Kary za pliki cookie: co grozi w Polsce na podstawie RODO i Prawa komunikacji elektronicznej?

Kto może ukarać za pliki cookie?

W Polsce masz do czynienia z dwiema ustawami i dwoma organami:

• Prawo komunikacji elektronicznej, art. 399. To polski przepis o cookies: zapisywanie informacji na urządzeniu odwiedzającego lub ich odczytywanie wymaga informacji i zgody, chyba że jest konieczne do usługi, o którą prosi odwiedzający. Przestrzeganie tego przepisu egzekwuje Prezes Urzędu Komunikacji Elektronicznej (Prezes UKE). Więcej w poradniku Przepisy o plikach cookie w Polsce.
• RODO. Gdy tylko pliki cookie przetwarzają dane osobowe, a śledzące i reklamowe pliki cookie robią to prawie zawsze, przetwarzanie musi być zgodne z RODO. Nad tym czuwa Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO). RODO wyznacza też standard ważnej zgody, do którego odsyła art. 400 Prawa komunikacji elektronicznej.

Ponieważ przepis o cookies nie jest częścią RODO, nie obejmuje go mechanizm kompleksowej współpracy (one-stop-shop) z RODO. Krajowy organ może działać wobec stron, które zapisują pliki cookie na urządzeniach odwiedzających w jego kraju, nawet jeśli firma ma unijną siedzibę gdzie indziej. Francuski CNIL wykorzystał to w decyzjach wobec Google i Shein, a francuska Rada Stanu w styczniu 2022 r. utrzymała w mocy decyzję CNIL wobec Google z 2020 r.

Jak wysokie mogą być kary?

Kwoty z RODO w euro przelicza się na złote według średniego kursu NBP z 28 stycznia danego roku (art. 103 ustawy o ochronie danych osobowych).

Za pliki cookie zapisywane bez wymaganej zgody Prawo komunikacji elektronicznej przewiduje karę w dwóch miejscach: art. 444 ust. 1 pkt 82 wymienia przechowywanie informacji lub dostęp do nich niezgodnie z art. 399, a art. 444 ust. 2 pkt 8 pozwala Prezesowi UKE nałożyć karę za niewypełnienie obowiązku uzyskania zgody, jeżeli przemawia za tym charakter lub zakres naruszenia. Ustalając wysokość kary, Prezes UKE bierze pod uwagę charakter i zakres naruszenia, dotychczasową działalność firmy i jej możliwości finansowe (art. 446 ust. 7). Karę można nałożyć także wtedy, gdy firma już zaprzestała naruszenia, jeśli przemawiają za tym jego czas trwania, zakres lub skutki (art. 444 ust. 3).

Przy RODO maksymalne kwoty też niewiele mówią o tym, co grozi przeciętnej stronie. Organ ustala wysokość kary według kryteriów z art. 83 ust. 2, takich jak charakter, waga i czas trwania naruszenia, liczba poszkodowanych osób, umyślność lub nieumyślność oraz działania podjęte w celu zminimalizowania szkody. Kara pieniężna to też nie jedyna sankcja: Prezes UODO może również udzielić upomnienia albo nakazać dostosowanie przetwarzania do przepisów.

Czy w Polsce ktoś już dostał karę za pliki cookie?

Przeszukaliśmy portal orzeczeń Prezesa UODO i publikacje Prezesa UKE. Nie znaleźliśmy opublikowanej decyzji, w której którykolwiek z tych organów nałożyłby karę pieniężną za pliki cookie na stronie internetowej. Kary Prezesa UKE za brak zgody dotyczyły dotąd głównie telemarketingu i SMS-ów marketingowych, a nie plików cookie.

To nie znaczy, że problem nie istnieje. Każdy odwiedzający może złożyć skargę do Prezesa UODO (art. 77 RODO), przepisy o karach obowiązują, a europejskie organy ochrony danych, w tym UODO, uzgodniły w 2023 r. w ramach grupy zadaniowej EROD wspólne podejście do skarg na banery cookie. Jak surowo można karać, pokazują decyzje z innych krajów.

Największe kary za pliki cookie w innych krajach UE

Żeby zobaczyć, jak organy w UE karzą za pliki cookie, trzeba spojrzeć za granicę. Najaktywniejszy jest francuski CNIL. Tabela zawiera najważniejsze kary, wszystkie wzięte z publikacji samych organów nadzorczych:

W kilku z tych spraw organ nadzorczy nakazał też firmie usunięcie problemu w wyznaczonym terminie (trzech lub sześciu miesięcy), pod groźbą kary za każdy dzień zwłoki.

Nie tylko wielkie firmy

Lista sankcji CNIL zawiera też wiele mniejszych kar: w latach 2024 i 2025 sklepy, wydawcy, biuro podróży, a nawet samorząd lokalny dostali kary od 2 000 € do 20 000 € za naruszenia dotyczące plików cookie, często w trybie uproszczonym. W samym 2025 roku CNIL ukarał 21 organizacji za naruszenia związane z plikami cookie i innymi narzędziami śledzącymi.

