Czym są pliki cookie stron trzecich?
Własny plik cookie (plik cookie pierwszej strony) ustawia strona, na której znajduje się odwiedzający. Plik cookie strony trzeciej ustawia inna domena, której treści są ładowane na tej stronie, na przykład sieć reklamowa, przycisk mediów społecznościowych albo osadzony film. Ponieważ ta sama strona trzecia pojawia się na wielu stronach, jej plik cookie może rozpoznawać odwiedzającego na nich wszystkich. Właśnie dlatego pliki cookie stron trzecich przydają się do retargetingu i śledzenia między stronami i dlatego przeglądarki oraz organy nadzorcze przyglądają im się z bliska. Więcej o różnych rodzajach w poradniku Czym są pliki cookie?
Plan Google i jak się zmieniał
| Data | Co ogłosił Google |
|---|---|
| 14 stycznia 2020 | Chrome wycofa obsługę plików cookie stron trzecich, z zamiarem zrobienia tego „w ciągu dwóch lat”, gdy będą gotowe alternatywy chroniące prywatność (Privacy Sandbox) |
| 24 czerwca 2021 | Nowy harmonogram: wycofanie miało trwać trzy miesiące, od połowy do końca 2023 roku, z zastrzeżeniem ustaleń z brytyjskim Urzędem ds. Konkurencji i Rynków (Competition and Markets Authority, CMA) |
| 27 lipca 2022 | Opóźnienie: Chrome zacznie wycofywać pliki cookie stron trzecich w drugiej połowie 2024 roku |
| 14 grudnia 2023 | Od 4 stycznia 2024 Chrome w ramach testu ograniczy pliki cookie stron trzecich dla 1% użytkowników, a pełne wycofanie zaplanowano na drugą połowę 2024 roku, pod warunkiem rozwiania obaw CMA dotyczących konkurencji |
| 23 kwietnia 2024 | Kolejne opóźnienie: wycofanie nie zakończy się w 2024 roku; Google liczył, że ruszy z nim na początku 2025 roku, jeśli dojdzie do porozumienia z CMA |
| 22 lipca 2024 | Zmiana planu: zamiast wycofywać pliki cookie stron trzecich, Chrome wprowadzi nowe rozwiązanie, które pozwoli użytkownikom dokonać świadomego wyboru obowiązującego podczas całego przeglądania |
| 22 kwietnia 2025 | Chrome zachowa obecne podejście do wyboru dotyczącego plików cookie stron trzecich i nie wprowadzi nowego, osobnego okna z wyborem; użytkownicy decydują w ustawieniach „Prywatność i bezpieczeństwo”, a tryb incognito już domyślnie blokuje pliki cookie stron trzecich |
| 17 października 2025 | Google ogłosił, że wycofa większość technologii Privacy Sandbox |
Rola brytyjskiego regulatora ds. konkurencji
Ponieważ usunięcie plików cookie stron trzecich z najpopularniejszej przeglądarki mogło zaszkodzić konkurentom na rynku reklamy internetowej, CMA zbadał Privacy Sandbox i w lutym 2022 przyjął od Google prawnie wiążące zobowiązania co do sposobu przeprowadzenia tej zmiany. Gdy Google postanowił nie wycofywać plików cookie stron trzecich, CMA przeprowadził konsultacje w sprawie zwolnienia z tych zobowiązań i formalnie zwolnił z nich Google 17 października 2025.
Co się stało z Privacy Sandbox?
Privacy Sandbox to zestaw technologii przeglądarkowych, które miały wspierać reklamę bez plików cookie stron trzecich. W październiku 2025 Google poinformował, że po przeanalizowaniu opinii i ze względu na niewielkie wykorzystanie wycofa między innymi: Attribution Reporting, IP Protection, Private Aggregation i Shared Storage, Protected Audience, Related Website Sets, Topics, a na Androidzie także On-Device Personalization, Protected App Signals i SDK Runtime. Strona Google ze statusem funkcji oznacza je teraz jako wycofywane i usuwane albo przeznaczone do wycofania.
Google nadal wspiera technologie, które przyjęły też inne przeglądarki lub które poprawiają prywatność i bezpieczeństwo, takie jak CHIPS (partycjonowane pliki cookie), FedCM (logowanie federacyjne), Private State Tokens, Storage Access API i partycjonowanie pamięci. W zakresie pomiaru Google zapowiada prace nad interoperacyjnym standardem Attribution w ramach W3C.
Co robią Safari i Firefox
Inne przeglądarki już lata temu poszły własną drogą:
- Safari domyślnie blokuje pliki cookie stron trzecich. Zespół WebKit firmy Apple ogłosił pełne blokowanie plików cookie stron trzecich 24 marca 2020 roku, w Safari 13.1 na macOS oraz w iOS i iPadOS 13.4. To element mechanizmu Intelligent Tracking Prevention (ITP).
- Firefox 14 czerwca 2022 włączył domyślnie Total Cookie Protection dla wszystkich użytkowników wersji na komputery. Każda strona dostaje w nim własny, oddzielny „pojemnik na pliki cookie”, więc pliku cookie strony trzeciej ustawionego na jednej stronie nie da się użyć do rozpoznania odwiedzającego na innej.
W praktyce część twoich odwiedzających już przegląda internet bez działających plików cookie stron trzecich, a większość użytkowników Chrome wciąż je ma.
