Na firmowej stronie potrzebujesz dwóch osobnych rzeczy naraz – polityki prywatności, która mówi, jakie dane zbierasz i po co, oraz zgody na pliki cookie inne niż niezbędne, pobranej zanim uruchomisz skrypty analityczne i reklamowe. Pierwsza wynika z RODO, druga z Prawa komunikacji elektronicznej. Jedna nie zastępuje drugiej i każda ma inny przepis u podstawy.
Wyobraź sobie, że ktoś wchodzi na Twoją stronę. Jeszcze nie kliknął niczego na banerze, a Google Analytics i piksel reklamowy już zapisały cookie w jego przeglądarce. Dokładnie w tym momencie rozstrzyga się, czy robisz to zgodnie z prawem, czy baner wisi tylko dla ozdoby, a skrypty i tak chodzą od pierwszej sekundy.
Z tego tekstu dowiesz się, czym różni się polityka prywatności od polityki cookies, co musi zawierać każdy z tych dokumentów, jakie warunki spełnia zgodny z prawem baner, kiedy wolno uruchomić skrypty i czym naprawdę jest tryb zgody Google. Osobną warstwę zgód na e-mail, SMS i telefon zostawiamy poza tym tekstem.
|
Polityka prywatności i polityka cookies to dwa różne obowiązki
Polityka prywatności i zgoda na cookies to dwie sprawy z dwóch różnych przepisów. Pierwsza odpowiada na pytanie, jakie dane osobowe zbierasz i co z nimi robisz. Druga odpowiada na pytanie, czy wolno Ci zapisać plik w przeglądarce odwiedzającego, zanim zrobi cokolwiek poza wejściem na stronę. Mylenie ich jest najczęstszym błędem na firmowych stronach, bo wzór „polityki prywatności i cookies” pobrany z internetu zwykle gada o jednym, a drugie zbywa jednym zdaniem.
Warstwę danych osobowych reguluje RODO, czyli rozporządzenie 2016/679. To stąd bierze się obowiązek posiadania polityki prywatności, bo art. 13 tego rozporządzenia (stan na 15 października 2026) każe podać osobie, od której zbierasz dane, zamkniętą listę informacji już przy ich pozyskiwaniu. Polityka prywatności jest po prostu miejscem, w którym te informacje spisujesz raz, zamiast powtarzać je przy każdym formularzu.
Warstwę plików cookie reguluje natomiast art. 399 Prawa komunikacji elektronicznej. Według tego przepisu (Dz.U. 2024 poz. 1221, stan na 15 października 2026) przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym użytkownika jest dozwolone dopiero po spełnieniu kilku warunków. Urządzenie końcowe to komputer albo telefon odwiedzającego, a plik cookie to właśnie informacja zapisywana w tym urządzeniu. Baner cookies istnieje po to, żeby te warunki spełnić.
Oba reżimy spina jeden przepis. Art. 400 Prawa komunikacji elektronicznej (stan na 15 października 2026) stanowi, że do uzyskania zgody użytkownika stosuje się odpowiednio przepisy o ochronie danych osobowych. W praktyce po warunki ważnej zgody na cookies sięgasz więc do RODO, choć sam zakaz zapisu bez zgody stoi w Prawie komunikacji elektronicznej.
| Dokument | Na co odpowiada | Podstawa prawna |
|---|---|---|
| Polityka prywatności | jakie dane osobowe zbierasz, po co, na jakiej podstawie, jak długo i jakie prawa ma osoba | art. 13 RODO (rozporządzenie 2016/679) |
| Baner i polityka cookies | czy wolno zapisać plik w przeglądarce i pod jakimi warunkami | art. 399 Prawa komunikacji elektronicznej (Dz.U. 2024 poz. 1221) |
| Zgoda na cookies | jak ma wyglądać ważna zgoda | art. 400 PKE w związku z przepisami o ochronie danych osobowych |
Który przepis reguluje cookies w Polsce?
Jeżeli Twoja polityka cookies powołuje się na art. 173 Prawa telekomunikacyjnego, stoi na przepisie, którego już nie ma. Prawo telekomunikacyjne z 2004 roku zostało uchylone 10 listopada 2024 roku, w dniu wejścia w życie Prawa komunikacji elektronicznej – tak podaje rejestr aktów Dziennika Ustaw, stan na 15 października 2026. Podstawą zgody na cookies jest od tej daty art. 399 nowej ustawy i to do niego odsyłaj w dokumentach na stronie.
