Pliki cookie i zgody: przepisy, banery i śledzenie

Czym są pliki cookie i jak działają

Plik cookie to krótki tekst, który strona zapisuje w Twojej przeglądarce, żeby ją rozpoznać przy następnym wejściu. Dzięki temu sklep pamięta koszyk, a serwis logowanie. Kłopot zaczyna się przy cookie strony trzeciej: ustawia je inna domena osadzona na stronie, jako reklama, widżet albo tag analityczny, więc ten sam identyfikator wraca do niej z wielu witryn. Na tym opierało się klasyczne śledzenie w sieci.

Cookie to dziś tylko jedna z technik. Piksel śledzący to niewidoczny obrazek, zwykle w stronie albo w e-mailu, a samo jego pobranie mówi serwerowi, kto i co ogląda. Świeży przykład z września: OpenAI zbiera dane o aktywności na stronach reklamodawców i przypisuje je do kont ChatGPT przez cookie __obi, ważne rok. Kod instalowany przez reklamodawców wysyła identyfikator razem z informacją o przeglądanej stronie i wyszukiwanych produktach. Badacze naliczyli 936 pikseli na 1029 hostname’ach, a jedno cookie trafiło do OpenAI z 12 witryn, m.in. Chewy, Wayfair i HelloFresh. OpenAI uznało __obi za cookie analityczne i nie odpowiedziało na pytania o mechanizm.

Dla mnie to naciągane: identyfikator powiązany z kontem, który zbiera, co robisz u innych, trudno nazwać analityką.

Czy strona musi pytać o zgodę na cookie

Tak, chyba że cookie jest niezbędne do usługi, o którą prosi użytkownik. Zasadę ustanawia art. 5 ust. 3 dyrektywy 2002/58/WE (ePrivacy), w brzmieniu z 2009 roku: zapis informacji na urządzeniu użytkownika albo dostęp do tego, co już tam jest, wymaga jego zgody po jasnej i wyczerpującej informacji. Wyjątki: przesłanie komunikatu i usługa, której użytkownik wyraźnie zażądał (tekst dyrektywy w EUR-Lex, stan na 16 października 2026).

Przepis nie dotyczy tylko cookie. Wytyczne 2/2023 Europejskiej Rady Ochrony Danych (EDPB), wersja 2.0 z 7 października 2024, stosują art. 5 ust. 3 do pikseli i linków śledzących, samego adresu IP, raportowania z urządzeń IoT i unikalnych identyfikatorów.

Prawo działa tu na dwóch piętrach. Zapis i odczyt na urządzeniu regulują krajowe przepisy wdrażające ePrivacy, a to, co dzieje się z danymi później, RODO. Według raportu grupy roboczej EDPB z 17 stycznia 2023 bez ważnej zgody na zapis późniejsze przetwarzanie nie może być zgodne z RODO. Uzasadniony interes nie jest podstawą zapisu cookie. Zgoda ma standard z RODO: dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona wyraźnym działaniem (art. 4 pkt 11), a wycofać ją trzeba móc tak samo łatwo, jak się ją daje (art. 7 ust. 3). Kary sięgają 20 mln euro lub 4 procent rocznego obrotu (art. 83 ust. 5, tekst RODO w EUR-Lex). Szerzej o tym w tematach RODO i kary RODO.

Co mówi polskie prawo o plikach cookie

W Polsce cookie reguluje art. 399 ustawy z 12 lipca 2024 r. - Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221, w mocy od 10 listopada 2024). Zapis lub dostęp do informacji w urządzeniu jest dozwolony, jeśli użytkownik został wcześniej jasno poinformowany o celu i o możliwości ustawienia warunków w oprogramowaniu, wyraził zgodę, a zapis nie zmienia konfiguracji urządzenia (ust. 1). Zgodę można wyrazić ustawieniami oprogramowania lub usługi (ust. 2). Bez zgody wolno, gdy zapis jest konieczny do przesłania komunikatu albo do usługi żądanej przez użytkownika (ust. 3).

Art. 400 odsyła do przepisów o ochronie danych osobowych, więc w praktyce liczy się standard z RODO. Za pominięcie zgody z art. 399 karę nakłada Prezes UKE, do 3 procent przychodu z poprzedniego roku (art. 444 ust. 2 pkt 8 i art. 446 ust. 1). Przetwarzanie danych zebranych przez cookie nadzoruje Prezes UODO, na podstawie RODO. Za zapis i odczyt odpowiada więc UKE, za dalsze przetwarzanie UODO. Dwa urzędy, jedno cookie.

