Przepisy UE o plikach cookie: dyrektywa ePrivacy i RODO

Skąd się wzięła unijna zasada dotycząca plików cookie

Zasada, którą większość ludzi nazywa „unijnym prawem o cookies”, to art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (dyrektywa ePrivacy, 2002/58/WE). Od nowelizacji dyrektywą 2009/136/WE stanowi on, że zapisywanie informacji na urządzeniu użytkownika lub uzyskiwanie dostępu do informacji, które już się tam znajdują, jest dozwolone tylko wtedy, gdy użytkownik wyraził zgodę po otrzymaniu jasnych i wyczerpujących informacji. Państwa członkowskie musiały stosować znowelizowaną zasadę od 25 maja 2011 r.

Są dwa wyjątki. Zgoda nie jest potrzebna, gdy zapisywanie lub dostęp:

• służy wyłącznie do przesłania komunikatu przez sieć albo
• jest niezbędne do świadczenia usługi, o którą użytkownik wyraźnie poprosił, takiej jak koszyk, logowanie czy zapamiętanie wyboru dotyczącego plików cookie.

Cała reszta, czyli analityka, reklama, retargeting i piksele mediów społecznościowych, co do zasady wymaga zgody. Niektóre państwa dopuszczają wąskie zwolnienia dla pomiaru oglądalności, który szanuje prywatność, na przykład Francja i Holandia. Polska takiego zwolnienia nie ma; sprawdź poradniki krajowe poniżej.

Nie tylko pliki cookie

Zasada jest neutralna technologicznie. W wytycznych 2/2023 w sprawie zakresu technicznego art. 5 ust. 3, przyjętych w ostatecznej wersji w październiku 2024 r., Europejska Rada Ochrony Danych (EROD) wyjaśnia, że obejmuje ona także piksele śledzące, linki śledzące, local storage, niektóre formy fingerprintingu i podobne techniki. Więcej w poradniku Czym są pliki cookie?

Jak stosują ją państwa członkowskie

Ponieważ to dyrektywa, każde państwo członkowskie wpisało zasadę do własnego prawa i każde ma własny organ nadzorczy. Kilka przykładów:

Różnice tkwią w szczegółach: czy cookie walle są dozwolone, jak długo należy pamiętać wybór, czy analityka może być zwolniona ze zgody i jak wysokie są kary. Nasz poradnik o karach za pliki cookie porównuje stronę egzekucyjną.

Co dokłada RODO

Dyrektywa ePrivacy sama nie definiuje zgody; odsyła do definicji z przepisów o ochronie danych, czyli dziś do RODO (ogólnego rozporządzenia o ochronie danych). Polska ustawa robi to samo: według art. 400 Prawa komunikacji elektronicznej do zgody stosuje się odpowiednio przepisy o ochronie danych osobowych. Zgoda na pliki cookie musi więc być:

• Dobrowolna: prawdziwy wybór, bez presji. Dostęp do strony co do zasady nie powinien zależeć od akceptacji śledzenia; zobacz Cookie wall.
• Konkretna: osobno dla każdego celu, a nie jedno „Akceptuj” dla wszystkiego bez możliwości wyboru.
• Świadoma: odwiedzający wie, kto zapisuje jakie pliki cookie, w jakim celu i na jak długo.
• Jednoznaczna: wyrażona wyraźnym, aktywnym działaniem. Milczenie, przewijanie strony czy dalsze przeglądanie nie są zgodą.

Odwiedzający musi też móc wycofać zgodę równie łatwo, jak ją wyraził.

Gdy pliki cookie przetwarzają dane osobowe, a śledzące pliki cookie robią to prawie zawsze, RODO obejmuje również to przetwarzanie: potrzebujesz podstawy prawnej, musisz przekazać informacje i respektować prawa osób, których dane dotyczą.

Planet49: kluczowy wyrok

W sprawie Planet49 (sprawa C-673/17, 1 października 2019 r.) Trybunał Sprawiedliwości Unii Europejskiej (TSUE) orzekł, że:

• domyślnie zaznaczone pole wyboru nie jest ważną zgodą;
• wymóg zgody obowiązuje bez względu na to, czy informacje są danymi osobowymi;
• informacje dla użytkowników muszą obejmować okres działania plików cookie oraz to, czy strony trzecie mają do nich dostęp.

