W 2026 r. podstawą oceny cookies w Polsce jest art. 399 ustawy Prawo komunikacji elektronicznej (PKE), a nie dawny art. 173 Prawa telekomunikacyjnego. Nowa ustawa obowiązuje zasadniczo od 10 listopada 2024 r. Reguła obejmuje przechowywanie informacji w urządzeniu końcowym lub uzyskiwanie dostępu do informacji już w nim zapisanej. Dotyczy więc również podobnych technologii, jeżeli wykonują takie operacje. Gdy przy tej okazji przetwarzane są dane osobowe, trzeba równolegle ocenić RODO. Poniższy przewodnik pokazuje, jak rozdzielić te dwa pytania i sprawdzić rzeczywiste działanie strony.
Co zmieniła ustawa z 2024 roku?
Dawne Prawo telekomunikacyjne z 2004 r. zawierało art. 173 o cookies. Ustawa z 12 lipca 2024 r. – Prawo komunikacji elektronicznej – przeniosła tę materię do art. 399. Nie należy kopiować starego numeru artykułu do polityki cookies lub notatki prawnej w 2026 r. Sama zmiana numeracji nie usuwa potrzeby ważnej zgody i oceny wyjątków. Tekst PKE w Dzienniku Ustaw jest właściwym punktem wyjścia; art. 400 PKE nakazuje odpowiednio stosować przepisy o ochronie danych osobowych do uzyskania zgody użytkownika.
Zacznij od inwentaryzacji czynności, a nie od listy nazw. Dwie technologie o tej samej etykiecie „analytics” mogą działać zupełnie inaczej. Pierwsza tworzy zagregowaną statystykę bez identyfikatora, druga zapisuje identyfikator umożliwiający śledzenie użytkownika między stronami. Pierwsza i druga mogą wymagać odmiennych decyzji. Zmierz też zachowanie przed kliknięciem banera: skrypt obecny w kodzie nie zawsze od razu zapisuje dane, ale samo ukrycie banera nie blokuje skryptu.
Reguła art. 399 PKE i wyjątek konieczności
Artykuł 399 ust. 1 wiąże dostęp do terminala z uprzednią, jasną i zrozumiałą informacją o celu oraz możliwości ustawień, a następnie zgodą użytkownika. Ustęp 3 przewiduje wyjątek dla operacji koniecznych do transmisji komunikatu w sieci lub do dostarczenia usługi wyraźnie żądanej przez użytkownika. Nie jest to wyjątek dla wszystkich cookies własnych ani dla wszystkich narzędzi „funkcjonalnych”. O tym, czy mechanizm jest konieczny, rozstrzyga funkcja w konkretnym serwisie. Sesja po zalogowaniu lub zachowanie zawartości koszyka zwykle uzasadniają analizę wyjątku. Dodatkowe profilowanie marketingowe na tym samym identyfikatorze już nie.
Przykład językowy dobrze pokazuje granicę: gdy użytkownik sam wybiera język, krótkotrwałe zachowanie wyboru może służyć zamówionej funkcji. Gdy serwis używa tego samego identyfikatora do budowania segmentu reklamowego, jest to osobny cel. W tabeli technologii zapisz więc nie tylko dostawcę, lecz także cel, zakres danych, czas działania, odbiorców i uzasadnienie zgody albo wyjątku. Ta dokumentacja powinna pasować do rzeczywistych żądań sieciowych w przeglądarce.
RODO: drugie pytanie po dostępie do terminala
Art. 399 PKE dotyczy operacji na urządzeniu końcowym również wtedy, gdy przechowywana informacja nie jest danymi osobowymi. RODO dochodzi do oceny, jeżeli można zidentyfikować osobę bezpośrednio lub pośrednio. Identyfikator cookie powiązany z historią korzystania z serwisu może być daną osobową. Wtedy trzeba wskazać administratora, cel, podstawę z art. 6, odbiorców, retencję i prawa osoby. Zgoda wymagana do dostępu do terminala nie zwalnia z oceny podstawy dalszego przetwarzania. Odwrotnie, uzasadniony interes w określonym przetwarzaniu danych nie zastępuje zgody wymaganej przez PKE dla niezwolnionej operacji na terminalu.
Wyrok TSUE Planet49 wykluczył domyślnie zaznaczone pole jako skuteczną zgodę na cookies. Interfejs powinien umożliwiać świadomy wybór przed uruchomieniem technologii wymagającej zgody. Sam tekst „korzystając ze strony, akceptujesz” nie dowodzi pozytywnego działania. W przewodniku o zgodzie na cookies można oddzielnie omówić warstwę informacji i wybór użytkownika.
