Przepisy o plikach cookie w Polsce

Gdzie są przepisy o plikach cookie?

Polski „przepis o cookies” to art. 399 ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej (PKE). Ustawa weszła w życie 10 listopada 2024 r. i zastąpiła Prawo telekomunikacyjne, w którym te same zasady były w art. 173. Art. 399 wdraża art. 5 ust. 3 unijnej dyrektywy ePrivacy, więc w całej UE sedno jest podobne. Więcej o unijnym tle w poradniku Przepisy UE o plikach cookie.

Przepis dotyczy każdego przechowywania informacji lub uzyskiwania dostępu do informacji w urządzeniu odwiedzającego, czyli w jego komputerze, telefonie czy tablecie. Chodzi nie tylko o pliki cookie, ale też o local storage, piksele śledzące i podobne techniki. Wolno to robić, gdy spełnione są trzy warunki:

1. Informacja z góry. Odwiedzający dowiaduje się jednoznacznie, łatwo i zrozumiale, w jakim celu zapisujesz lub odczytujesz informacje i że może określić warunki przechowywania lub dostępu w ustawieniach przeglądarki albo w konfiguracji usługi.
2. Zgoda. Po otrzymaniu tych informacji odwiedzający wyraża zgodę.
3. Bez zmian w urządzeniu. Zapisywanie lub odczytywanie informacji nie zmienia konfiguracji urządzenia ani zainstalowanego w nim oprogramowania.

Według art. 400 do zgody stosuje się odpowiednio przepisy o ochronie danych osobowych, czyli RODO. Zgoda na pliki cookie musi więc spełniać te same wymogi co zgoda na przetwarzanie danych osobowych.

Są dwa wyjątki (art. 399 ust. 3). Ani informacja, ani zgoda z art. 399 nie są potrzebne, gdy zapisywanie lub odczytywanie informacji jest konieczne:

• do przesłania komunikatu przez publiczną sieć telekomunikacyjną albo
• do świadczenia usługi drogą elektroniczną, o którą prosi odwiedzający, np. koszyka, sesji logowania czy zapamiętania jego wyboru w banerze cookie.

Gdy pliki cookie przetwarzają dane osobowe, a śledzące pliki cookie robią to prawie zawsze, stosuje się dodatkowo całe RODO: potrzebujesz podstawy prawnej, musisz przekazać informacje i respektować prawa odwiedzających.

Które pliki cookie wymagają zgody?

W niektórych krajach UE ściśle skonfigurowana analityka może działać bez zgody, na przykład we Francji i w Holandii. W Polsce takiego zwolnienia nie ma: art. 399 ust. 3 obejmuje tylko to, co konieczne do przesłania komunikatu lub do usługi, o którą prosi odwiedzający. Więcej o rodzajach plików cookie w poradniku Czym są pliki cookie?, a o analityce w poradniku Google Analytics a RODO.

Jaka zgoda jest ważna?

Ponieważ art. 400 odsyła do RODO, zgoda na pliki cookie musi być:

• Dobrowolna: odwiedzający może odmówić bez negatywnych konsekwencji. Dlatego cookie wall jest złym pomysłem.
• Konkretna: osobno dla każdego celu, np. statystyk i marketingu, a nie jedno pole wyboru na wszystko.
• Świadoma: odwiedzający wie, kto zapisuje jakie pliki cookie, w jakim celu i na jak długo.
• Jednoznaczna: wyrażona wyraźnym działaniem, np. kliknięciem przycisku. Przewijanie strony, milczenie czy domyślnie zaznaczone pola wyboru nie są zgodą. W sprawie domyślnie zaznaczonych pól Trybunał Sprawiedliwości UE orzekł już w 2019 r. w sprawie Planet49.
• Równie łatwa do wycofania jak do wyrażenia, np. przez link lub ikonę widoczną na każdej podstronie.

I co najważniejsze: dopóki nie ma zgody, pliki cookie, które jej wymagają, nie mogą zostać zapisane. Skrypty narzędzi marketingowych i analitycznych muszą być zablokowane do chwili, gdy odwiedzający się zgodzi, i pozostać zablokowane po odmowie.

Europejskie organy ochrony danych uzgodniły w raporcie grupy zadaniowej EROD ds. banerów cookie (styczeń 2023 r.), jak oceniać typowe błędy w banerach. Zdecydowana większość organów uznała, że baner bez możliwości odmowy na tej samej warstwie, na której jest przycisk zgody, narusza przepisy. Domyślnie zaznaczone pola, także na drugiej warstwie banera, nie dają ważnej zgody. Prezes UODO informował o przyjęciu tego raportu na swojej stronie.

Zgoda w ustawieniach przeglądarki?

Polska ustawa ma jedną cechę, która często budzi pytania: według art. 399 ust. 2 odwiedzający może wyrazić zgodę za pomocą ustawień przeglądarki lub konfiguracji usługi. Nie oznacza to jednak, że wystarczy, iż przeglądarka domyślnie akceptuje pliki cookie. Art. 400 wymaga, żeby zgoda spełniała wymogi RODO, a zgoda musi być konkretna i wyrażona wyraźnym działaniem. Ustawienie fabryczne, którego odwiedzający sam nie wybrał, nie jest takim działaniem i nie mówi nic o tym, na jakie cele się zgadza.