Jak egzekwowanie wygląda w praktyce

• Skargi. Wiele spraw zaczyna się od skargi. Sprawa Google prowadzona przez CNIL w 2025 r. zaczęła się od skargi organizacji noyb, która zajmuje się ochroną prywatności. W Polsce skargę na przetwarzanie danych osobowych składa się do Prezesa UODO.
• Przeglądy i skany. Organy w innych krajach sprawdzają dużą liczbę stron, często automatycznie, a potem wysyłają ostrzeżenia lub formalne nakazy. Holenderski AP skanuje na przykład stale tysiące stron.
• Nakazy przed karami. Większość organów najpierw wzywa do dostosowania się do przepisów. Kara pojawia się zwykle wtedy, gdy firma nie usunie problemu, gdy naruszenie jest poważne lub gdy dotyczy wielu osób.
• Kary dzienne. Za granicą nakazom często towarzyszy kara za każdy dzień, w którym problem nie został usunięty.

Inne ryzyka: odszkodowania

Oprócz kary w grę wchodzi odszkodowanie. Zgodnie z art. 82 RODO każdy, kto poniósł szkodę majątkową lub niemajątkową w wyniku naruszenia RODO, może domagać się odszkodowania. W sprawie Österreichische Post (C-300/21, 4 maja 2023 r.) Trybunał Sprawiedliwości UE orzekł, że samo naruszenie nie wystarcza: potrzebna jest rzeczywista szkoda i jej związek z naruszeniem. Sąd krajowy nie może jednak wymagać, by szkoda niemajątkowa przekraczała jakiś próg powagi.

W Polsce sprawy o odszkodowanie z art. 82 RODO rozpatruje sąd okręgowy, a w kwestiach, których RODO nie reguluje, stosuje się Kodeks cywilny (art. 92 i 93 ustawy o ochronie danych osobowych). Jeśli Prezes UODO prawomocnie stwierdził naruszenie, sąd jest tym ustaleniem związany (art. 97).

Jak uniknąć kłopotów

Kary opisane wyżej sprowadzają się do tych samych kilku błędów:

1. Żadnych plików cookie przed zgodą. Blokuj każdy skrypt, który wymaga zgody, dopóki odwiedzający jej nie wyrazi, i nie odblokowuj go po odmowie.
2. Odrzucenie tak samo łatwe jak akceptacja. Umieść „Odrzuć wszystkie” na pierwszej warstwie, równie widoczne jak „Akceptuj wszystkie”.
3. Nic nie zaznaczaj domyślnie, także w ustawieniach na drugiej warstwie banera.
4. Jasne informacje. Wyjaśnij cele i wymień strony trzecie, w banerze i w polityce cookies.
5. Żadnej wymuszonej zgody. Uważaj na cookie walle.
6. Przechowuj dowody. Zapisuj, co i kiedy wybrał każdy odwiedzający.
7. Sprawdzaj regularnie. Nowe wtyczki i tagi dodają pliki cookie, zanim ktokolwiek to zauważy.

Korzystasz z Google Analytics lub Google Ads? Przeczytaj też Google Analytics a RODO i Google Consent Mode v2 w pigułce.

Cookie Confirm załatwia większość tych kroków za ciebie, za 7,95 € miesięcznie za stronę: skaner sprawdza twoją stronę co miesiąc (i ponownie, kiedy chcesz), skrypty pozostają zablokowane do czasu wyrażenia zgody, „Akceptuj” i „Odrzuć” są obok siebie w barwach twojej marki, polityka cookies powstaje na podstawie skanu, a każda zgoda jest zapisywana przez 12 miesięcy i można ją wyeksportować. Wolisz nie robić tego samodzielnie? Nasza bezpłatna usługa instalacji sprawi, że twoja strona będzie zgodna z przepisami w ciągu 24 godzin od udzielenia nam dostępu.

Źródła

• ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399, 400, 444 i 446)
• ISAP: ustawa z 10 maja 2018 r. o ochronie danych osobowych, tekst jednolity Dz.U. 2019 poz. 1781 (art. 92, 93, 97 i 101–103)
• EUR-Lex: rozporządzenie (UE) 2016/679 (RODO), art. 58, 77, 82 i 83
• EUR-Lex: dyrektywa 2002/58/WE (dyrektywa ePrivacy), art. 5 ust. 3
• UODO: Portal orzeczeń Prezesa UODO
• UKE: Prezes UKE nałożył karę na Koksztys S.A. za prowadzenie marketingu bezpośredniego bez zgody użytkowników
• UODO: 74. posiedzenie plenarne Europejskiej Rady Ochrony Danych, 17 stycznia 2023 r.
• EROD: Raport z prac grupy zadaniowej ds. banerów cookie (17 stycznia 2023 r., PDF)
• CNIL: Sankcje nałożone przez CNIL
• CNIL: Rada Stanu potwierdza sankcję wobec Google z 2020 r.
• CNIL: Zamknięcie postępowania w sprawie nakazu wobec Facebooka
• CNIL: Zamknięcie postępowania w sprawie nakazu wobec Microsoft Ireland Operations Limited
• CNIL: Reklamy wstawiane między e-maile, kara 50 mln € dla Orange
• CNIL: Kara 325 mln € dla Google (wrzesień 2025)
• CNIL: Kara 150 mln € dla Shein (wrzesień 2025)
• CNIL: Sankcje i środki naprawcze w 2025 r.
• Autoriteit Persoonsgegevens: Kara 600 000 € za śledzące pliki cookie na Kruidvat.nl (16 lipca 2024 r., po niderlandzku)
• Autoriteit Persoonsgegevens: Decyzja w sprawie sprzeciwu AS Watson (Kruidvat), 27 maja 2025 r., po niderlandzku
• Autoriteit Persoonsgegevens: Jak AP nadzoruje pliki cookie (po niderlandzku)
• TSUE: sprawa C-300/21, Österreichische Post (4 maja 2023 r.)