Czym jest plik cookie?
Plik cookie to mały plik tekstowy, który strona internetowa zapisuje w przeglądarce odwiedzającego. Gdy przeglądarka następnym razem wczyta stronę z tej witryny, odsyła ten plik z powrotem. Dzięki temu strona może coś zapamiętać: że masz aktywną sesję logowania, co leży w twoim koszyku, jaki język wybrano albo że to nie twoja pierwsza wizyta.
Same pliki cookie nie są ani dobre, ani złe. Liczy się to, do czego służą. Plik cookie, który przechowuje zawartość twojego koszyka, jest ci potrzebny; plik cookie, który śledzi cię na setkach stron, żeby zbudować twój profil reklamowy, wymaga najpierw twojej zgody.
Zasada dotycząca plików cookie w skrócie
W Polsce zasada ta jest w art. 399 Prawa komunikacji elektronicznej, obowiązującym od 10 listopada 2024 r. (wcześniej w art. 173 Prawa telekomunikacyjnego). Wdraża on art. 5 ust. 3 unijnej dyrektywy o prywatności i łączności elektronicznej (dyrektywy ePrivacy), więc w całej UE sedno jest takie samo: możesz zapisywać informacje na urządzeniu odwiedzającego lub odczytywać je z niego tylko wtedy, gdy odwiedzający został uprzednio poinformowany o celu i wyraził zgodę. Polska ustawa wymaga też, żeby poinformować go, że warunki przechowywania plików cookie może określić w ustawieniach przeglądarki.
Są dwa wyjątki. Zgoda nie jest potrzebna, gdy zapisywanie lub odczytywanie informacji jest konieczne do świadczenia usługi, o którą prosi odwiedzający, albo do przesłania komunikatu (art. 399 ust. 3). Jeśli zgoda jest wymagana, musi spełniać standard RODO (ogólnego rozporządzenia o ochronie danych), do którego odsyła art. 400 Prawa komunikacji elektronicznej: być dobrowolna, konkretna, świadoma i wyrażona wyraźnym działaniem. Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł w sprawie Planet49 (2019), że domyślnie zaznaczone pole wyboru nie jest ważną zgodą, niezależnie od tego, czy plik cookie zawiera dane osobowe.
Rodzaje plików cookie
Według tego, kto je ustawia
- Własne pliki cookie (pliki cookie pierwszej strony) ustawia strona, którą odwiedzasz, w swojej domenie.
- Pliki cookie stron trzecich ustawia inna domena, np. sieć reklamowa, platforma wideo lub osadzony na stronie widżet mediów społecznościowych.
Według czasu przechowywania
- Sesyjne pliki cookie znikają po zamknięciu przeglądarki.
- Stałe pliki cookie pozostają do ustalonej daty wygaśnięcia: od kilku minut do kilku lat. Plik cookie _ga z Google Analytics jest na przykład domyślnie przechowywany przez dwa lata.
Według celu
To właśnie ta klasyfikacja decyduje o tym, czy potrzebujesz zgody.
| Cel | Przykłady | Zgoda wymagana w Polsce? |
|---|---|---|
| Niezbędne | Koszyk, sesja logowania, równoważenie obciążenia, bezpieczeństwo, sam wybór dotyczący plików cookie | Nie |
| Preferencje | Język, region, tryb ciemny | Nie, jeśli tylko zapamiętują wybór odwiedzającego, np. zmianę języka; w innych przypadkach często tak |
| Statystyki / analityka | Liczba odwiedzających, odsłony, Google Analytics | Tak |
| Marketing / śledzenie | Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting | Tak |
| Treści osadzone | Filmy z YouTube, mapy, posty z mediów społecznościowych | Zwykle tak |
W innych krajach UE bywa inaczej: na przykład francuski CNIL i przepisy holenderskie dopuszczają ściśle skonfigurowaną analitykę bez zgody. Polska ustawa takiego zwolnienia nie przewiduje. Więcej w poradnikach Przepisy o plikach cookie w Polsce i Google Analytics a RODO.
Nie tylko pliki cookie
Zasada jest neutralna technologicznie. Obejmuje wszystko, co zapisuje informacje na urządzeniu lub je z niego odczytuje. W wytycznych 2/2023 Europejska Rada Ochrony Danych (EROD) wymienia między innymi:
- local storage i session storage w przeglądarce;
- piksele śledzące i dekorowanie linków (identyfikatory dodawane do adresów URL);
- skrypty, które zbierają informacje z urządzenia i wysyłają je na serwer;
- fingerprinting, czyli rozpoznawanie urządzenia po jego cechach;
- identyfikatory w aplikacjach i urządzeniach podłączonych do sieci.
Polski art. 399 też mówi ogólnie o „przechowywaniu informacji lub uzyskiwaniu dostępu do informacji” w urządzeniu odwiedzającego, a nie tylko o plikach cookie. Dlatego argument „nie używamy plików cookie, tylko piksela” nie zwalnia cię z przestrzegania przepisów.
Co to oznacza dla twojej strony
- Sprawdź, co naprawdę ustawia twoja strona. Wtyczki, osadzone filmy i tagi marketingowe często dodają pliki cookie, o których nie wiesz. Pokaże je skaner plików cookie.
- Pogrupuj je według celu: niezbędne, preferencje, statystyki i marketing.
- Blokuj wszystko, co wymaga zgody, dopóki odwiedzający jej nie wyrazi, i zadbaj o to, by odrzucenie było równie łatwe jak akceptacja.
- Opisz to w polityce cookies: każdy plik cookie, jego cel, kto go ustawia i jak długo jest przechowywany. Zobacz nasz wzór polityki cookies.
Cookie Confirm co miesiąc skanuje twoją stronę (do tego bez limitu ponownych skanów), porządkuje znalezione pliki cookie, blokuje skrypty do czasu wyrażenia zgody i dba o aktualność twojej polityki cookies.
Źródła
- ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399 i 400)
- Dyrektywa ePrivacy 2002/58/WE (wersja skonsolidowana), art. 5 ust. 3
- TSUE: sprawa C-673/17, Planet49
- EROD: Wytyczne 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy ePrivacy
- Grupa Robocza Art. 29: Opinia 04/2012 w sprawie zwolnienia z wymogu zgody na pliki cookie
- CNIL: Rozwiązania dla narzędzi do pomiaru oglądalności
- Pomoc Google Analytics: Wykorzystanie plików cookie na stronach internetowych