na cookies inne niż ściśle niezbędne musi być uprzednia (przed zapisem cookie), dobrowolna, konkretna i jednoznaczna. RODO i wytyczne EROD wykluczają zgodę wynikającą z bierności lub uprzednio zaznaczonych pól; wymuszanie zgody za dostęp do treści może podważyć dobrowolność. Widoczny i łatwy wybór odmowy to bezpieczne kryterium projektowe, którego wagę potwierdza sprawozdanie zespołu EROD ds. banerów cookie. Standard zgody definiuje art. 7 RODO i rozwija przewodnik RODO – zgoda na pliki cookies oraz Prawo telekomunikacyjne a cookies.
Warto rozdzielić dwie warstwy prawne, które użytkownicy często mylą. PKE, które zastąpiło odpowiednie przepisy Prawa telekomunikacyjnego, reguluje zapis informacji w urządzeniu końcowym i dostęp do niej; art. 399 przewiduje zgodę oraz określone wyjątki. RODO reguluje dalsze przetwarzanie danych osobowych, które dzięki cookie zbierasz — profilowanie, remarketing, budowanie profilu użytkownika. To dwie odrębne analizy: zastosowanie art. 399 PKE i, jeśli informacje są danymi osobowymi, odpowiednia podstawa oraz inne wymogi RODO. Nie każde techniczne użycie urządzenia oznacza przetwarzanie danych osobowych oparte na zgodzie. Dobra CMP obsługuje przede wszystkim tę pierwszą warstwę, ale generowany przez nią dowód zgody jest użyteczny również przy wykazywaniu podstawy z RODO. Dlatego CMP nie jest wyłącznie kwestią techniczną — to element dokumentacji rozliczalności.
Co musi mieć dobra platforma CMP
CMP to nie ozdobny banner, lecz system egzekwujący zgodę i dokumentujący ją. Oto kryteria, które faktycznie decydują.
Uprzednie blokowanie skryptów. Kluczowe technicznie: CMP musi blokować cookies i skrypty śledzące do momentu uzyskania zgody. Banner wyświetlony po uruchomieniu technologii wymagającej zgody nie naprawia wcześniejszego zapisu ani odczytu.
Granularność celów. Użytkownik musi móc zgodzić się na wybrane cele (np. analityka) i odmówić innym (np. marketing), a nie tylko „wszystko albo nic". Odmowa nie powinna być ukryta lub istotnie trudniejsza niż akceptacja; sprawdź cały przebieg interfejsu, a nie tylko podpisy przycisków.
Obsługa IAB TCF, jeśli potrzebna. W określonych modelach reklamy programmatic standard Transparency and Consent Framework porządkuje przekazywanie sygnałów do partnerów. Przed zakupem zapytaj partnerów, czy i w jakiej aktualnej wersji go wymagają; sama nazwa branży lub sklepu nie przesądza o potrzebie TCF.
Dowód zgody (consent logging). Najważniejsze z perspektywy kontroli: Administrator opierający przetwarzanie na zgodzie musi móc ją wykazać. Sprawdź, czy zapis wybranego celu, czasu, wersji treści i sposobu wyboru jest dostępny oraz zgodny z własną polityką retencji; nie trzeba zbierać nadmiernych danych tylko po to, aby „mieć log”.
Rekonsent i wersjonowanie. Istotna zmiana zakresu celu lub sposobu przetwarzania może wymagać nowej zgody; nie każda zmiana dostawcy automatycznie ją unieważnia. Platforma powinna zarządzać wersjami i ponawiać pytanie, gdy zakres się zmienia.
Łatwe wycofanie zgody. RODO wymaga, by wycofanie zgody było równie proste jak jej udzielenie (art. 7 ust. 3). W praktyce oznacza to trwale dostępny mechanizm zmiany preferencji — najczęściej dyskretny odnośnik lub ikonę na każdej podstronie — a nie zgodę, którą da się cofnąć dopiero po napisaniu maila. Brak łatwego wycofania to jeden z częstszych zarzutów organów wobec bannerów cookie.