Baner, który odpowiada rzeczywistej konfiguracji
Projekt banera zacznij od trzech stanów: przed decyzją, po odmowie i po akceptacji wybranej kategorii. W stanie pierwszym niezwolnione technologie muszą pozostać zablokowane. W stanie odmowy blokada musi przetrwać kolejną podstronę i ponowną wizytę. Po zgodzie aktywują się tylko wybrane cele. Łatwo dostępny panel powinien pozwalać na późniejszą zmianę decyzji. Dobrą praktyką jest oferowanie „Akceptuj” i „Odrzuć” równorzędnie, a ustawień bez ukrywania odmowy za wieloma krokami. Granularność powinna odpowiadać faktycznym celom, nie losowym nazwom dostawców.
Nie twórz pięciu pól wyboru tylko po to, aby interfejs wyglądał szczegółowo. Jeżeli dwie kategorie zawsze włączają identyczne skrypty, użytkownik nie uzyskuje realnej kontroli. Zapis dowodu zgody może zawierać czas, wersję komunikatu i wybór; ogranicz jednak nadmiar danych w takim logu. Polityka cookies powinna podawać cele, dostawców, okresy oraz sposób zmiany preferencji. Wzór polityki prywatności pomaga sprawdzić spójność informacji o danych osobowych, lecz nie zastąpi technicznego testu banera.
Analityka, SDK i śledzenie po stronie serwera
Dla analityki decydują operacje na terminalu, a nie marka narzędzia. GA4 lub Matomo mogą mieć różne konfiguracje; sam fakt, że narzędzie jest własne, nie tworzy wyjątku. Tak samo sama obecność dostawcy zewnętrznego nie przesądza każdego przypadku bez analizy konkretnych czynności. Bezpieczna decyzja wymaga udokumentowania, czy technologia zapisuje identyfikator, jak długo, w czyim interesie i czy realizuje dodatkowe cele reklamowe. Gdy podstawą jest zgoda, uruchomienie przed jej uzyskaniem jest problemem nawet wtedy, gdy statystyka końcowa ma postać zbiorczą.
Przeniesienie skryptu na serwer nie usuwa obowiązków, jeśli urządzenie użytkownika nadal wysyła identyfikator lub udostępnia zapisane informacje. Z kolei zwykłe logi serwera bez dostępu do terminala wymagają przede wszystkim oceny RODO i innych zasad, jeśli zawierają dane osobowe. Nie nazywaj każdej analityki serwerowej „cookie-free” bez sprawdzenia żądań i identyfikatorów. W aplikacji mobilnej przeanalizuj podobnie SDK oraz pamięć urządzenia. Ograniczenia platformy mobilnej są dodatkową warstwą, nie zamiennikiem PKE.
Kto nadzoruje i co grozi za naruszenie?
Art. 444 PKE przewiduje karę za przechowywanie informacji lub dostęp do niej niezgodnie z art. 399. Właściwość Prezesa UKE w sprawach PKE należy odróżnić od właściwości Prezesa UODO, gdy występuje naruszenie przepisów o ochronie danych osobowych. Nie zakładaj dwóch automatycznych kar za każdy źle skonfigurowany baner. Najpierw ustal czyn, przepis, organ i zakres danych; dopiero potem oceniaj możliwe postępowania. Zestawienie kar UODO dotyczy odrębnych decyzji w sprawach danych osobowych i nie jest cennikiem sankcji PKE. Tabelka francuskich kar za inny system prawny nie daje wiarygodnej prognozy polskiej sankcji.
W audycie warto pozostawić ślad decyzji, nawet gdy nie stwierdzono naruszenia: zrzut ustawień, wersję banera, datę testu i listę połączeń. W razie zmiany dostawcy łatwiej wtedy wykazać, że nowy skrypt został oceniony. Jeśli pojawi się skarga, sama deklaracja agencji marketingowej, że platforma „jest zgodna”, nie pokaże, co rzeczywiście uruchamiało się na stronie. Sprawdź także, czy umowa z dostawcą analityki i umowa powierzenia danych odpowiadają realnym rolom, jeżeli dane osobowe trafiają do dostawcy.
Krótki test przeglądarkowy dla właściciela strony
- Otwórz witrynę w nowym profilu przeglądarki, bez zapisanych wyborów. Zapisz żądania sieciowe i pamięć przed interakcją.
- Odrzuć cele opcjonalne i przejdź na następną podstronę. Porównaj żądania oraz zapis w terminalu z pierwszym stanem.
- Zaakceptuj tylko analitykę. Sprawdź, czy narzędzia marketingowe nadal pozostają wyłączone.
- Wycofaj zgodę i odśwież stronę. Skontroluj nowy stan oraz sposób informowania użytkownika o skutku decyzji.
- Powtórz próbę na urządzeniu mobilnym, w wersji językowej i po wdrożeniu zmian przez marketing.