Co to oznacza dla twojego banera cookie
Bez względu na to, co robią przeglądarki, prawo się nie zmieniło. Zasada zgody w UE (art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej, czyli dyrektywy ePrivacy), w Polsce wpisana do art. 399 Prawa komunikacji elektronicznej, obejmuje każde zapisywanie informacji na urządzeniu lub uzyskiwanie do nich dostępu, bez względu na to, kto to robi i jakiej techniki używa. Zobacz Przepisy o plikach cookie w Polsce i Przepisy UE o plikach cookie.
Polska ustawa ma tu jedną osobliwość: według art. 399 ust. 2 odwiedzający może wyrazić zgodę także za pomocą ustawień przeglądarki. Nie oznacza to, że wystarczy, iż Chrome domyślnie dopuszcza pliki cookie. Art. 400 wymaga, żeby zgoda spełniała wymogi RODO, czyli była konkretna i wyrażona wyraźnym działaniem, a ustawienie fabryczne, którego odwiedzający sam nie wybrał, takim działaniem nie jest.
To oznacza, że:
- Własne pliki cookie też wymagają zgody, jeśli służą do reklamy lub śledzenia, a w Polsce także do analityki. Przeniesienie śledzenia do własnego pliku cookie lub do konfiguracji po stronie serwera (server-side) nie zwalnia z obowiązku uzyskania zgody.
- Obejmuje to również inne techniki, takie jak local storage, piksele śledzące i fingerprinting.
- Twój baner musi blokować skrypty wymagające zgody, dopóki odwiedzający jej nie wyrazi, w każdej przeglądarce. To, że przeglądarka blokuje część plików cookie stron trzecich, to jeszcze nie to samo co uzyskanie zgody.
- Wymogi Google dotyczące zgody nadal obowiązują. Jeśli korzystasz z Google Ads lub Google Analytics w odniesieniu do odwiedzających z EOG, Wielkiej Brytanii lub Szwajcarii, potrzebujesz Google Consent Mode v2. Zobacz Google Consent Mode v2 w pigułce.
Organy nadzorcze wciąż egzekwują te zasady, w Polsce Prezes UKE i Prezes UODO: zobacz nasze zestawienie kar za pliki cookie.
Co zrobić teraz
- Przeskanuj swoją stronę pod kątem własnych plików cookie i plików cookie stron trzecich, pikseli i local storage.
- Sprawdź cel każdego z nich: czy jest niezbędny, czy wymaga zgody?
- Blokuj to, co wymaga zgody, dopóki odwiedzający jej nie wyrazi, z równie widocznymi przyciskami „Akceptuj” i „Odrzuć”.
- Skonfiguruj Google Consent Mode v2, jeśli używasz tagów Google.
- Aktualizuj swoją politykę cookies, łącznie z własnymi plikami cookie; skorzystaj z naszego wzoru polityki cookies.
Cookie Confirm zrobi to za ciebie: skaner co miesiąc wyszukuje własne pliki cookie i pliki cookie stron trzecich, skrypty pozostają zablokowane do czasu wyrażenia zgody, Google Consent Mode v2 jest obsługiwany ze wszystkimi czterema sygnałami (także przez nasz szablon do Google Tag Manager), a deklaracja cookies powstaje automatycznie na podstawie skanu. Za 7,95 € miesięcznie za stronę, z 7-dniowym bezpłatnym okresem próbnym bez karty kredytowej.
Źródła
- Chromium Blog: Budowanie bardziej prywatnego internetu – droga do tego, by pliki cookie stron trzecich stały się zbędne (14 stycznia 2020)
- Google: Zaktualizowany harmonogram etapów Privacy Sandbox (24 czerwca 2021)
- Google: Rozszerzenie testów Privacy Sandbox w internecie (27 lipca 2022)
- Google: Kolejny krok w kierunku wycofania plików cookie stron trzecich w Chrome (14 grudnia 2023)
- Privacy Sandbox: Aktualizacja planu wycofania plików cookie stron trzecich w Chrome (23 kwietnia 2024)
- Privacy Sandbox: Nowa droga dla Privacy Sandbox w internecie (22 lipca 2024)
- Privacy Sandbox: Kolejne kroki dla Privacy Sandbox i ochrony przed śledzeniem w Chrome (22 kwietnia 2025)
- Privacy Sandbox: Aktualizacja planów dotyczących technologii Privacy Sandbox (17 października 2025)
- Privacy Sandbox: Status funkcji
- CMA: Postępowanie w sprawie zmian w przeglądarce w ramach Privacy Sandbox Google
- CMA: Decyzja o zwolnieniu z zobowiązań dotyczących propozycji Privacy Sandbox Google (17 października 2025, PDF)
- WebKit: Pełne blokowanie plików cookie stron trzecich i nie tylko (24 marca 2020)
- Mozilla: Firefox domyślnie włącza Total Cookie Protection dla wszystkich użytkowników na świecie (14 czerwca 2022)
- EUR-Lex: Dyrektywa 2002/58/WE (dyrektywa ePrivacy), art. 5 ust. 3
- ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399 i 400)
- EUR-Lex: rozporządzenie (UE) 2016/679 (RODO), art. 4 pkt 11 i art. 7
- EROD: Wytyczne 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy ePrivacy