Pliki cookies – co to jest i kiedy wymagają zgody?

Czym są pliki cookies

Co dokładnie mówi polski przepis

Podstawą jest art. 399 Prawa komunikacji elektronicznej. Przechowywanie informacji w urządzeniu użytkownika albo sięganie po informację już tam zapisaną jest dozwolone pod warunkiem, że użytkownik „zostanie uprzednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały” o celu tego działania i o możliwości określenia warunków przez ustawienia oprogramowania oraz że „po otrzymaniu informacji, o których mowa w pkt 1, wyrazi na to zgodę”.1

Kolejność zapisana w tym przepisie jest wiążąca i to ona przesądza o najczęstszym błędzie wdrożeniowym: najpierw informacja, potem zgoda, dopiero potem zapis. Baner wyświetlany równocześnie z uruchomieniem skryptów śledzących tej kolejności nie zachowuje, niezależnie od tego, jak starannie jest napisany.

Które cookies naprawdę są niezbędne

Ustawa przewiduje dwa wyjątki i formułuje je wąsko. Warunków zgody nie stosuje się, gdy zapis lub dostęp jest konieczny do „wykonania transmisji komunikatu elektronicznego za pośrednictwem publicznej sieci telekomunikacyjnej” albo do „dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, żądanej przez abonenta lub użytkownika końcowego”.1

Kluczowe jest słowo „żądanej”. Koszyk w sklepie i sesja logowania to usługi, o które użytkownik poprosił. Statystyki odwiedzin, mapy ciepła i piksele reklamowe już nie, bo nikt nie wchodzi na stronę po to, żeby zostać zmierzonym. Test „czy to jest niezbędne dla mojej firmy” daje więc inną odpowiedź niż test ustawowy, a obowiązuje ten drugi.

Tryb zgody nie zastępuje zgody

Nowoczesne wdrożenia korzystają z mechanizmów, które przekazują do systemów reklamowych informację o statusie zgody i ograniczają zakres wysyłanych danych, dopóki zgody nie ma. To pożyteczne, ale rozwiązuje inny problem niż ten, który opisuje przepis.

Regulowaną czynnością jest bowiem przechowywanie informacji w urządzeniu, a nie wysłanie jej gdziekolwiek. Jeśli skrypt zapisze plik cookie zaraz po wejściu, ograniczenie zakresu przesyłanych danych tego nie cofa: informacja już została zapisana w urządzeniu, zanim padła zgoda. Poprawne wdrożenie musi więc wstrzymać samo uruchomienie skryptu, nie tylko wyciszyć to, co skrypt raportuje.

Jak sprawdzić własną stronę w trzy minuty

Ta rzecz nie wymaga audytu ani narzędzi. Otwórz swoją stronę w nowym oknie prywatnym, nie klikaj niczego w banerze, odczekaj kilka sekund i zajrzyj do listy plików cookies w narzędziach deweloperskich przeglądarki, w zakładce z magazynem danych.

Czego szukać: nazw zaczynających się od _ga (analityka Google), _gcl_au (kampanie Google), _fbp (piksel Facebooka), _clck i _clsk (mapy ciepła Microsoft Clarity), _uetsid (reklamy Microsoft). Jeżeli którakolwiek pojawia się przed kliknięciem zgody, baner spełnia funkcję informacyjną wobec czegoś, co już się wydarzyło.

W tej samej zakładce warto sprawdzić drugą rzecz: czy w kodzie strony ładują się skrypty z obcych domen, zanim baner dostanie odpowiedź. Lista adresów zewnętrznych bywa dłuższa, niż pamięta ktokolwiek w firmie: wtyczki dokładają je latami, a każda przychodzi z własnym zestawem plików.

Od zgody zależy działanie reklam

Pliki cookies są podstawą działania Google Analytics i śledzenia kampanii, a od przekazania statusu zgód do systemów reklamowych zależy retargeting. Same skrypty wpina się zwykle przez Google Tag Manager, co jest jednocześnie najwygodniejszym miejscem na wstrzymanie ich do momentu wyrażenia zgody.

Najczęstsze pytania

Czy każde cookie wymaga zgody?
Nie. Ustawa zwalnia te konieczne do wykonania transmisji oraz do dostarczenia usługi żądanej przez użytkownika, na przykład koszyka albo sesji logowania.

Czy analityka mieści się w wyjątku?
Nie. Nikt nie wchodzi na stronę po to, żeby zostać zmierzonym, więc statystyki nie są usługą żądaną przez użytkownika i wymagają zgody.

Czy tryb zgody w narzędziach reklamowych wystarczy?
Nie zastępuje zgody. Przepis reguluje zapis informacji w urządzeniu, więc ograniczenie zakresu wysyłanych danych nie cofa cookie, które już powstało.

Jak sprawdzić, czy moja strona robi to poprawnie?
Wejść w oknie prywatnym, nic nie klikać, odczekać kilka sekund i sprawdzić listę plików cookies w narzędziach deweloperskich. Wszystko, co pojawiło się przed kliknięciem, powstało bez zgody.

Źródła

1. Ustawa z dnia 12 lipca 2024 r. — Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), art. 399 ust. 1: „Przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym abonenta lub użytkownika końcowego jest dozwolone, pod warunkiem że: 1) abonent lub użytkownik końcowy zostanie uprzednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały, o: a) celu przechowywania i uzyskiwania dostępu do tej informacji, b) możliwości określenia przez niego warunków przechowywania lub uzyskiwania dostępu do tej informacji za pomocą ustawień oprogramowania (…); 2) abonent lub użytkownik końcowy, po otrzymaniu informacji, o których mowa w pkt 1, wyrazi na to zgodę”; ust. 3: „Warunków, o których mowa w ust. 1, nie stosuje się, jeżeli przechowywanie lub uzyskanie dostępu do informacji (…) jest konieczne do: 1) wykonania transmisji komunikatu elektronicznego za pośrednictwem publicznej sieci telekomunikacyjnej lub 2) dostarczania usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, żądanej przez abonenta lub użytkownika końcowego”. Zobacz tekst ustawy → (odczyt 2026-08-20).