Co mówi prawo: art. 399 PKE
Od 10 listopada 2024 r. zasady dotyczące cookies określa art. 399 ustawy – Prawo komunikacji elektronicznej (PKE). Wcześniej podobną regułę zawierał art. 173 Prawa telekomunikacyjnego. Dla stron firmowych nie była to rewolucja, ale dokumenty, które wciąż powołują się na starą ustawę, warto poprawić.
Przepis pozwala zapisywać informacje w urządzeniu użytkownika albo odczytywać informacje już tam zapisane, jeśli łącznie spełnisz trzy warunki:
- użytkownik zostanie wcześniej poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu oraz o tym, jak może określić warunki zapisu i odczytu w ustawieniach oprogramowania lub konfiguracji usługi,
- po otrzymaniu tych informacji wyrazi zgodę,
- zapis lub odczyt nie zmienia konfiguracji jego urządzenia ani oprogramowania.
Kluczowe jest słowo „informacja”. Przepis nie mówi wyłącznie o plikach cookies, więc obejmuje też pamięć przeglądarki (localStorage, sessionStorage) i inne techniki zapisu lub odczytu w urządzeniu. Nie ma przy tym znaczenia, czy zapisywane informacje są danymi osobowymi.
Do uzyskania zgody stosuje się odpowiednio przepisy o ochronie danych osobowych (art. 400 PKE), czyli standard z RODO: zgoda ma być dobrowolna, konkretna, świadoma i jednoznaczna, a jej wycofanie równie łatwe jak wyrażenie. Przestrzegania art. 399 pilnuje Prezes UKE, który może nałożyć karę pieniężną zależną od przychodu firmy. Gdy w grę wchodzą dane osobowe, na przykład identyfikatory w analityce, sprawą może się zająć także Prezes UODO.
Co wymaga zgody, a co nie
Zgody nie potrzebujesz, gdy zapis lub odczyt jest konieczny do przesłania komunikatu albo do dostarczenia usługi, której użytkownik sam żąda (art. 399 ust. 3). W praktyce podział wygląda tak:
| Rodzaj | Przykłady | Czy potrzebna zgoda? |
|---|---|---|
| Niezbędne | Koszyk, logowanie, sesja w formularzu wieloetapowym, ochrona przed botami i atakami, zapamiętanie decyzji w sprawie zgody | Nie — ale opisz je w polityce cookies |
| Wybrane ustawienia | Zapamiętanie wersji językowej albo waluty, którą użytkownik sam wybrał | Zwykle nie, jeśli to funkcja, o którą użytkownik prosi |
| Analityczne | Statystyki odwiedzin, mapy kliknięć, nagrania sesji | Tak — polskie przepisy nie przewidują wyjątku dla analityki |
| Marketingowe | Piksele reklamowe, remarketing, śledzenie konwersji | Tak |
| Treści zewnętrzne | Osadzone filmy, mapy, czat, widżety mediów społecznościowych | Zwykle tak, jeśli zapisują lub odczytują informacje na potrzeby dostawcy |
Najwięcej wątpliwości budzi analityka. Nawet jeśli raporty są zbiorcze, a narzędzie reklamuje się jako „anonimowe”, liczy się to, czy coś zapisuje w urządzeniu albo z niego odczytuje. Jeśli tak, potrzebujesz zgody. Osobną sprawą jest RODO: jeśli analityka przetwarza dane osobowe, opisujesz to w polityce prywatności niezależnie od cookies.
A ustawienia przeglądarki?
Art. 399 ust. 2 PKE pozwala wyrazić zgodę za pomocą ustawień oprogramowania, na przykład przeglądarki. Część właścicieli stron wnioskuje z tego, że baner jest zbędny, bo użytkownik „i tak może zablokować cookies”.
To ryzykowne założenie. Zgoda ma spełniać standard RODO, a domyślnych ustawień przeglądarki, których ktoś nigdy nie zmieniał, trudno uznać za świadomą i jednoznaczną zgodę na konkretne cele konkretnej strony. Trybunał Sprawiedliwości UE w sprawie Planet49 (C-673/17) uznał, że domyślnie zaznaczone pole wyboru nie wyraża ważnej zgody na cookies. Prawnicy nie są w kwestii ustawień przeglądarki jednomyślni, ale bezpieczniejszą i powszechną praktyką jest baner, w którym użytkownik aktywnie wybiera.
Jak powinien wyglądać dobry baner
Europejskie organy ochrony danych opisały w 2023 r., w raporcie grupy roboczej zajmującej się banerami cookies, praktyki, które najczęściej uznają za nieprawidłowe. Z tego raportu i z samych przepisów wynika kilka zasad:
- Równorzędne przyciski w pierwszym widoku. „Akceptuję” i „Odrzucam” obok siebie, w tym samym rozmiarze i o podobnej wadze wizualnej. Odrzucenie schowane w ustawieniach albo podane jako niepozorny link to klasyczny zwodniczy wzorzec.