Wynik powinien wymieniać każdy zewnętrzny skrypt oraz jego rzeczywisty cel. W ten sposób zespół może naprawić konkretną konfigurację, zamiast jedynie poprawiać tekst polityki. Powiązana analiza zasad RODO pomaga ocenić minimalizację i retencję danych zebranych przez takie narzędzia.
Jak opisać wyjątek bez nadużywania słowa „niezbędny”
Wiele zespołów wpisuje do dokumentacji, że cookie jest niezbędne, ponieważ pomaga prowadzić biznes. To za mało. Wyjątek z art. 399 ust. 3 odnosi się do transmisji albo usługi żądanej przez użytkownika, nie do wygody analityka marketingowego. Przy każdym identyfikatorze odpowiedz na trzy pytania: jaka konkretna funkcja dla użytkownika przestanie działać bez tego zapisu, czy można użyć mniej ingerującego sposobu i czy informacja służy także innemu celowi? Jeśli funkcja koszyka działa bez śledzenia między witrynami, identyfikator reklamowy nie staje się konieczny tylko dlatego, że oba zapisuje ta sama biblioteka. Rozdziel funkcję podstawową od dodatkowej już w konfiguracji dostawcy.
Przykładowy rejestr może zawierać kolumny: nazwa technologii, skrypt źródłowy, cel, dane zapisywane w terminalu, czas przechowywania, odbiorca, kategoria banera, podstawa wyjątku albo data zgody. Dopisz także osobę odpowiedzialną za zmianę i ostatni test. Jeżeli dostawca zmieni nazwę cookie, ale jego skrypt zacznie zbierać nowy identyfikator, sama nazwa w polityce nie wystarczy. Rejestr powinien uwzględniać local storage, SDK aplikacji i inne sposoby dostępu do informacji, nie tylko nagłówek HTTP Cookie. Skontroluj go razem z przewodnikiem RODO dla sklepów internetowych, aby oddzielić obowiązek dotyczący terminala od informowania o przetwarzaniu danych.
Zgoda, odmowa i ponowne pytanie
Użytkownik powinien móc odmówić opcjonalnej analityki bez utraty usługi, która jej nie potrzebuje. Po odmowie system musi zapamiętać wybór w sposób zgodny z konieczną funkcją, aby nie pytać na każdej podstronie. Nie wolno traktować zamknięcia banera jak akceptacji, jeśli nie było wyraźnego działania. Po późniejszej zgodzie warto zachować informację, jaki komunikat użytkownik widział i które cele wybrał. Gdy zakres przetwarzania istotnie się zmienia, stara zgoda może już nie obejmować nowego celu; wtedy należy zapytać ponownie przed jego uruchomieniem.
Wycofanie zgody nie sprawi automatycznie, że wszystkie dane zebrane wcześniej znikną u dostawcy. Dlatego obok wyłączenia skryptu trzeba ocenić retencję i ewentualny wniosek o usunięcie danych osobowych. W panelu preferencji pokaż użytkownikowi ścieżkę zmiany wyboru, a wewnętrznie określ, kto usuwa identyfikatory oraz jak potwierdza wykonanie. Dokumentacja wyboru nie musi zawierać pełnego adresu IP trzymanego bezterminowo. Zastosuj zasadę minimalizacji danych także do samego rejestru zgód.
Dostawca analityki i przepływ danych
Przy dostawcy zewnętrznym sprawdź, czy działa on wyłącznie według instrukcji właściciela serwisu, czy wykorzystuje informacje także do własnych celów. Od tego zależy ocena ról według RODO. Nie zakładaj, że każda usługa analityczna jest procesorem ani że każda przekazuje dane poza Europejski Obszar Gospodarczy. Umowa, ustawienia produktu i rzeczywiste żądania sieciowe muszą być zgodne. Jeśli zgoda obejmuje tylko pomiar ruchu, późniejsze wykorzystanie tego samego identyfikatora do reklamy wymaga osobnej oceny. Jeśli dostawca używa danych do ulepszania własnej usługi, sprawdź zakres i podstawę tego użycia.
Dla witryny działającej w kilku krajach przygotuj wspólną mapę technologii, ale nie zastępuj nią oceny prawa krajowego. Dyrektywa ePrivacy jest wdrożona przez krajowe przepisy, a w Polsce aktualnym punktem wyjścia jest PKE. Francuska lub hiszpańska wskazówka urzędu może podsunąć metodę testu, ale nie jest polską podstawą sankcji. Zwróć też uwagę na okresy przechowywania: hasło „sesyjne” w nazwie narzędzia nie dowodzi, że identyfikator znika po zakończeniu sesji. Test po ponownym otwarciu przeglądarki ujawnia takie rozbieżności.