Porównanie sposobów wdrożenia CMP
| Model | Kiedy rozważyć | Co sprawdzić przed wyborem |
|---|---|---|
| CMP dla prostej witryny | Niewiele technologii i celów | Blokowanie, wersja komunikatu, wycofanie i eksport dowodu |
| CMP dla wielu domen | Różne serwisy i zespoły | Rozdzielenie konfiguracji, języków i odpowiedzialności |
| CMP dla reklamy programmatic | Partnerzy wymagają sygnałów branżowych | Aktualna wersja TCF, lista partnerów, test transmisji sygnału |
| Rozwiązanie własne | Zespół ma zasoby utrzymania | Testy po zmianach strony, logowanie i przegląd prawny |
To nie ranking dostawców. Opublikowane funkcje, plany i ceny zmieniają się, a sama deklaracja zgodności nie pokazuje, co dzieje się na konkretnej stronie. Porównuj rozwiązania na własnym wykazie technologii i na tej samej ścieżce testowej. Jeżeli kupujesz moduł razem z oprogramowaniem RODO, sprawdź moduł CMP osobno; funkcje rejestru czynności lub DPIA nie dowodzą prawidłowego blokowania trackerów.
CMP a pełna zgodność RODO
Ważne rozróżnienie: CMP rozwiązuje wąski problem cookies, nie całość RODO. Platforma zgód może pomóc wykonać część obowiązków PKE i obsłużyć wybór dotyczący śledzenia, ale nie zastąpi rejestru czynności, obsługi wniosków podmiotów danych, umów powierzenia czy rejestru naruszeń. Firma potrzebuje odpowiednich procedur dla obu obszarów; nie zawsze oznacza to zakup dwóch produktów. Jak te elementy układają się w całość, opisuje przewodnik po zgodności z RODO 2026; zgoda na cookies łączy się też z regułami marketingu bezpośredniego.
W praktyce firmy popełniają tu jeden z dwóch błędów. Pierwszy to wdrożenie dopracowanego CMP i uznanie, że „RODO jest załatwione" — mimo braku rejestru czynności czy procedury obsługi wniosków. Drugi, odwrotny, to zbudowanie pełnej dokumentacji RODO przy pozostawieniu na stronie bannera-atrapy, który nie loguje zgód. Oba pozostawiają realną lukę. Obie warstwy trzeba ocenić osobno i utrzymywać spójne informacje dla użytkownika; sposób integracji zależy od systemów i odpowiedzialności.
Dowód wyboru i jego granice
Art. 7 ust. 1 RODO wymaga, aby administrator potrafił wykazać zgodę osoby, gdy na niej opiera przetwarzanie danych osobowych. Zapis powinien odpowiadać rzeczywistemu wyborowi, wersji informacji i celowi. Nie zakładaj jednak, że prawo nakazuje zawsze centralny serwerowy log przypisany do nazwiska każdego odwiedzającego. Taki log może tworzyć dodatkową bazę danych osobowych. Oceń, jaka metoda dowodowa jest proporcjonalna, jak długo dowody są potrzebne i kto ma do nich dostęp.
Sprawdź sytuację odmowy oraz wycofania. Jeśli system pamięta tylko zgody pozytywne, strona może po następnym otwarciu ponawiać pytanie w sposób natarczywy albo ponownie uruchomić skrypt. Dowód odmowy nie jest „zgodą”, lecz śladem konfiguracji i respektowania wyboru. Wersje bannera, listy celów i partnerów należy przechowywać tak, aby można było odtworzyć, co użytkownik widział w chwili decyzji. Jednocześnie unikaj zbierania zbędnych identyfikatorów.
Inwentaryzacja przed rozmową z dostawcą
Otwórz stronę w czystej przeglądarce, bez wcześniejszych zgód. Zapisz żądania sieciowe i informacje w pamięci urządzenia przed interakcją z banerem, po odmowie, po zgodzie na jeden cel oraz po wycofaniu. Powtórz próbę na stronach formularzy, sklepu, osadzonych filmów i po zalogowaniu. Technologie mogą pojawiać się dopiero na konkretnej podstronie; jednorazowy skan strony głównej nie wystarcza. Spisz właściciela każdego skryptu, cel, odbiorców, czas działania i to, czy wykorzystywane informacje są danymi osobowymi.
Art. 399 PKE nie ogranicza się do pliku z końcówką „cookie”. Dotyczy przechowywania informacji w urządzeniu końcowym i dostępu do informacji już przechowywanej. Oceniaj więc także lokalną pamięć, identyfikatory SDK czy piksele korzystające z urządzenia, stosownie do ich działania. Wyjątki z ust. 3 dotyczą operacji koniecznych do transmisji komunikatu albo dostarczenia usługi telekomunikacyjnej lub elektronicznej żądanej przez użytkownika. Nie nazywaj każdego pomiaru odwiedzin „niezbędnym” tylko dlatego, że jest przydatny właścicielowi strony. Zapisz uzasadnienie dla każdej pozycji.