Zmiana przepisu nie zmieniła samej zasady, bo nowy art. 399 powtarza mechanizm znany sprzed listopada 2024 roku. Znaczenie praktyczne ma co innego. Wzory polityk krążące po sieci powstawały w większości pod starą ustawą, więc przeklejony tekst często odsyła do nieobowiązującego już numeru, a to pierwszy sygnał, że nikt go nie aktualizował od lat.
Co musi zawierać polityka prywatności
Polityka prywatności musi podać zamknięty zestaw informacji z art. 13 RODO, a nie dowolny zbiór ogólników o „trosce o Twoje dane”. Rozporządzenie 2016/679 w art. 13 ust. 1 i 2 (stan na 15 października 2026) wymienia dokładnie, co administrator podaje osobie przy zbieraniu danych od niej samej. Jeśli któregoś z tych elementów brakuje, dokument jest niekompletny niezależnie od tego, jak ładnie brzmi.
Według art. 13 ust. 1 RODO podajesz swoją tożsamość i dane kontaktowe, dane kontaktowe inspektora ochrony danych, o ile go wyznaczyłeś, cele i podstawę prawną przetwarzania, a przy podstawie z prawnie uzasadnionego interesu – wskazanie tego interesu, odbiorców danych lub ich kategorie oraz informację o ewentualnym przekazaniu danych poza Unię. Ten sam przepis w ust. 2 dokłada okres przechowywania danych albo kryteria jego ustalania, listę praw osoby, prawo do cofnięcia zgody, prawo wniesienia skargi do organu nadzorczego oraz informację, czy podanie danych jest wymogiem i co grozi za ich niepodanie.
Dla małej firmy to zwykle krótsza lista, niż się wydaje, bo kilku pozycji po prostu nie dotyczysz. Jeśli nie wyznaczyłeś inspektora ochrony danych, piszesz, że go nie ma, zamiast udawać dużą organizację. Jeśli nie przekazujesz danych poza Unię, pomijasz ten punkt. Ważne jest, żeby polityka opisywała Twoją rzeczywistą sytuację, bo skopiowany wzór z inspektorem danych i transferami do USA opisuje kogoś innego.
| Grupa | Elementy |
|---|---|
| art. 13 ust. 1 (zawsze) | tożsamość i kontakt administratora; kontakt do inspektora, o ile jest; cele i podstawa prawna; prawnie uzasadniony interes, gdy to on jest podstawą; odbiorcy danych; ewentualne przekazanie poza Unię |
| art. 13 ust. 2 (dla rzetelności) | okres przechowywania; prawa osoby (dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie); prawo cofnięcia zgody; prawo skargi do organu nadzorczego; czy podanie danych jest wymogiem |
Jeżeli dane zbierasz przez formularz na stronie firmowej, polityka prywatności jest naturalnym miejscem, do którego link stawiasz obok tego formularza. Tak samo odsyłasz do niej z banera cookies, bo część informacji o celach przetwarzania jest wspólna.
Baner cookies – jakie warunki musi spełnić
Baner cookies jest zgodny z prawem, gdy spełnia trzy warunki z art. 399 ust. 1 Prawa komunikacji elektronicznej, a nie wtedy, gdy po prostu jest. Przepis ten (Dz.U. 2024 poz. 1221, stan na 15 października 2026) dopuszcza przechowywanie informacji w urządzeniu końcowym pod warunkiem, że użytkownik zostanie uprzednio poinformowany w sposób jednoznaczny, łatwy i zrozumiały o celu przechowywania i dostępu oraz o możliwości określenia warunków przez ustawienia oprogramowania, że po tej informacji wyrazi zgodę i że sam zapis nie powoduje zmian konfiguracyjnych w jego urządzeniu.
Z tych trzech warunków najwięcej mówi słowo „uprzednio”. Informacja i zgoda mają poprzedzać zapis cookie, a nie następować po nim. Baner, który pojawia się na ekranie, podczas gdy skrypty już działają, łamie kolejność, której wymaga przepis. Druga rzecz to treść samej informacji – musi powiedzieć, w jakim celu zapisujesz pliki i że użytkownik może sterować tym przez ustawienia przeglądarki, a nie zbywać tematu zdaniem „ta strona używa cookies”.
Art. 399 ust. 2 tej samej ustawy dodaje, skąd zgoda może pochodzić. Według tego przepisu użytkownik może wyrazić zgodę za pomocą ustawień oprogramowania zainstalowanego w jego urządzeniu lub konfiguracji usługi. W praktyce znaczy to, że dopuszczalny jest mechanizm, w którym wybór zapada w ustawieniach, ale nie zwalnia Cię to z obowiązku uprzedniej informacji i realnego wyboru po stronie użytkownika.
