Czy Twój baner cookies jest zgodny z prawem? Lista kontrolna

Jakie przepisy regulują cookies w 2026 roku?

Od 10 listopada 2024 roku cookies reguluje art. 399 Prawa komunikacji elektronicznej, a do samej zgody stosuje się RODO (art. 400). Prawo komunikacji elektronicznej z 12 lipca 2024 roku (Dz.U. 2024 poz. 1221) obowiązuje od 10 listopada 2024 roku i zastąpiło Prawo telekomunikacyjne, w tym jego art. 173, który wcześniej regulował cookies. Zgodnie z art. 399 przechowywanie informacji lub uzyskiwanie dostępu do informacji w urządzeniu użytkownika jest dozwolone, gdy użytkownik zostanie wcześniej poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu oraz o możliwości określenia warunków w ustawieniach przeglądarki lub usługi, a następnie wyrazi zgodę. Przepis mówi o każdej informacji zapisanej w urządzeniu, więc dotyczy nie tylko plików cookies, ale też na przykład pamięci lokalnej przeglądarki. Zgody nie potrzeba, gdy zapis jest konieczny do przesłania komunikatu albo do świadczenia usługi, o którą użytkownik prosi (art. 399 ust. 3). Art. 400 odsyła do przepisów o ochronie danych osobowych, a RODO definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, w formie oświadczenia lub wyraźnego działania.

Które cookies wymagają zgody

Czego nie robić według EROD

W 2023 roku grupa zadaniowa Europejskiej Rady Ochrony Danych (EROD) opisała wspólne stanowisko organów nadzorczych w sprawie skarg na banery cookies. Raport zastrzega, że to minimalny próg, a nie samodzielna rekomendacja, ale dobrze pokazuje, czego unikać:

• Brak opcji odrzucenia na żadnym poziomie banera, na którym jest przycisk zgody. Zdecydowana większość organów uznała to za naruszenie.
• Zaznaczone z góry pola w ustawieniach. Nie dają ważnej zgody, bo milczenie i zaznaczone pola nie są zgodą (motyw 32 RODO). Trybunał Sprawiedliwości UE potwierdził to przy cookies w wyroku z 1 października 2019 roku w sprawie Planet49 (C-673/17).
• Odrzucenie ukryte jako link w akapicie tekstu albo poza banerem, bez wyróżnienia, które zwróci uwagę przeciętnego użytkownika.
• Przycisk odrzucenia z tak słabym kontrastem, że tekstu prawie nie da się przeczytać. Kolory i kontrast ocenia się indywidualnie.
• Powoływanie się na prawnie uzasadniony interes przy zapisywaniu i odczytywaniu cookies. Według grupy zadaniowej nie może to być podstawa.
• Wrzucanie do kategorii „niezbędne” cookies, które nie są niezbędne.
• Brak łatwego wycofania zgody. Potrzebne jest dostępne rozwiązanie, na przykład stała ikona albo link w widocznym miejscu, bo wycofanie zgody musi być równie łatwe jak jej wyrażenie (art. 7 ust. 3 RODO).

Kto kontroluje cookies i jaka grozi kara?

Za zapisywanie lub odczytywanie informacji w urządzeniu użytkownika niezgodnie z art. 399 grozi kara pieniężna (art. 444 ust. 1 pkt 82 Prawa komunikacji elektronicznej). Nakłada ją Prezes UKE w drodze decyzji, w wysokości do 3% przychodu z poprzedniego roku kalendarzowego (art. 446 ust. 1). Przy niskich przychodach, nieprzekraczających progu 500 000 zł opisanego w art. 446 ust. 2 i 3, ustawa przewiduje karę do 15 000 zł. Jeśli cookies służą do przetwarzania danych osobowych, stosuje się też RODO, którego przestrzeganie w Polsce nadzoruje Prezes UODO. Uwaga przy czytaniu innych poradników: jeśli tekst o cookies powołuje się na art. 173 Prawa telekomunikacyjnego, opiera się na przepisach sprzed 10 listopada 2024 roku. To nie jest porada prawna.