Kiedy audyt powtórzyć
Nie wystarczy kontrola wykonana przy uruchomieniu strony. Ponów próbę po dodaniu tagu reklamowego, zmianie CMP, wdrożeniu nowego systemu personalizacji, zmianie dostawcy lub aktualizacji aplikacji mobilnej. Zaplanuj też okresowy przegląd, którego częstotliwość wynika z tempa zmian. Dla sklepu, w którym marketing codziennie dodaje kampanie, półroczny przegląd może być za rzadki; dla statycznej strony może być wystarczający, jeśli istnieje kontrola zmian. Właściciel strony powinien znać proces, który powstrzyma niezwolniony skrypt przed produkcyjnym wdrożeniem do czasu decyzji.
Raport z przeglądu powinien pokazywać metodę i wynik, nie samą zieloną ikonę narzędzia. Zachowaj listę testowanych adresów, datę, przeglądarkę, stan wyboru oraz obserwowane połączenia. Gdy wykryjesz błąd, ustal kiedy powstał, jakie dane mogły zostać zebrane i czy doszło także do naruszenia RODO. Następnie zablokuj przyczynę, popraw informację dla użytkownika i sprawdź ponownie wszystkie stany banera. Właśnie ta sekwencja umożliwia racjonalną ocenę ryzyka i odpowiedź na pytania organu.
Najczęstsze nieporozumienia
„Mamy przycisk, więc zgoda jest prawidłowa.” Przycisk jest tylko jednym elementem. Liczy się to, czy tekst jasno opisuje cele, wybór jest swobodny, a kod respektuje odmowę. „To nasza własna cookie, więc zgoda nie jest potrzebna.” O wyjątku decyduje konieczna funkcja, nie właściciel pliku. „Korzystamy z serwera w Polsce, więc RODO jest spełnione.” Lokalizacja serwera nie przesądza o podstawie prawnej, retencji ani dostępie dostawcy. „Dostawca CMP bierze odpowiedzialność za wszystko.” Dostawca może pomagać w konfiguracji, ale właściciel serwisu nadal musi wiedzieć, co zapisuje w terminalu użytkownika. Każde z tych zdań można sprawdzić prostym scenariuszem w przeglądarce i dokumentem decyzji.
Przykład decyzji o wdrożeniu CMP
Sklep planuje włączyć narzędzie analityczne i piksel reklamowy. Właściciel tworzy dwie osobne pozycje w rejestrze: pomiar ruchu oraz reklama. W trybie bez wyboru oba skrypty pozostają wyłączone, a tylko funkcje konieczne do koszyka działają. Po zgodzie na analitykę włącza się pomiar, lecz piksel nadal pozostaje zablokowany. Po odmowie i powrocie następnego dnia sklep zachowuje odmowę bez ponownego uruchamiania obu narzędzi. Gdy marketing zmienia konfigurację pomiaru tak, że dane mają służyć także personalizacji, nie może po prostu wykorzystać dawnej zgody na statystykę. Zespół musi zaktualizować ocenę, informację i mechanizm wyboru.
Taki scenariusz można przetestować przed publikacją przez platformę zarządzania zgodami, ale wynik należy sprawdzić w ruchu sieciowym, nie tylko w panelu administracyjnym CMP. Raport zapisuje nazwę skryptu, stan zgody i godzinę uruchomienia. Właściciel produktu odpowiada za decyzję o celu, technik za blokadę, a osoba odpowiedzialna za prywatność za zgodność komunikatu z faktycznym przepływem. To prosty podział pracy, który zmniejsza ryzyko, że po kolejnej kampanii zgodny baner będzie już tylko dekoracją.
Kto zatwierdza zmianę w tagach
Właściciel produktu powinien decydować, czy nowy pomiar jest naprawdę potrzebny, zespół techniczny dokumentować jego działanie, a osoba odpowiedzialna za prywatność oceniać podstawę i treść informacji. Nie wystarcza zgoda jednej osoby na zakup licencji. W szczególności agencja marketingowa może dodać tag w kontenerze bez zmiany kodu strony; dlatego kontrola wdrożeń musi obejmować także uprawnienia do menedżera tagów. Zapisz, kto może opublikować zmianę, kto ją testuje i w jaki sposób można szybko przywrócić poprzednią konfigurację. Przy dużej liczbie kampanii przydatny jest test automatyczny w czystej przeglądarce, ale jego wynik trzeba okresowo porównać z rzeczywistym ruchem sieciowym. Taki podział odpowiedzialności daje weryfikowalny ślad, gdy pojawia się skarga albo pytanie organu.
W osobnym przewodniku o marketingu bezpośrednim opisano zgodę na kontakt handlowy. Nie należy mylić jej z oceną dostępu do informacji na urządzeniu końcowym.
Źródła urzędowe: Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221, art. 399–400 i 444; RODO w EUR-Lex; UKE; UODO.