Jak wygląda zgoda, która nie spełnia warunków?
Trzy wzorce banerów powtarzają się najczęściej i każdy z nich rozbija się o definicję zgody. Art. 400 Prawa komunikacji elektronicznej odsyła po tę definicję do przepisów o ochronie danych osobowych, a art. 4 pkt 11 RODO (stan na 15 października 2026) określa zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia lub wyraźnego działania potwierdzającego.
Pierwszy wzorzec to pole zaznaczone z góry albo suwak ustawiony domyślnie na „tak”. Skoro zgoda wymaga wyraźnego działania potwierdzającego, brak reakcji nie jest zgodą, bo użytkownik niczego nie zrobił. Drugi wzorzec to komunikat „korzystając z witryny, zgadzasz się na cookies”. Dalsze przeglądanie strony też nie jest wyraźnym działaniem nakierowanym na wyrażenie zgody, więc taka formuła nie spełnia definicji. Trzeci wzorzec to baner z jednym przyciskiem „Akceptuję” i bez równorzędnej możliwości odmowy. Zgoda ma być dobrowolna, a wybór, w którym jedyne wyjście to „tak”, trudno nazwać dobrowolnym.
Do tego dochodzi warunek łatwego wycofania. Art. 7 ust. 3 RODO przewiduje, że wycofanie zgody musi być równie łatwe jak jej wyrażenie, a użytkownik dowiaduje się o tym prawie, zanim zgodę wyrazi. Dla banera oznacza to dostępny w każdej chwili sposób zmiany decyzji, na przykład odnośnik do ustawień cookies w stopce, a nie zgodę, którą da się kliknąć w sekundę, lecz odwołać dopiero mailem do administratora.
Zgoda przed skryptami analitycznymi i reklamowymi
Skrypty, które zapisują pliki cookie inne niż niezbędne, wolno uruchomić dopiero po zgodzie użytkownika. Dotyczy to Google Analytics, piksela Meta i tagów Google Ads, bo wszystkie one zapisują informacje w urządzeniu końcowym w celu pomiaru lub reklamy, a nie po to, żeby strona w ogóle zadziałała. Art. 399 ust. 1 pkt 2 Prawa komunikacji elektronicznej (stan na 15 października 2026) wymaga zgody wyrażonej „po otrzymaniu informacji”, czyli zgody uprzedniej wobec zapisu. Jeśli tag analityczny odpala się przy wczytaniu strony, cookie powstaje przed zgodą i warunek jest złamany.
To jedna z niewielu reguł w tym temacie, która nie zostawia marginesu. Kolejność jest sztywna. Najpierw baner z informacją i wyborem, potem zgoda, a dopiero po zgodzie uruchomienie skryptów, które zapisują cookies pomiarowe i reklamowe. Typowy błąd wdrożenia polega na tym, że kod Analytics albo piksela wkleja się do nagłówka strony i chodzi niezależnie od tego, co użytkownik kliknie na banerze. Sam baner niczego wtedy nie blokuje, a jego obecność tworzy fałszywe wrażenie zgodności.
Krok po kroku samą analitykę, czyli jak podłączyć i ustawić pomiar, opisuje osobny wpis o tym, jak wdrożyć Google Analytics 4 w małej firmie. Mechanikę cookies reklamowych, które wracają do użytkownika z ofertą po wizycie na stronie, rozwija z kolei tekst o remarketingu w Google Ads. Tutaj rozstrzygamy tylko jedno – że żaden z tych skryptów nie startuje przed zgodą.
Które pliki cookie nie wymagają zgody?
Nie każdy plik cookie wymaga zgody, bo art. 399 ust. 3 Prawa komunikacji elektronicznej (stan na 15 października 2026) wyłącza warunki z ustępu pierwszego w dwóch przypadkach. Warunków nie stosuje się, jeżeli przechowywanie lub dostęp jest konieczne do wykonania transmisji komunikatu za pośrednictwem publicznej sieci telekomunikacyjnej albo do dostarczenia usługi żądanej przez użytkownika. To jest ustawowa definicja tak zwanych cookies niezbędnych.
W praktyce małej firmy mieszczą się tu pliki, bez których strona nie wykona tego, o co użytkownik sam poprosił. Cookie podtrzymujące sesję zalogowanego klienta, zawartość koszyka w sklepie albo pamięć wyboru języka służą dostarczeniu żądanej usługi. Dla nich banera z wyborem nie potrzebujesz, choć nadal warto wymienić je w polityce cookies, żeby obraz był pełny.