- Bez domyślnie zaznaczonych zgód. W ustawieniach szczegółowych przełączniki dla analityki i marketingu są na starcie wyłączone.
- Zgoda na cele, nie „na cookies”. Krótko: do czego służą narzędzia i kto je dostarcza, z linkiem do polityki cookies.
- Przewijanie to nie zgoda. Dalsze korzystanie ze strony ani zamknięcie banera krzyżykiem nie oznacza akceptacji.
- Odmowa bez kary. Po odmowie strona działa normalnie, a baner nie wraca na każdej podstronie.
- Łatwa zmiana decyzji. Link „Ustawienia cookies” w stopce każdej strony otwiera te same opcje co baner.
- Wygodny na telefonie i dla każdego. Baner nie zasłania całego ekranu, da się go obsłużyć klawiaturą, a tekst ma wystarczający kontrast.
Dobry baner jest krótki. Dwa, trzy zdania i dwa przyciski wystarczą, a szczegóły zostaw w ustawieniach i w polityce cookies.
Najczęstszy błąd: skrypty przed zgodą
Najczęściej spotykam stronę, która ma porządny baner, ale analityka i piksele reklamowe ruszają, zanim ktokolwiek cokolwiek kliknie. Baner jest wtedy tylko dekoracją. Zgoda musi być uprzednia: skrypty, które jej wymagają, mogą się załadować dopiero po akceptacji danej kategorii.
Możesz to sprawdzić samodzielnie w kilka minut:
- Otwórz stronę w oknie prywatnym przeglądarki.
- Zanim klikniesz w baner, otwórz narzędzia deweloperskie (w Chrome klawisz F12) i zajrzyj do danych zapisanych przez witrynę oraz do listy żądań sieciowych.
- Jeśli widzisz cookies narzędzi analitycznych albo zapytania do serwerów reklamowych, skrypty działają bez zgody.
- Kliknij „Odrzucam”, odśwież stronę i sprawdź ponownie. Po odmowie nic z tej listy nie powinno się pojawić.
Jeśli korzystasz z narzędzi Google, zwróć uwagę na tryb uzyskiwania zgody (Consent Mode). Zgodnie z polityką Google dotyczącą zgody użytkowników z UE reklamodawcy, którzy mierzą zachowania użytkowników z Europejskiego Obszaru Gospodarczego albo personalizują dla nich reklamy, muszą przekazywać narzędziom Google informację o ich decyzji. Jak połączyć to z pomiarem ruchu, opisuję w artykule o Google Analytics w małej firmie.
Czy da się obejść bez banera?
Tak, jeśli strona nie zapisuje ani nie odczytuje w urządzeniu niczego poza tym, co niezbędne. Wizytówka bez analityki, bez osadzonych filmów i bez pikseli reklamowych może nie potrzebować banera. Nadal jednak musi informować, jakie technologie stosuje i jak przetwarza dane osobowe — choćby w polityce prywatności.
Taka decyzja ma swoją cenę. Bez analityki nie wiesz, skąd przychodzą klienci i które podstrony działają. Dla większości firm rozsądniejszy jest uczciwy baner i pomiar, który rusza dopiero po zgodzie. Danych będzie mniej, ale będą prawdziwe i zebrane zgodnie z prawem.
Na poziomie Unii Europejskiej trwają prace nad zmianą zasad dotyczących cookies w ramach pakietu upraszczającego przepisy cyfrowe (tak zwanego digital omnibus). Według stanu na październik 2026 r. obowiązują zasady opisane wyżej. Gdy przepisy się zmienią, banery i dokumenty trzeba będzie przejrzeć.
Checklista banera cookies
- Przed kliknięciem w baner nie ładują się skrypty analityczne ani reklamowe.
- „Akceptuję” i „Odrzucam” są równorzędne i widoczne od razu.
- Zgody na poszczególne cele są osobne i domyślnie wyłączone.
- Decyzję można zmienić z każdej podstrony.
- Polityka cookies wymienia faktycznie używane narzędzia i powołuje się na obowiązujące przepisy.
- Po każdej zmianie narzędzi baner i dokumenty są aktualizowane.
Kiedy wdrażam podstawową analitykę, która jest w moich pakietach stron, konfiguruję ją tak, żeby startowała dopiero po zgodzie. Przy rozbudowanym marketingu, wielu narzędziach reklamowych albo nietypowym przetwarzaniu danych warto, żeby dokumenty sprawdził prawnik.
Ten artykuł to informacja ogólna według stanu prawnego z października 2026 r., a nie porada prawna. W konkretnej sprawie skonsultuj się z prawnikiem.