Próba odbiorcza: cztery ścieżki użytkownika
Najpierw sprawdź brak działania. Przed wyborem użytkownika technologie wymagające zgody nie powinny zapisywać ani odczytywać informacji objętych obowiązkiem. Później wybierz „odmów” i przejdź na podstrony: czy wybór jest respektowany także po przeładowaniu? Następnie zaakceptuj tylko analitykę: czy skrypty marketingowe nadal są wstrzymane? Wreszcie wycofaj zgodę i sprawdź, czy przyszłe operacje ustają oraz czy interfejs nie prowadzi do ukrytej, trudnej ścieżki. Zrzut banera nie zastąpi dziennika żądań sieciowych.
Przetestuj różne przeglądarki, urządzenia i języki. W aplikacji mobilnej i w witrynie mogą działać odmienne mechanizmy. Jeżeli CMP przekazuje sygnał partnerom, pokaż w demonstracji zarówno wygenerowany sygnał, jak i rzeczywiste zachowanie partnera. Narzędzie nie może zagwarantować zgodności skryptu zewnętrznego, którego konfiguracji nie sprawdzono. Ustal, kto ponawia test po wdrożeniu nowego tagu marketingowego lub zmianie szablonu strony. To jeden z najważniejszych kosztów utrzymania, zwykle pomijany w cenniku.
Interfejs zgody: rozdziel cele i nie utrudniaj odmowy
Zgoda w RODO musi być dobrowolna, konkretna, świadoma i jednoznaczna. Jeżeli serwis łączy analitykę, personalizację i reklamę w jedno nierozdzielne pole, sprawdź, czy użytkownik ma rzeczywisty wybór dla odrębnych celów. Nie zaznaczaj opcji z góry i nie uznawaj dalszego przeglądania za aktywną zgodę. Wyjaśnij prostym językiem, kto korzysta z danych i po co. Układ nie powinien wywierać presji na „akceptuj”, podczas gdy odmowa jest ukryta na kolejnym ekranie.
EROD w sprawozdaniu zespołu ds. banerów cookie wskazuje, że większość organów uznała brak możliwości odmowy na warstwie z przyciskiem zgody za problem; wytyczne o zgodzie analizują też „cookie walls”. To wskazówki interpretacyjne, nie samodzielna polska taryfa przycisków. Użyj ich do testu uczciwości projektu. Jeśli sama usługa rzeczywiście wymaga konkretnego zapisu w urządzeniu, udokumentuj wyjątek z art. 399 ust. 3 zamiast udawać, że użytkownik może odmówić tej operacji i jednocześnie otrzymać tę samą funkcję.
Kiedy TCF i integracje są potrzebne
TCF to sposób komunikowania preferencji w określonym łańcuchu reklamy, nie ogólna pieczęć legalności. Zanim zapłacisz za moduł TCF, poproś partnerów reklamowych o listę wymaganych sygnałów, celów i aktualną wersję standardu. Sprawdź, czy konfiguracja odzwierciedla rzeczywistych odbiorców, a nie wielką listę podmiotów, z którymi strona nie współpracuje. Mała witryna z podstawową analityką może potrzebować prostszej obsługi zgody bez TCF; wydawca współpracujący z aukcją reklamową ma inne wymagania techniczne.
Przy zakupie zapytaj o zmianę domeny, migrację dotychczasowych preferencji, eksport historii wersji, uprawnienia administratorów i zakończenie umowy. Poproś o umowę powierzenia, jeśli operator CMP przetwarza dane osobowe na rzecz właściciela strony. Nie przypisuj każdej platformie hostingu w UE, „pełnej” obsługi standardu ani konkretnego poziomu cen bez aktualnej dokumentacji i warunków umowy. Kryterium zakupowe to działający przebieg na własnej stronie, nie pozycja w rankingu.