Google Consent Mode v2: co to jest, a czym nie jest

Tryb uzyskiwania zgody (Consent Mode) przekazuje tagom Google informację, na co użytkownik się zgodził, a tagi dostosowują do niej swoje działanie. Google pisze wprost, że Consent Mode nie zapewnia banera, tylko współpracuje z Twoim banerem albo platformą do zarządzania zgodami. Oprócz ad_storage i analytics_storage w listopadzie 2023 roku doszły dwa parametry: ad_user_data (wysyłanie danych użytkownika do Google w celach reklamowych, potrzebne między innymi do konwersji rozszerzonych) i ad_personalization (reklamy spersonalizowane i remarketing; oba muszą być przyznane, żeby personalizacja działała). W trybie podstawowym tagi Google nie ładują się, dopóki użytkownik nie wybierze opcji w banerze. W trybie zaawansowanym ładują się od razu z domyślną odmową i wysyłają sygnały bez plików cookies. Czy tryb zaawansowany spełnia art. 399, to kwestia oceny prawnej, bo tagi łączą się z Google przed zgodą. Polityka zgody użytkownika z UE wymaga od reklamodawców ważnej zgody, przechowywania zapisów zgód i jasnych instrukcji, jak ją cofnąć.

Lista kontrolna banera

1. Spisz wszystkie cookies i skrypty: otwórz stronę w oknie prywatnym i sprawdź w narzędziach deweloperskich przeglądarki, co się zapisuje i z jakimi serwisami strona się łączy.
2. Podziel je na niezbędne do działania strony i pozostałe. Przy każdym zapisz cel i dostawcę.
3. Sprawdź, że przed kliknięciem w banerze ładują się tylko niezbędne. Zakładka sieci w narzędziach deweloperskich pokaże, czy nie ma połączeń z narzędziami analitycznymi i reklamowymi.
4. Na pierwszym poziomie banera daj przyciski akceptacji i odrzucenia o podobnej wielkości i wyrazistości, plus przycisk ustawień.
5. W ustawieniach wszystkie kategorie poza niezbędnymi są domyślnie wyłączone.
6. Opisz cele zrozumiałym językiem i podaj link do polityki prywatności z listą dostawców.
7. Zapamiętaj wybór użytkownika, żeby baner nie wracał przy każdej wizycie.
8. Dodaj stały link albo ikonę „Ustawienia cookies”, na przykład w stopce, żeby zgodę dało się zmienić w każdej chwili.
9. Jeśli korzystasz z Google Ads lub Analytics, ustaw w Consent Mode domyślną odmowę i sprawdź, czy parametry zmieniają się po wyborze w banerze.
10. Przechowuj zapisy zgód. Wymaga tego polityka Google, a pomaga też wykazać zgodę, jeśli ktoś o nią zapyta.

Najczęstsze błędy

• Komunikat „korzystając ze strony, akceptujesz cookies”. Dalsze przeglądanie nie jest wyraźnym działaniem potwierdzającym zgodę.
• Kod Google Analytics albo piksel reklamowy wklejony bezpośrednio w stronę, który działa niezależnie od banera.
• Baner tylko z przyciskiem „OK” albo „Akceptuję”.
• Odrzucenie dostępne dopiero po wejściu w ustawienia i odznaczeniu kilku kategorii.
• Traktowanie Consent Mode jak banera: sam tryb zgody nie pyta użytkownika o nic.
• Gotowy baner zainstalowany raz i nigdy nieaktualizowany, choć na stronie doszły nowe narzędzia.

Czy strona może działać bez banera?

Tak, jeśli używa wyłącznie informacji niezbędnych do działania i nie korzysta z narzędzi, które zapisują coś w urządzeniu w innych celach. Nasza strona nie używa plików cookies, a do zbiorczych statystyk odwiedzin korzysta z Cloudflare Web Analytics, które nie zapisuje cookies, dlatego nie pokazuje banera. Szczegóły są w polityce prywatności. Nie każde narzędzie bez cookies jest automatycznie poza art. 399, bo przepis dotyczy każdej informacji zapisanej lub odczytanej z urządzenia, więc każde trzeba sprawdzić osobno.

Jak możemy pomóc

Przy nowych stronach internetowych dla firm od początku ograniczamy liczbę zewnętrznych skryptów, co pomaga też w szybkości, o której piszemy we wpisie szybkość strony i Core Web Vitals. Jeśli masz już stronę, w audycie strony możemy sprawdzić, które skrypty ładują się przed zgodą i czy Consent Mode działa poprawnie. Ocenę prawną zostaw prawnikowi, my pokażemy, co strona robi technicznie.

Źródła

• Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), art. 399, 400, 444 i 446
• RODO (rozporządzenie 2016/679), art. 4 pkt 11 i art. 7
• TSUE: sprawa C-673/17 (Planet49)
• EROD: raport grupy zadaniowej ds. banerów cookies (2023)
• EROD: wytyczne 05/2020 w sprawie zgody
• EROD: wytyczne 03/2022 o zwodniczych wzorcach projektowych
• Google Ads: tryb uzyskiwania zgody (Consent Mode)
• Google: konfigurowanie zgody dla użytkowników z EOG
• Google: polityka zgody użytkownika z UE