Jak powinien wyglądać baner cookie

Baner ma pozwalać odmówić równie łatwo jak zaakceptować. Tu regulatorzy się zgadzają, choć żaden nie narzuca wzoru. Raport grupy roboczej EDPB to minimalny próg uzgodniony przez organy, nie zielone światło dla konkretnego baneru. Za niezgodne z prawem uznaje:

• Brak przycisku odrzucenia na warstwie z przyciskiem zgody. Zdecydowana większość organów uznała to za naruszenie, nieliczne zwróciły uwagę, że art. 5 ust. 3 odrzucenia nie wymienia.
• Domyślnie zaznaczone pola. Motyw 32 RODO: milczenie, zaznaczone pola i bierność nie są zgodą.
• Odmowę schowaną w linku w tekście albo z napisem nieczytelnym dla praktycznie każdego. Baner nie może też sugerować, że bez zgody nie wejdziesz na stronę.
• Uzasadniony interes jako podstawę cookie. Pokazany w głębszych warstwach banera dodatkowo myli: użytkownik myśli, że musi odmówić dwa razy.

Wycofanie zgody ma być łatwo dostępne, na przykład przez stałą ikonę lub link.

Praktyka w Polsce odstaje od tych zasad. We wrześniu 2026 zmierzyłem 50 dużych serwisów: na sześciu polskich serwisach informacyjnych „nie wyrażam zgody” zostawia nietkniętą listę firm na uzasadnionym interesie, na Onecie 810. Do ustawień zgody na tvn24.pl trzeba przewinąć około 31 ekranów. Liczby i metoda są w raporcie o tym, co naprawdę wyłącza „nie wyrażam zgody”.

Francuski CNIL w zaleceniu z 17 września 2020 chce „zaakceptuj wszystko” i „odrzuć wszystko” na tym samym poziomie i w tym samym formacie. Dobrą praktyką jest zapamiętanie wyboru, zgody lub odmowy, na 6 miesięcy. Brytyjski ICO przebadał 1000 najpopularniejszych stron w kraju i według komunikatu z 4 grudnia 2025 979 spełniło jego kryteria: brak reklamowych cookie przed wyborem, odmowa równie łatwa jak akceptacja i brak cookie po odmowie.

Czy to działa? Niemiecki komisarz ds. ochrony danych (BfDI) opublikował w sierpniu ankietę: trzy czwarte uczestników częściej odrzucałoby cookie, gdyby było to równie łatwe jak akceptacja. Dla mnie to sygnał, że odmowa wciąż bywa trudniejsza niż zgoda. Komisarz Louisa Specht-Riemenschneider proponuje menedżery cookie, w których preferencje ustawia się raz. Komisja chciała ustawień w przeglądarce, ale państwa członkowskie wycofały ten pomysł w czerwcu po lobbingu branży reklamowej i medialnej. Komentatorzy Tech Policy Press piszą, że egzekwowanie jest niespójne, a banery stały się narzędziem manipulacji, nie wyboru. Trudno się nie zgodzić.

Czy śledzenie bez cookie też wymaga zgody

Co do zasady tak. Rezygnacja z cookie nie wyłącza art. 5 ust. 3, jeśli strona coś zapisuje na urządzeniu albo coś z niego odczytuje. Widać to na trzech technikach:

• Fingerprinting. Strona odpytuje o system operacyjny, sterowniki GPU, rozdzielczość, strefę czasową, czcionki i sprzęt, a z tego składa się odcisk przeglądarki. Safari (od iOS 17 i macOS Sonoma), Firefox i Brave mają ochronę, a Chrome po zamknięciu Privacy Sandbox w kwietniu 2025 nie ma żadnej (więcej w temacie prywatność przeglądarek).
• Piksele. TikTok zbiera dane z witryn z jego pikselem nawet od osób bez aplikacji, według BBC także o diagnozach raka, płodności i kryzysach psychicznych. TikTok twierdzi, że informuje użytkowników, a reklamodawcom zabrania przesyłania danych wrażliwych.
• Adres IP. Od 4 sierpnia Google pozwala stronom trzecim używać adresów IP do personalizacji reklam w Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii, a obowiązek zgody przerzuca na reklamodawców. Brytyjski ICO nazwał ten krok nieodpowiedzialnym, a w maju 2026 zasugerował, że zgoda powinna zostać obowiązkowa dla śledzenia między serwisami. Według wytycznych EDPB art. 5 ust. 3 obejmuje samo IP, jeśli pochodzi z urządzenia użytkownika. Tu zgadzam się z ICO: skoro zgodę ma zebrać reklamodawca, nie sprawdzisz, czy to zrobił.

Reklama kontekstowa omija problem tylko wtedy, gdy niczego nie czyta z urządzenia. Dobiera ogłoszenie do treści strony, a nie do danych o osobie, więc nie potrzebuje cookie ani zgody na profilowanie. Ma jednak cenę: badanie Implement Consulting Group dla Google wskazało 66-procentową utratę efektywności po przejściu na reklamy kontekstowe. Granica bywa cienka. Sąd w Kolonii uznał 17 września 2026, że reklamy dobierane z podpowiedzi czatu My AI Snap nie są wyłącznie kontekstowe, bo tekst podpowiedzi podlega art. 9 RODO.