Co się zmienia, a co nie

Rozporządzenie ePrivacy zostało wycofane

W 2017 r. Komisja zaproponowała rozporządzenie ePrivacy, które miało zastąpić dyrektywę. Po latach bez porozumienia zapowiedziała jego wycofanie w programie prac na 2025 rok, a wycofanie opublikowano w Dzienniku Urzędowym 6 października 2025 r. Dyrektywa ePrivacy nadal więc obowiązuje.

Digital Omnibus to wniosek, a nie prawo

19 listopada 2025 r. Komisja przedstawiła pakiet Digital Omnibus (procedura 2025/0360(COD)). Proponuje w nim między innymi przeniesienie zasad dotyczących dostępu do urządzeń, który wiąże się z danymi osobowymi, z dyrektywy ePrivacy do RODO, wprowadzenie obowiązku odmowy jednym kliknięciem, respektowanie wyboru przez strony przez co najmniej sześć miesięcy, możliwość centralnego ustawienia preferencji przez użytkowników (na przykład w przeglądarce) oraz zwolnienie ze zgody niektórych zastosowań niskiego ryzyka, takich jak liczenie odwiedzin.

W październiku 2026 r. to wciąż tylko wniosek: komisje Parlamentu Europejskiego pracują nad swoim sprawozdaniem, a Rada nie przyjęła stanowiska. Państwa członkowskie i posłowie do PE zgłosili poprawki, więc ostateczny tekst może wyglądać inaczej. Dopóki nie zostanie przyjęty i nie zacznie obowiązywać, stosuje się opisane wyżej krajowe przepisy o cookies, w Polsce art. 399 Prawa komunikacji elektronicznej.

Wielka Brytania to osobny przypadek

Od czasu brexitu Wielka Brytania ma własne przepisy: przepis 6 PECR w połączeniu z brytyjskim RODO (UK GDPR), egzekwowane przez ICO. Ustawa Data (Use and Access) Act 2025 dodała nowe wyjątki, na przykład dla części analityki, których w UE nie ma. Zobacz UK cookie law.

Jak spełnić wymogi w całej UE

1. Przeskanuj swoją stronę pod kątem wszystkich plików cookie, pikseli i skryptów, także tych z wtyczek i osadzonych treści.
2. Blokuj wszystko, co wymaga zgody, dopóki odwiedzający jej nie wyrazi.
3. Daj prawdziwy wybór: „Akceptuj” i „Odrzuć” równie widoczne na pierwszej warstwie oraz ustawienia dla każdego celu.
4. Informuj jasno w banerze i w polityce cookies.
5. Ułatw wycofanie zgody, na przykład linkiem na każdej podstronie.
6. Przechowuj dowód każdej zgody.
7. Stosuj najsurowsze zasady tam, gdzie masz odwiedzających, albo używaj reguł geograficznych dla każdego kraju.
8. Używaj Google Consent Mode v2, jeśli korzystasz z Google Ads lub Google Analytics; zobacz Google Consent Mode v2 w pigułce.

Cookie Confirm obejmuje wszystkie te kroki: comiesięczny skan z nielimitowanymi ponownymi skanami, skrypty blokowane do czasu wyrażenia zgody, reguły geograficzne dla każdego kraju, baner w barwach twojej marki wyświetlany w języku odwiedzającego (ponad 29 języków), deklarację cookies generowaną na podstawie skanu i rejestr zgód przechowywany przez 12 miesięcy. Za 7,95 € miesięcznie za stronę, z 7-dniowym bezpłatnym okresem próbnym.

Źródła

• EUR-Lex: dyrektywa 2002/58/WE (dyrektywa ePrivacy)
• EUR-Lex: dyrektywa 2009/136/WE
• EUR-Lex: rozporządzenie (UE) 2016/679 (RODO)
• TSUE: sprawa C-673/17, Planet49 (1 października 2019 r.)
• EROD: Wytyczne 2/2023 w sprawie zakresu technicznego art. 5 ust. 3 dyrektywy ePrivacy
• EROD: Wytyczne 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679
• Rada UE: nota informacyjna w sprawie wycofanych wniosków Komisji, Dz.U. C/2025/5423 (październik 2025)
• EUR-Lex: procedura 2017/0003(COD), rozporządzenie ePrivacy
• Komisja Europejska: FAQ pakietu cyfrowego (Digital Omnibus)
• Obserwatorium Legislacyjne Parlamentu Europejskiego: procedura 2025/0360(COD)
• ISAP: ustawa z 12 lipca 2024 r. Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221 (art. 399 i 400)
• ISAP: ustawa z 12 lipca 2024 r. Przepisy wprowadzające ustawę Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1222 (art. 68)
• Wetten.nl: Telecommunicatiewet, art. 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (art. 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)