Przykład decyzji: witryna usługowa z filmem i analityką
Wyobraź sobie stronę biura rachunkowego. Formularz kontaktowy działa bez reklamowych identyfikatorów; system utrzymujący sesję może być konieczny do świadczenia żądanej funkcji. Osadzony film pochodzący od zewnętrznego dostawcy i narzędzie analityczne mogą natomiast zapisywać lub odczytywać informacje z urządzenia. Zanim zdefiniujesz baner, sprawdź rzeczywiste działanie obu komponentów i podstawę ich użycia. Być może film da się uruchomić dopiero na wyraźne życzenie odwiedzającego, a analitykę pozostawić wyłączoną do czasu wyboru. Nie zakładaj wyjątku tylko dlatego, że funkcja poprawia doświadczenie użytkownika.
W takim przykładzie CMP warto ocenić po tym, czy potrafi osobno sterować analityką i komponentem zewnętrznym, a użytkownik rozumie skutki wyboru. Jeśli później witryna rozpocznie reklamę programmatic, ponów analizę celów, partnerów i sygnałów. Nie wymuszaj TCF w pierwotnym projekcie bez realnej potrzeby. Dla samej treści zgody i sposobu jej wycofania pomocny jest wzór zgody na przetwarzanie danych, choć nie zastępuje on szczegółowej informacji o urządzeniu z PKE.
Utrzymanie po wdrożeniu
Ustal, kto zatwierdza nowe tagi, kto aktualizuje baner, kto sprawdza tłumaczenia i kiedy powtarza testy. Zmiana agencji marketingowej może dodać kod poza CMP. Warto więc połączyć listę technologii z procedurą publikowania strony: nowy skrypt przechodzi test przed wydaniem, a jego właściciel odpowiada za cel i termin działania. Gdy formularz kontaktowy gromadzi dane osobowe, odrębnie sprawdź podstawę z art. 6 RODO; prawidłowy baner nie legalizuje automatycznie każdego późniejszego przetwarzania.
FAQ
Czy platforma CMP jest obowiązkowa dla polskiej strony?
Nie ma obowiązku używania konkretnej platformy, ale zapis lub odczyt informacji z urządzenia wymaga oceny art. 399 PKE: wyjątek dotyczy m.in. transmisji i usługi żądanej przez użytkownika. Gdy zgoda służy przetwarzaniu danych osobowych, trzeba też wykazać jej ważność w świetle RODO. W praktyce spełnienie tych wymogów bez narzędzia jest trudne — CMP automatyzuje zbieranie, egzekwowanie i dokumentowanie zgód zgodnie z PKE i RODO.
Czym jest IAB TCF 2.3 i czy go potrzebuję?
Transparency and Consent Framework 2.3 to standard IAB Europe porządkujący przekazywanie sygnałów zgody w ekosystemie reklamy programmatic. Może być potrzebny podmiotom współpracującym z partnerami reklamowymi, którzy wymagają tego standardu. Prosta strona firmowa bez reklamy programmatic zwykle go nie wymaga, ale nadal musi osobno ocenić analitykę i remarketing według art. 399 PKE oraz RODO, jeżeli obejmują dane osobowe.
Co się zmieniło po wejściu PKE w listopadzie 2024?
Prawo komunikacji elektronicznej zastąpiło dotychczasowe przepisy telekomunikacyjne, w tym podstawę wymogu zgody na cookies, którą wcześniej stanowił art. 173 Prawa telekomunikacyjnego. Sama zasada — uprzednia, dobrowolna i granularna zgoda na cookies inne niż niezbędne — pozostaje spójna z RODO i ePrivacy. Sprawdź art. 399 PKE, w tym wyjątki dla transmisji oraz usługi żądanej przez użytkownika.
Czy CMP zastępuje pełne oprogramowanie RODO?
Nie. Samo CMP dotyczy wyborów związanych z urządzeniem i śledzeniem. Może być modułem szerszej platformy, ale jego funkcje nie dowodzą prowadzenia rejestru czynności, obsługi wniosków, umów powierzenia ani rejestru naruszeń. Organizacja musi zaopiekować się oboma obszarami, lecz nie ma obowiązku kupować osobnych produktów.
Jeśli CMP ma współpracować z szerszym programem prywatności, porównaj faktyczny przepływ dowodów i uprawnień z przewodnikiem po dokumentacji RODO, zamiast zakładać automatyczną integrację na podstawie nazwy produktu.
Źródła: PKE, art. 399, tekst Kancelarii Sejmu · RODO, art. 4 i 7 · EROD, wytyczne 05/2020 dotyczące zgody · EROD, sprawozdanie o banerach cookie · IAB Europe, TCF 2.3 i okres przejściowy.