Granica biegnie przy celu, nie przy nazwie pliku. W chwili, gdy cookie służy liczeniu odwiedzin, profilowaniu albo reklamie, przestaje być konieczne do dostarczenia usługi i wraca pod warunek zgody z art. 399 ust. 1. Dlatego Google Analytics, mimo że dla Ciebie jest „tylko statystyką”, po stronie prawa jest skryptem wymagającym zgody, a nie cookie niezbędnym.
Tryb zgody Google – co nim ustawisz, a czego nie
Tryb zgody Google, po angielsku Consent Mode, to mechanizm, który przekazuje tagom Google informację o tym, czy użytkownik wyraził zgodę, a tagi dostosowują do tego swoje działanie. Dokumentacja Google dla deweloperów (stan na 15 października 2026) opisuje go jako rozwiązanie dla stron, które mają własny sposób zbierania zgody i chcą go zintegrować z tagami Google. Innymi słowy tryb zgody współpracuje z Twoim banerem, a nie zastępuje go.
Technicznie tryb zgody steruje czterema parametrami. Dokumentacja Google wymienia parametry ad_storage, ad_user_data, ad_personalization oraz analytics_storage, przy czym dwa dotyczące reklam Google dodało w listopadzie 2023 roku w ramach wersji drugiej trybu zgody. Każdy parametr ma dwa stany, „granted” i „denied”, a Google zaznacza, że domyślnie nie są ustawione żadne wartości. To do Ciebie należy ustawienie stanu domyślnego i jego aktualizacja po wyborze użytkownika.
Jest też rzecz, o której łatwo zapomnieć przy wdrożeniu. Dokumentacja Google stwierdza wprost, że tryb uzyskiwania zgody nie zapisuje wyborów użytkownika, więc stan zgody trzeba zaktualizować za każdym razem, gdy użytkownik wejdzie w interakcję z banerem. Samo włączenie trybu zgody niczego nie pamięta za Ciebie – zapis wyboru i jego odtworzenie przy kolejnej wizycie pozostają po stronie Twojego rozwiązania do zgód.
Czy tryb zgody Google zastępuje baner?
Nie. Tryb zgody przyjmuje informację o decyzji użytkownika i reaguje na nią po stronie tagów Google, ale decyzję tę ktoś musi najpierw zebrać, a to robi baner. Dokumentacja Google opisuje tryb zgody jako integrację z własnym rozwiązaniem do uzyskiwania zgody, co oznacza, że baner i tryb zgody są dwoma elementami jednego wdrożenia, nie alternatywą dla siebie.
Z tego wynika praktyczny wniosek dla małej firmy. Włączenie trybu zgody nie czyni strony zgodną z prawem samo w sobie i nie zdejmuje żadnego z warunków art. 399 Prawa komunikacji elektronicznej. Odpowiada za techniczne zachowanie tagów po wyborze, podczas gdy to, czy wybór był ważną zgodą, rozstrzyga nadal przepis, nie narzędzie.
Co grozi za cookies bez zgody
Za zapis cookies niezgodnie z art. 399 karę pieniężną nakłada Prezes Urzędu Komunikacji Elektronicznej. Prawo komunikacji elektronicznej wymienia w art. 444 ust. 1 pkt 82 (stan na 15 października 2026) przechowywanie informacji w urządzeniu końcowym, uzyskiwanie do niej dostępu albo instalowanie oprogramowania niezgodnie z art. 399. To jest podstawa odpowiedzialności za baner, który nie spełnia warunków, albo za skrypty uruchamiane bez zgody.
Wysokość kary czytaj z art. 446 tej samej ustawy, bo to on wiąże naruszenia z art. 444 z konkretnym pułapem. Według art. 446 ust. 1 (stan na 15 października 2026) karę za naruszenia z art. 444 ust. 1 i 2 Prezes UKE nakłada w wysokości do 3% przychodu ukaranego podmiotu osiągniętego w poprzednim roku kalendarzowym. Dla najmniejszych firm przepis dokłada niższy wariant – art. 446 ust. 3 pozwala nałożyć karę do 15 000 zł, gdy podmiot nie osiągnął przychodu albo jego przychód nie przekracza 500 000 zł.
