Od 10 listopada 2024 r. zasady cookies w Polsce wyznacza Prawo komunikacji elektronicznej, nie RODO. Wiele stron firmowych ma wciąż baner z 2018 r. — informujący, ale niepytający o zgodę — albo odwrotnie: baner zgody tam, gdzie nie jest potrzebny. Wyjaśniamy, co naprawdę wynika z przepisu i jak powinien wyglądać dokument oraz baner na zwykłej stronie firmowej.
Skąd wynika obowiązek
Od 10 listopada 2024 r. zasady cookies określa art. 399 Prawa komunikacji elektronicznej (Dz.U. 2024 poz. 1221), które zastąpiło art. 173 Prawa telekomunikacyjnego. Zapis lub odczyt informacji w urządzeniu użytkownika jest dozwolony, jeżeli użytkownik został wcześniej poinformowany o celu w sposób jednoznaczny, łatwy i zrozumiały — i po tej informacji wyraził zgodę. Do samej zgody stosuje się przepisy RODO (art. 400 PKE), więc musi być dobrowolna, konkretna, świadoma i jednoznaczna. RODO wchodzi do gry dopiero wtedy, gdy cookies generują dane osobowe — np. identyfikator użytkownika w narzędziu analitycznym.
Kiedy zgoda NIE jest potrzebna
Cookies konieczne do dostarczenia usługi, o którą użytkownik sam poprosił (sesja, koszyk, zapamiętanie wyboru w banerze), nie wymagają zgody — wymagają tylko informacji (art. 399 ust. 3 PKE). Strona wizytówkowa bez analityki i pikseli nie potrzebuje banera zgody. Potrzebuje za to polityki cookies, która mówi, jakie pliki zapisuje i po co.
Jak ma działać baner
Skrypty analityczne i marketingowe zablokowane do czasu zgody; osobna zgoda per cel; „Odrzuć wszystkie” na pierwszym ekranie, równorzędne z „Akceptuj wszystkie”; żadnych domyślnie zaznaczonych pól (wyrok TSUE C-673/17); stały link do zmiany zdania. Zapis „korzystając ze strony, akceptujesz cookies” i „możesz je wyłączyć w przeglądarce” nie są zgodą.
Co ma zawierać polityka cookies
Podstawę prawną (art. 399 PKE), listę faktycznie używanych cookies z podziałem na niezbędne, analityczne i marketingowe, cel i okres przechowywania każdego z nich, dostawców (np. Google, Meta), sposób zmiany lub wycofania zgody oraz odesłanie do polityki prywatności — bo to tam opisujesz przetwarzanie danych osobowych, które cookies wytwarzają. Polityka cookies opisuje technikę, polityka prywatności — dane. Kopiowanie cudzej polityki się nie sprawdza: lista cookies musi odpowiadać temu, co Twoja strona naprawdę zapisuje.
Kto karze
Za technikę zapisu — Prezes UKE (art. 444 i 446 PKE, do 3% przychodu); za dane osobowe, które cookies generują — Prezes UODO (art. 83 RODO).
Jak długo ważna jest zgoda
Żaden polski przepis tego nie określa; przyjęta praktyka to ponowienie po 12 miesiącach.
Skąd wziąć gotowy dokument
Polityka cookies napisana pod art. 399 PKE jest w każdym naszym pakiecie branżowym — od JDG po przychodnię — razem z polityką prywatności, do której się odwołuje. Prowadzisz sklep? Zasady dla e-commerce (blokada tagów reklamowych, Consent Mode, zgody w checkoucie) opisaliśmy osobno: polityka cookies i zgody w sklepie internetowym po PKE. Nie wiesz, co Twoja strona zapisuje? Zamów audyt RODO strony internetowej.
Najczęstsze pytania (FAQ)
Czy każda strona internetowa musi mieć baner cookies?
Nie. Baner zgody jest potrzebny tylko wtedy, gdy strona zapisuje cookies inne niż niezbędne (analityka, reklama, wtyczki społecznościowe). Strona bez nich potrzebuje wyłącznie informacji w polityce cookies (art. 399 ust. 3 PKE).
Czy wystarczy pasek „ta strona używa cookies”?
Tylko wtedy, gdy używasz wyłącznie cookies niezbędnych. Dla pozostałych potrzebna jest aktywna, uprzednia zgoda z równorzędną możliwością odmowy.
Czy polityka cookies i polityka prywatności to ten sam dokument?
Nie. Polityka cookies opisuje, co strona zapisuje w urządzeniu użytkownika i po co (art. 399 PKE); polityka prywatności — jak przetwarzasz dane osobowe (art. 13 RODO). Mogą być na jednej podstronie, ale muszą być oba.