Czy polityka cookies jest obowiązkowa? Przepisy i wymagania

Czy polityka cookies jest obowiązkowa?

Ustawa Prawo telekomunikacyjne (art. 173) oraz RODO nakładają na właścicieli stron internetowych obowiązek informowania odwiedzających o użyciu plików cookies. W praktyce większość serwisów internetowych powinna więc udostępnić politykę cookies i wdrożyć mechanizm zarządzania zgodami, tak by informacje o ciasteczkach były dostępne przed rozpoczęciem ich przetwarzania. Można to zrealizować za pomocą:

• banera zgody,
• paska cookies,
• krótkiego komunikatu.

Choć istnieją wyjątki. Nie wymagają zgody pliki niezbędne do przesyłania komunikatów czy świadczenia usług, jednak użytkownicy nadal muszą mieć do nich dostęp i wiedzieć, że są stosowane. Polityka cookies może być załączona do polityki prywatności lub funkcjonować jako oddzielny dokument; w obu przypadkach powinna przejrzyście wyjaśniać cele wykorzystywania ciasteczek, takie jak:

• niezbędne,
• funkcjonalne,
• analityczne,
• marketingowe.

Warto także wskazać okres przechowywania danych oraz sposób wycofania zgody i uzyskania dodatkowych informacji. Zgoda na cookies, które nie są konieczne do działania serwisu, powinna wynikać z aktywnego działania użytkownika, na przykład kliknięcia przycisku lub wyboru ustawień — domyślne zaznaczenia nie wystarczą. System zarządzania zgodami musi pozwalać na łatwe cofnięcie zgody i selektywne zarządzanie poszczególnymi kategoriami ciasteczek. Brak polityki cookies może skutkować zarówno sankcjami administracyjnymi, jak i utratą zaufania użytkowników. RODO przewiduje kary do 20 mln EUR lub do 4% rocznego obrotu, a dodatkowe konsekwencje mogą wynikać z przepisów Prawa telekomunikacyjnego.

Jakie przepisy regulują politykę cookies?

Wyrok Trybunału Sprawiedliwości UE w sprawie C‑673/17 (Planet49, 2019) potwierdził, że zgoda na cookies musi być świadoma i aktywna — pola wstępnie zaznaczone nie są zatem wystarczające. Zgodnie z art. 5 ust. 3 Dyrektywy ePrivacy (2002/58/WE) zapisanie danych w urządzeniach końcowych wymaga zgody użytkownika. Trwające prace nad rozporządzeniem ePrivacy mają na celu ujednolicenie tych zasad w całej Unii.

W polskim porządku prawnym postanowienia dyrektywy implementowane są m.in. przez Prawo telekomunikacyjne, gdzie artykuł 173 nakłada obowiązek pozyskania zgody, z wyjątkiem ciasteczek niezbędnych do działania usługi. RODO określa natomiast podstawy prawne przetwarzania danych pochodzących z cookies — najczęściej jest to art. 6 ust. 1 lit. a (zgoda), a czasami art. 6 ust. 1 lit. f (prawnie uzasadniony interes).

Dodatkowo RODO nakłada obowiązki informacyjne opisane w art. 12–14, których spełnienie jest niezbędne przy korzystaniu z cookies. Grupa Robocza art. 29, a później Europejska Rada Ochrony Danych (EDPB), wydawały wytyczne dotyczące:

• formy zgody,
• przejrzystości komunikatów,
• sposobów dowodzenia akceptacji.

Maj mają one realny wpływ na praktykę stosowania mechanizmów zgody (CMP). IAB Polska przygotowało techniczne rekomendacje i dobre praktyki dla reklamodawców oraz dostawców CMP, które pomagają w implementacji zgodnych rozwiązań.

Regulacje nakładają też konkretne wymogi techniczne i organizacyjne:

• rejestrację zgód,
• możliwość ich wycofania,
• rozdzielenie kategorii cookies,
• dokumentowanie decyzji prawnych.

Organy nadzorcze — UODO i UKE — kontrolują przestrzeganie przepisów i mogą stosować sankcje za naruszenia. Zgodność wymaga zatem szczegółowej analizy podstaw prawnych dla każdego typu ciasteczka, wdrożenia mechanizmu zgody zgodnego z wytycznymi oraz stałego monitoringu zmian w przepisach ePrivacy i RODO.

Kiedy zgoda użytkownika jest wymagana?

Zgoda jest konieczna zawsze, gdy ciasteczka rozszerzają przetwarzanie danych poza podstawowe funkcje — na przykład przesyłanie komunikatu czy świadczenie usługi. Do takich plików należą:

• cookies analityczne, które monitorują zachowania użytkowników,
• ciasteczka wykorzystywane do personalizacji treści, jak rekomendacje czy profilowanie,
• ciasteczka marketingowe i remarketingowe, np. Facebook Pixel czy Google Ads.