Tu łatwo o pomyłkę, którą powtarzają poradniki. Milionowy próg, który czasem pojawia się przy cookies, pochodzi z art. 446 ust. 5, a ten przepis dotyczy niewypełnienia obowiązku zgody z art. 398, czyli marketingu bezpośredniego przez e-mail, telefon i SMS, a nie zapisu cookies. Za samą zgodę na kanał kontaktu odpowiada osobny tekst o zgodach marketingowych. Dla cookies wiążące są progi z art. 446 ust. 1 i ust. 3, a nie z ust. 5.
| Czego dotyczy | Podstawa | Pułap |
|---|---|---|
| cookies niezgodnie z art. 399 | art. 444 ust. 1 pkt 82 w zw. z art. 446 ust. 1 i 3 PKE | do 3% przychodu z poprzedniego roku; do 15 000 zł przy przychodzie do 500 000 zł lub jego braku |
| marketing bez zgody z art. 398 | art. 446 ust. 5 PKE | do 3% przychodu lub do 1 000 000 zł, zastosowanie ma kwota wyższa |
Niezależnie od kary z Prawa komunikacji elektronicznej zostaje warstwa danych osobowych. Jeśli przy okazji cookies przetwarzasz dane bez podstawy albo polityka prywatności nie spełnia obowiązku z art. 13 RODO, sprawą zajmuje się Prezes Urzędu Ochrony Danych Osobowych na podstawie RODO. To dwa różne urzędy i dwie różne ścieżki, które mogą zadziałać wobec tej samej strony.
Najczęstsze pytania o polityce cookies i prywatności
Czym różni się polityka prywatności od polityki cookies?
Polityka prywatności opisuje, jakie dane osobowe zbierasz, w jakim celu, na jakiej podstawie i jak długo, bo wymaga tego art. 13 RODO. Polityka cookies i baner dotyczą czegoś węższego – zapisu plików w przeglądarce odwiedzającego, który reguluje art. 399 Prawa komunikacji elektronicznej. To dwa dokumenty z dwóch różnych przepisów i jeden nie zastępuje drugiego.
Czy baner cookies jest obowiązkowy?
Baner jest potrzebny wtedy, gdy strona zapisuje pliki cookie inne niż niezbędne, bo art. 399 ust. 1 Prawa komunikacji elektronicznej wymaga uprzedniej informacji i zgody przed takim zapisem. Jeśli strona używa wyłącznie cookies koniecznych do dostarczenia żądanej usługi, które art. 399 ust. 3 wyłącza spod tego warunku, zgody nie potrzebujesz. W praktyce Google Analytics albo piksel reklamowy przeważają szalę na rzecz banera.
Czy mogę uruchomić Google Analytics bez zgody na cookies?
Nie, jeśli Analytics zapisuje cookie w przeglądarce. Art. 399 ust. 1 pkt 2 Prawa komunikacji elektronicznej wymaga zgody wyrażonej po otrzymaniu informacji, czyli zgody uprzedniej wobec zapisu. Skrypt pomiarowy uruchamiasz dopiero po tym, jak użytkownik wyrazi zgodę na banerze, a nie przy wczytaniu strony. Konfigurację samego pomiaru opisuje osobny wpis o Google Analytics 4.
Czy pole zgody zaznaczone z góry jest ważne?
Nie. Art. 4 pkt 11 RODO, do którego przez art. 400 Prawa komunikacji elektronicznej odsyła zgoda na cookies, wymaga wyraźnego działania potwierdzającego. Pole zaznaczone domyślnie oznacza brak działania użytkownika, więc nie jest zgodą. Z tego samego powodu zgodą nie jest formuła „korzystając z witryny, akceptujesz cookies”.
Czy tryb zgody Google wystarczy, żeby być w porządku z prawem?
Nie. Dokumentacja Google opisuje tryb zgody jako integrację z własnym rozwiązaniem do uzyskiwania zgody, a nie jako baner. Tryb zgody dostosowuje zachowanie tagów Google po wyborze użytkownika, ale sam wyboru nie zbiera i nie zdejmuje warunków z art. 399 Prawa komunikacji elektronicznej. Baner i poprawną zgodę musisz zapewnić niezależnie.
Jaka kara grozi za cookies bez zgody?
Karę nakłada Prezes UKE na podstawie art. 444 ust. 1 pkt 82 Prawa komunikacji elektronicznej, a jej wysokość wynika z art. 446 ust. 1, czyli do 3% przychodu z poprzedniego roku. Dla firm o przychodzie do 500 000 zł lub bez przychodu art. 446 ust. 3 przewiduje karę do 15 000 zł. Milionowy próg z art. 446 ust. 5 dotyczy marketingu z art. 398, a nie cookies.
