Czym jest cookie wall?
Cookie wall (dosłownie „ściana cookies”) blokuje treść strony, dopóki odwiedzający nie kliknie „Akceptuj”. Opcji „Odrzuć” nie ma albo odrzucenie oznacza, że nie wejdziesz na stronę. Chodzi o to, by wymusić zgodę na śledzące lub reklamowe pliki cookie.
Problem polega na tym, że zgoda liczy się tylko wtedy, gdy jest dobrowolna: odwiedzający musi móc odmówić bez negatywnych konsekwencji. Brak dostępu do strony to właśnie taka konsekwencja.
Co mówią polskie przepisy
Polski przepis o cookies, art. 399 Prawa komunikacji elektronicznej, pozwala zapisywać informacje na urządzeniu odwiedzającego lub je odczytywać po poinformowaniu go i uzyskaniu jego zgody, chyba że jest to konieczne do usługi, o którą prosi. Cookie walli ustawa nie wymienia. Rozstrzyga art. 400: do zgody stosuje się odpowiednio przepisy o ochronie danych osobowych, czyli RODO. A RODO wymaga, żeby zgoda była wyrażona dobrowolnie, i każe przy ocenie dobrowolności sprawdzić, czy wykonanie usługi uzależniono od zgody, która do tej usługi nie jest potrzebna (art. 7 ust. 4).
Nie znaleźliśmy osobnych wytycznych Prezesa UODO o cookie wallach. W Biuletynie UODO nr 03/2025 (marzec 2025 r.) ukazał się jednak artykuł o plikach cookie, w którym czytamy, że stosowanie cookie walli, czyli blokowanie dostępu do strony bez akceptacji plików cookie, jest niezgodne z RODO. Biuletyn zaznacza, że nie każdy artykuł jest oficjalnym stanowiskiem organu, ale treść odpowiada wytycznym EROD opisanym niżej. Nie znaleźliśmy decyzji Prezesa UODO ani Prezesa UKE w sprawie konkretnego cookie walla.
Więcej o polskich przepisach w poradniku Przepisy o plikach cookie w Polsce.
Co mówią przepisy UE
Europejska Rada Ochrony Danych (EROD), w której współpracują wszystkie unijne organy nadzorcze, w tym UODO, stawia sprawę jasno w wytycznych 05/2020 dotyczących zgody: aby zgoda była dobrowolna, dostęp do usług i funkcji nie może zależeć od zgody na zapisywanie lub odczytywanie informacji na urządzeniu odwiedzającego. Jako przykład EROD podaje stronę, która blokuje całą treść poza prośbą o akceptację plików cookie. Według EROD odwiedzający nie ma tam rzeczywistego wyboru, więc zgoda jest nieważna.
Krajowe organy w innych państwach stosują tę zasadę różnie. Holenderski organ (Autoriteit Persoonsgegevens) uznaje cookie wall bez rozsądnej alternatywy za niedozwolony. Francuski CNIL ocenia cookie walle indywidualnie i oczekuje „rzeczywistej i uczciwej” alternatywy, bo francuska Rada Stanu orzekła w 2020 r., że nie może ich zakazać ogólnie w niewiążących wytycznych.
Przepisy mogą się też zmienić. Komisja Europejska zaproponowała zmiany zasad dotyczących plików cookie w pakiecie Digital Omnibus z listopada 2025 r., ale według stanu na październik 2026 r. propozycja nie została przyjęta, więc obowiązują obecne przepisy.
„Consent or pay”
Niektórzy wydawcy dają wybór: zaakceptuj śledzenie na potrzeby spersonalizowanych reklam albo zapłać za dostęp bez niego. Nazywa się to „consent or pay” lub „pay or OK” (zgoda albo opłata).
- Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł w 2023 r. w sprawie Meta Platforms przeciwko Bundeskartellamt, że użytkownikom, którzy odmawiają, należy zaoferować równoważną alternatywę bez takiego przetwarzania, w razie potrzeby za odpowiednią opłatą.
- Opinia EROD 08/2024 dotyczy wyłącznie dużych platform internetowych. Stwierdza, że w większości przypadków nie są one w stanie spełnić wymogów ważnej zgody, jeśli oferują jedynie wybór między zgodą na reklamę behawioralną a płatnością. EROD oczekuje, że rozważą bezpłatną alternatywę bez reklamy behawioralnej.
- Nie znaleźliśmy osobnego stanowiska Prezesa UODO w sprawie modelu „consent or pay”.
Dla zwykłej strony firmowej rzadko ma to znaczenie: nie zarabiasz na spersonalizowanych reklamach, więc nie ma za co „płacić”.
Co jest dozwolone?
| Rozwiązanie | Dozwolone? |
|---|---|
| Baner z „Akceptuj” i „Odrzuć” na tej samej warstwie, a strona działa po każdym wyborze | Tak |
| Po odmowie tylko niezbędne pliki cookie | Tak |
| Filmy i przyciski mediów społecznościowych ładowane dopiero po kliknięciu, z informacją o plikach cookie | Tak |
| Blokowanie strony, dopóki odwiedzający nie zaakceptuje śledzących plików cookie | Nie, według EROD taka zgoda nie jest dobrowolna |
| Wybór między płatnością a zgodą, bez bezpłatnej alternatywy | Tylko przy spełnieniu surowych warunków RODO; zasięgnij porady prawnej |
Co zrobić zamiast tego
W przypadku niemal każdej strony najlepsze rozwiązanie jest proste:
- Wpuszczaj odwiedzających niezależnie od ich wyboru. Pokaż „Akceptuj” i „Odrzuć” obok siebie, równie widoczne, i zadbaj o to, by po odrzuceniu strona nadal działała.
- Blokuj tylko to, co wymaga zgody. Niezbędne pliki cookie mogą się ładować; tagi marketingowe i analityczne czekają na zgodę. W Polsce dotyczy to także analityki, bo ustawa nie przewiduje dla niej zwolnienia.
- Osadzone treści ładuj po kliknięciu. Film z YouTube czy mapa mogą czekać, aż odwiedzający sam je włączy.
- Zarabiasz na reklamach? Rozważ reklamy kontekstowe dla odwiedzających, którzy odmówią, zamiast ich blokować.
- Jasno wyjaśnij, czego używasz i dlaczego, w banerze i w polityce cookies.
Cookie Confirm działa właśnie tak: baner w barwach twojej marki daje swobodny wybór na jednej warstwie, blokuje skrypty do czasu wyrażenia zgody i zostawia stronę dostępną dla tych, którzy odmówią. Możesz go wypróbować przez 7 dni za darmo, bez karty kredytowej. Które pliki cookie w ogóle wymagają zgody? Zobacz Czym są pliki cookie?
Źródła
- ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399 i 400)
- EUR-Lex: rozporządzenie (UE) 2016/679 (RODO), art. 4 pkt 11 i art. 7
- UODO: Biuletyn UODO nr 03/03/25, artykuł „Problematyka ochrony danych osobowych a pliki cookies” (PDF)
- EROD: Wytyczne 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679
- EROD: Opinia 08/2024 w sprawie ważnej zgody w kontekście modeli „consent or pay” stosowanych przez duże platformy internetowe
- EROD: Pismo z 19 listopada 2020 r. w sprawie cookie walli
- TSUE: sprawa C-252/21, Meta Platforms przeciwko Bundeskartellamt
- Autoriteit Persoonsgegevens: Tracking cookies, część o cookie wallach (po niderlandzku)
- CNIL: Cookie walle – pierwsze kryteria oceny (po francusku)
- Komisja Europejska: pakiet cyfrowy (Digital Omnibus)