Zgoda musi być świadoma, jednoznaczna i dobrowolna; aktywacja ciasteczek powinna nastąpić dopiero po jej udzieleniu. Pola wstępnie zaznaczone nie spełniają wymogu prawidłowej zgody. Użytkownik powinien móc zgadzać się oddzielnie na różne cele — to pozwala wyłączyć wybrane kategorie bez blokowania wszystkiego. Gdy przetwarzane są dane osobowe, podstawy prawne trzeba jasno wskazać. Najczęściej stosowaną podstawą jest zgoda, zgodnie z art. 6 ust. 1 lit. a RODO. Dodatkowo należy informować o:

• okresie przechowywania danych,
• metodach wycofania zgody,
• tym, jak decyzje są zapisywane w systemie.

Stosowanie tzw. cookie wall — czyli uzależnianie dostępu do serwisu od wyrażenia zgody — może naruszać zasadę dobrowolności i rodzić wątpliwości co do zgodności z przepisami. Dlatego ważne jest:

• rejestrowanie wyborów użytkownika,
• umożliwienie prostego cofnięcia zgody,
• wyraźne rozdzielenie ciasteczek niezbędnych od pozostałych.

Takie praktyki ułatwiają zachowanie zgodności z obowiązkiem uzyskania zgody na cookies.

Jak uzyskać i wycofać zgodę użytkownika?

Skrypty analityczne i reklamowe powinny włączać się dopiero po wyrażeniu zgody przez użytkownika. W praktyce oznacza to umieszczenie banera lub paska cookies z trzema czytelnymi opcjami:

• „Akceptuj wszystkie”,
• „Odrzuć nieistotne”,
• „Ustawienia” (zaawansowane).

Narzędzie do zarządzania zgodami (CMP) musi pozwalać na wybór w czterech kategoriach:

• niezbędne,
• funkcjonalne,
• analityczne,
• marketingowe,

a jednocześnie blokować skrypty, gdy zgoda nie została udzielona. Wybory użytkownika należy zapisywać w bazie danych — z informacją o czasie, wybranych kategoriach, wersji polityki, identyfikatorze zgody oraz danymi technicznymi, np. user agenta. Akceptacja ustawień przeglądarki jest dopuszczalna, ale tylko jeśli użytkownik ma łatwą i czytelną możliwość dokonania wyboru.

Techniczna integracja powinna wykorzystywać Google Consent Mode oraz zgodne tagi, by ograniczyć ładowanie narzędzi analitycznych i reklamowych przed uzyskaniem zgody. Dostęp do zmiany ustawień cookies musi być prosty — np. link w stopce, opcja w panelu użytkownika lub widoczny przycisk „Zmień ustawienia cookies”. Wycofanie zgody ma być równie proste jak jej udzielenie; po jego dokonaniu przetwarzanie danych powinno zostać niezwłocznie wstrzymane, a niepotrzebne pliki cookies usunięte.

W praktyce zmiany techniczne i kasowanie ciasteczek powinny nastąpić bezzwłocznie, zwykle w ciągu 24 godzin, przy jednoczesnym zarejestrowaniu dokładnego czasu operacji. Regularne testy CMP oraz przechowywanie zapisów zgód przez okres uzasadniony prawnie są niezbędne. Użytkownik powinien też mieć możliwość eksportu swoich zapisów na potrzeby kontroli. Takie rozwiązania zwiększają przejrzystość i zmniejszają ryzyko naruszeń związanych z zarządzaniem zgodą na pliki cookies.

Jakie informacje powinna zawierać polityka cookies?

Dokument opisuje różne rodzaje plików cookie — m.in. sesyjne i stałe — oraz podaje konkretne nazwy ciasteczek i ich dostawców, także tych zewnętrznych. Znajdą się w nim informacje o usługach stron trzecich, które umieszczają ciasteczka na stronie. W polityce powinny być jasno określone cele wykorzystywania cookie:

• niezbędne do działania serwisu,
• funkcjonalne poprawiające wygodę,
• analityczne do zbierania statystyk,
• marketingowe,
• identyfikacyjne i personalizujące treści.

Do każdego celu warto dopisać opis, jakie dane są zbierane — na przykład identyfikator, informacje o zachowaniu użytkownika czy adres IP — oraz czy i komu te dane są udostępniane. Niezbędne jest wskazanie czasu przechowywania danych dla poszczególnych kategorii:

• pliki sesyjne do zamknięcia przeglądarki,
• narzędzia analityczne zwykle od 30 do 90 dni,
• marketingowe często od 13 do 24 miesięcy.

Przy każdej kategorii warto podać konkretny okres przechowywania. Polityka powinna też podawać podstawę prawną przetwarzania — np. zgoda użytkownika zgodnie z art. 6 ust. 1 lit. a RODO lub inny adekwatny fundament prawny — oraz opis sposobu rejestracji i przechowywania udzielonych zgód (data, wybrane kategorie, wersja polityki, identyfikator zgody).

Trzeba zamieścić praktyczne instrukcje dotyczące zarządzania i blokowania cookies: ustawienia w przeglądarce, dostępne mechanizmy na stronie oraz krok po kroku sposób wycofania zgody. Wskazane jest też opisanie skutków cofnięcia zgody dla działania serwisu, aby użytkownik wiedział, jakie funkcje mogą przestać działać.