W praktyce potrzebujesz więc banera cookie, w którym odwiedzający sam decyduje. Informację o tym, że warunki przechowywania plików cookie można też ustawić w przeglądarce, i tak musisz podać (art. 399 ust. 1 pkt 1 lit. b). Najprościej zrobić to w polityce cookies.

Kto pilnuje przestrzegania przepisów?

W Polsce nad plikami cookie czuwają dwa organy:

• Prezes Urzędu Komunikacji Elektronicznej (Prezes UKE) egzekwuje art. 399 PKE. Za przechowywanie informacji lub dostęp do nich niezgodnie z art. 399, w tym za brak wymaganej zgody, może nałożyć karę pieniężną do 3% przychodu z poprzedniego roku kalendarzowego (art. 444 i 446 PKE). Gdy przychód firmy, liczony wtedy jako średnia z trzech lat, nie przekracza 500 000 zł, kara wynosi najwyżej 15 000 zł.
• Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO) pilnuje przestrzegania RODO. Gdy pliki cookie przetwarzają dane osobowe bez ważnej zgody, grozi kara do 20 mln € lub 4% całkowitego rocznego światowego obrotu. Odwiedzający mogą złożyć skargę do Prezesa UODO.

Jak dotąd nie znaleźliśmy opublikowanej decyzji Prezesa UKE ani Prezesa UODO, w której nałożono by karę pieniężną za pliki cookie na stronie internetowej. To nie znaczy, że ryzyka nie ma: przepisy i kary obowiązują, a w innych krajach UE organy regularnie karzą za banery cookie. Szczegóły w poradniku Kary za pliki cookie.

Co mówi UODO?

Nie znaleźliśmy osobnych wytycznych Prezesa UODO dotyczących banerów cookie. W Biuletynie UODO nr 03/2025 (marzec 2025 r.) ukazał się jednak artykuł o plikach cookie. Czytamy w nim, że zgodnie z wytycznymi EROD:

• zgoda na pliki cookie musi być dobrowolna, świadoma, jednoznaczna i wyrażona aktywnym działaniem;
• domyślnie zaznaczone pola wyboru nie są ważną zgodą;
• stosowanie cookie walli, czyli blokowanie dostępu do strony bez akceptacji plików cookie, jest niezgodne z RODO;
• zgodę musi dać się wycofać równie łatwo, jak się ją wyraziło;
• informacje o plikach cookie trzeba podać, zanim odwiedzający wyrazi zgodę.

Biuletyn zaznacza, że nie każdy opublikowany w nim artykuł jest oficjalnym stanowiskiem organu. Treść pokrywa się jednak z wytycznymi EROD, którymi kierują się wszystkie unijne organy ochrony danych.

Jak dostosować swoją stronę

1. Sprawdź, jakie pliki cookie ustawia twoja strona. Skaner plików cookie znajdzie też te z wtyczek i osadzonych treści.
2. Zastanów się, czy wszystko jest ci potrzebne. Bez plików cookie wymagających zgody nie potrzebujesz banera.
3. Pogrupuj resztę według celu: niezbędne, preferencje, statystyki i marketing.
4. Pokaż baner cookie z przyciskami „Akceptuj” i „Odrzuć” obok siebie na pierwszej warstwie, równie widocznymi.
5. Blokuj wszystkie pliki cookie wymagające zgody, dopóki odwiedzający jej nie wyrazi.
6. Korzystasz z Google Ads lub Google Analytics? Przekazuj wybór odwiedzającego przez Google Consent Mode v2.
7. Opublikuj politykę cookies z listą plików cookie, ich celem, okresem przechowywania i dostawcą oraz z informacją o ustawieniach przeglądarki.
8. Przechowuj dowód zgody, żeby móc wykazać, kto, kiedy i na co się zgodził.

Cookie Confirm pomaga w krokach 1 i od 3 do 8: skaner sprawdza twoją stronę co miesiąc (i ponownie, kiedy chcesz), baner blokuje skrypty do czasu wyrażenia zgody i przekazuje wybór do Google Consent Mode v2, polityka cookies powstaje automatycznie na podstawie skanu, a każda zgoda jest przechowywana przez 12 miesięcy. Wolisz nie robić tego samodzielnie? Nasza bezpłatna usługa instalacji sprawi, że twoja strona będzie zgodna z przepisami w ciągu 24 godzin od udzielenia nam dostępu.

Źródła

• ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399, 400, 444 i 446)
• ISAP: ustawa z 12 lipca 2024 r. Przepisy wprowadzające ustawę Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1222 (art. 68)
• ISAP: ustawa z 10 maja 2018 r. o ochronie danych osobowych, tekst jednolity Dz.U. 2019 poz. 1781
• EUR-Lex: rozporządzenie (UE) 2016/679 (RODO), art. 4 pkt 11, art. 7, 77 i 83
• EUR-Lex: dyrektywa 2002/58/WE (dyrektywa ePrivacy), art. 5 ust. 3
• UODO: Biuletyn UODO nr 03/03/25, artykuł „Problematyka ochrony danych osobowych a pliki cookies” (PDF)
• UODO: 74. posiedzenie plenarne Europejskiej Rady Ochrony Danych, 17 stycznia 2023 r.
• EROD: Raport z prac grupy zadaniowej ds. banerów cookie (17 stycznia 2023 r., PDF)
• EROD: Wytyczne 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679
• EROD: Wytyczne 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy ePrivacy
• TSUE: sprawa C-673/17, Planet49 (1 października 2019 r.)
• EUR-Lex: procedura Digital Omnibus 2025/0360(COD)