Egzekwowanie i pozwy: co dzieje się z cookie w 2026 roku

Egzekwowanie rośnie głównie przy pikselach i przy odmowie, która nie działa:

• Songkick. Zoe Barker i Charissa Baron z Illinois złożyły pozew zbiorowy przeciw Songkick, zarzucając śledzenie mimo odrzucenia cookie. Baner prosił o zgodę dla 953 partnerów, a „odrzuć wszystko” nie zatrzymywało śledzenia. Pozew powołuje się na ustawy o podsłuchu, stanową i federalną.
• Piksele w e-mailach. Organy we Francji i Kanadzie wymagają wyraźnej zgody przed pikselami śledzącymi otwarcia i przepisywaniem linków. Zalecenie CNIL w sprawie pikseli w e-mailach dopuszcza wyjątek dla pomiaru dostarczalności, o ile administrator wykaże, że jest konieczny. Amazon SES domyślnie nie wstrzykuje pikseli, śledzenie włącza się dopiero po dodaniu zdarzeń OPEN lub CLICK.
• Zdrowie. Doctoralia, największa platforma rezerwacji wizyt lekarskich, usunęła trackery po śledztwie The Markup. Trafiały tam do LinkedIn, TikToka i Google specjalizacje, terminy wizyt i nazwiska lekarzy.
• Zgoda w aukcjach reklamowych. Norweski Datatilsynet nałożył na Xandr, firmę reklamową Microsoftu, rekordową w swojej historii karę. Xandr był współadministratorem i powinien zdobyć wyraźną zgodę użytkowników Grindra, a założył, że ma ją Grindr.
• Poza Europą. Australijski projekt ustawy o prywatności uznaje przesyłanie cookie i pikseli w reklamie programatycznej za handel danymi, który wymaga wyraźnej zgody.

Zgoda staje się też modelem biznesowym: OpenAI buduje europejską reklamę w ChatGPT na zgodzie, a kto odmówi, zobaczy reklamy kontekstowe. Rynek, który zasilają te dane, opisuje temat brokerzy danych.

Co zmieni Digital Omnibus i czy banery znikną

Nie w najbliższym czasie. Digital Omnibus przenosi zasady dotyczące danych na urządzeniach z ePrivacy do RODO. Według Komisji Europejskiej (strona z 20 listopada 2025, sprawdzona 16 października 2026) propozycja z 19 listopada 2025 roku przewiduje przycisk odmowy jednym kliknięciem, respektowanie wyboru przez co najmniej sześć miesięcy i preferencje ustawiane centralnie, na przykład w przeglądarce. Statystyki i zagregowany pomiar odbiorców trafiłyby na listę wyjątków bez zgody (art. 88a ust. 3 lit. c: pomiar wyłącznie na własny użytek administratora, szczegóły w art. 88a i 88b projektu COM(2025) 837).

Nic z tego nie obowiązuje. Sprawa pozostaje sporna w Radzie i Parlamencie, a tekst może się jeszcze zmienić. Bieżący etap śledzi temat RODO a AI i Digital Omnibus. To druga próba po rozporządzeniu ePrivacy: Komisja zaproponowała je w 2017 roku i wycofała w 2025. W Polsce art. 399 ust. 2 już dziś pozwala wyrazić zgodę ustawieniami oprogramowania, ale to wybór użytkownika, a nie obowiązek strony, by takie sygnały respektować.

Moja ocena: banery zostaną z nami jeszcze długo, a to, co się zmieni, zależy od lobbingu, nie od techniki.

Co to oznacza dla Ciebie

• Prowadzisz stronę: daj przycisk odrzucenia na pierwszej warstwie, w tym samym formacie co akceptację, usuń zaznaczone pola, nie wpisuj analityki ani reklamy do „niezbędnych” i nie ustawiaj cookie reklamowych ani analitycznych przed wyborem. Potem otwórz narzędzia przeglądarki i sprawdź, czy po odmowie żadne nie wskakuje. Dokładnie to zarzuca pozew Songkick.
• Pamiętaj o pikselach w newsletterach, tagach reklamowych i SDK. Te same zasady, a CNIL chce zgody przed pikselami otwarć.
• Jesteś użytkownikiem: klikaj „odrzuć wszystko”, wybierz przeglądarkę z ochroną przed śledzeniem i fingerprintingiem (prywatność przeglądarek) i sprawdź swój odcisk w Cover Your Tracks EFF. Szerszy obraz daje temat śledzenie w sieci.

Nie wiadomo jeszcze, czy Digital Omnibus przejdzie w tej formie, jak polskie organy zastosują art. 399 w sporach o odrzucone cookie i czy amerykańskie sądy uznają trackery za urządzenia podsłuchowe.