Powiązanie z polityką prywatności oraz opis stosowanych środków ochrony danych są ważne — należy wyjaśnić, jak chronione są informacje pochodzące z ciasteczek. Dodatkowo trzeba podać dane kontaktowe administratora (nazwa, adres, e-mail) oraz, gdy to konieczne, dane inspektora ochrony danych. Jeśli używane są narzędzia do audytu cookies lub oprogramowanie zarządzające zgodami (CMP), powinno się je wymienić i opisać.

Dokument musi też zawierać datę ostatniej aktualizacji polityki, aby użytkownicy wiedzieli, kiedy informacje zostały zaktualizowane. W treści warto umieścić bardziej szczegółowe elementy, np. tabelę z nazwami ciasteczek, ich dostawcami, celem, kategorią, czasem przechowywania oraz linkiem do odpowiedniej części polityki prywatności. Należy też wskazać miejsce i sposób zmiany ustawień — link w stopce lub widoczny przycisk — oraz mechanizm wycofania zgody i jego lokalizację.

Polityka powinna być napisana przejrzyście, udostępniona przed rozpoczęciem przetwarzania nieistotnych cookie i łatwa do aktualizacji w razie zmiany listy ciasteczek lub dostawców.

Jak użytkownik może zarządzać ciasteczkami?

Najłatwiej zarządzać plikami cookie bezpośrednio w ustawieniach przeglądarki. To tam możesz:

• blokować ciasteczka stron trzecich,
• usuwać zgromadzone dane,
• dostosowywać reguły dla konkretnych witryn.

W wersjach desktopowych — takich jak Chrome, Firefox, Edge czy Safari — odpowiednie opcje znajdziesz w sekcji prywatności i bezpieczeństwa. Przykładowo w Chrome przejdź do Menu > Ustawienia > Prywatność i bezpieczeństwo > Pliki cookie i inne dane witryn, gdzie możesz wyłączyć third-party cookies lub wyczyścić dane przeglądania. Firefox oferuje funkcję Enhanced Tracking Protection do blokowania śledzących ciasteczek, a na urządzeniach mobilnych (np. Chrome na Androidzie) ustawienia cookie dostępne są w Ustawienia > Ustawienia witryn > Pliki cookie.

Tryb prywatny/incognito usuwa ciasteczka po zakończeniu sesji, ale nie zmienia trwałych ustawień przeglądarki. Z poziomu strony często pojawia się baner zgody lub CMP — za jego pomocą wyłączysz niechciane kategorie i zapiszesz preferencje. Jeśli chcesz usunąć ciasteczka dla pojedynczej strony, kliknij ikonę kłódki przy pasku adresu, wybierz Ustawienia strony > Pliki cookie > Usuń, albo wyszukaj domenę w liście ciasteczek i usuń odpowiedni wpis.

Dodatkowo można skorzystać z rozszerzeń blokujących skrypty, jak uBlock Origin, Privacy Badger czy NoScript, które ograniczają ładowanie trackerów i ułatwiają kontrolę nad cookie. Warto też ustawić automatyczne reguły — np. okresowe kasowanie danych lub wyjątki dla zaufanych serwisów. Pamiętaj, że blokowanie niektórych kategorii ciasteczek bywa kosztem funkcji strony, takich jak logowanie czy personalizacja, więc decyzje o zarządzaniu cookie powinny brać pod uwagę zarówno prywatność, jak i wygodę użytkownika.

Jakie konsekwencje grożą za brak polityki cookies?

Organy nadzorcze mogą wszczynać postępowania wyjaśniające i zlecać audyty cookies właścicielom serwisów internetowych. W efekcie takich działań firmy często muszą:

• zaktualizować politykę prywatności,
• wdrożyć mechanizm zarządzania zgodami (CMP),
• technicznie blokować skrypty do czasu uzyskania zgody użytkownika.

Brak polityki cookies lub nieprawidłowe praktyki narażają przedsiębiorców na sankcje — zarówno krajowe, jak i unijne — oraz na dodatkowe koszty związane z audytem, wdrożeniem CMP i aktualizacją dokumentów, które mogą sięgać kilku tysięcy złotych. W skrajnych przypadkach konieczne będzie usunięcie lub anonimizacja wcześniej zebranych danych i ponowna rejestracja udzielonych zgód. Użytkownicy mogą dochodzić roszczeń odszkodowawczych na podstawie przepisów o ochronie danych, w tym za krzywdy niemajątkowe.

Brak mechanizmu zarządzania zgodami i automatyczne ładowanie trackerów zwiększa też ryzyko utraty dostępu do danych analitycznych, co ogranicza skuteczność kampanii reklamowych (np. Google Ads czy remarketing) i podnosi koszty pozyskania klientów. Organy nadzorcze często wymagają dokumentowania działań naprawczych — przykładowo raportu z audytu, rejestru zgód czy dowodów technicznego wdrożenia CMP. Nieprzestrzeganie obowiązku informacyjnego i braki w zarządzaniu cookies sprzyjają kolejnym kontrolom i możliwym karom, dlatego warto szybko dostosować polityki i praktyki przetwarzania.