Baner cookies na stronie biura rachunkowego - kiedy jest obowiązkowy, a kiedy zbędny?

Baner cookies nie jest obowiązkiem samym w sobie. Prawo wymaga zgody użytkownika, zanim strona zapisze coś w jego urządzeniu albo odczyta stamtąd informacje - chyba że jest to konieczne do działania usługi, o którą użytkownik prosi. Baner to tylko najczęstszy sposób zbierania tej zgody.

Dla biura rachunkowego oznacza to prostą regułę: o potrzebie banera decyduje to, co faktycznie działa na stronie, a nie sam fakt jej posiadania. Wizytówka bez analityki, pikseli reklamowych i osadzonych treści zewnętrznych może obejść się bez banera. Strona z Google Analytics albo pikselem Meta - co do zasady nie. Filmy i mapy innych firm wymagają sprawdzenia, co robią w przeglądarce użytkownika.

Co mówią przepisy?

Od 10 listopada 2024 r. zasady dotyczące cookies zawiera art. 399 Prawa komunikacji elektronicznej (PKE). Zastąpił on art. 173 Prawa telekomunikacyjnego, który tego dnia przestał obowiązywać razem z większością tej ustawy. Przepis wdraża art. 5 ust. 3 unijnej dyrektywy o prywatności i łączności elektronicznej.

Przechowywanie informacji w urządzeniu użytkownika albo uzyskiwanie dostępu do informacji już tam zapisanej jest dozwolone, jeżeli użytkownik:

• został wcześniej poinformowany - jednoznacznie, łatwo i zrozumiale - o celu zapisu i odczytu oraz o tym, jak może nimi sterować w ustawieniach przeglądarki lub usługi,
• wyraził zgodę po otrzymaniu tej informacji.

Zapis ani odczyt nie może przy tym zmieniać konfiguracji urządzenia ani zainstalowanego na nim oprogramowania.

Do zgody stosuje się przepisy o ochronie danych osobowych, a więc standard RODO: zgoda ma być dobrowolna, konkretna, świadoma, jednoznaczna i wyrażona aktywnym działaniem, zanim nastąpi zapis lub odczyt wymagający zgody.

Warunków tych nie stosuje się, gdy zapis lub odczyt jest konieczny do przesłania komunikatu w sieci albo do dostarczenia usługi, której użytkownik zażądał. Wyjątek może obejmować cookies konieczne do logowania, koszyka lub ochrony strony przed atakami, jeżeli nie służą dodatkowym celom wymagającym zgody.

Nie tylko pliki cookies

Przepis nie mówi o „cookies”, tylko o przechowywaniu informacji w urządzeniu i dostępie do niej. Obejmuje więc także pamięć przeglądarki (localStorage), piksele śledzące czy identyfikatory w adresach. Europejska Rada Ochrony Danych (EROD) w wytycznych 2/2023 uznała, że dostępem do urządzenia jest także sytuacja, w której skrypt JavaScript nakazuje przeglądarce wysłanie określonych informacji.

Co ważne, obowiązek nie zależy od tego, czy zbierane informacje są danymi osobowymi. Trybunał Sprawiedliwości UE podkreślił to w wyroku Planet49, a w polskiej doktrynie podziela to m.in. komentarz A. Krzyżak do art. 400 PKE.

Co na typowej stronie biura wymaga zgody?

Poniższa tabela porządkuje najczęstsze elementy stron biur rachunkowych. Ocena dotyczy typowej konfiguracji - przy nietypowych ustawieniach trzeba ją powtórzyć.

Element strony	Zgoda	Uwagi
Cookies sesji, koszyka, ochrony przed botami	co do zasady nie	wyjątek obejmuje tylko cookies rzeczywiście konieczne i używane wyłącznie w tym celu
Formularz kontaktowy	co do zasady nie	cookies obsługi formularza mogą korzystać z wyjątku; dane z formularza to osobna kwestia RODO
Logowanie do panelu klienta	konieczna sesja logowania nie, „zapamiętaj mnie” tak	trwałe logowanie nie jest konieczne - zgodę można zebrać przy tej opcji, bez ogólnego banera
Google Analytics i inne cookies statystyczne	tak	dotyczy także cookies „własnych” (first-party) i anonimizacji
Piksel Meta, tagi reklamowe, remarketing	tak	cele marketingowe nigdy nie mieszczą się w wyjątku
Film z YouTube, mapa Google osadzone na stronie	zależy od konfiguracji	zgoda jest potrzebna na zapisy i odczyty nieobjęte wyjątkiem konieczności; sprawdź, co osadzenie robi przed kliknięciem i po nim
Czat zewnętrznego dostawcy	zależy od konfiguracji	czat uruchamiany na żądanie wymaga innej oceny niż czat ładowany od razu ze śledzeniem
Analityka bez cookies (np. Plausible, Cloudflare Web Analytics)	zależy od sposobu działania	brak cookies nie wyłącza obowiązku zgody: skrypt, który każe przeglądarce wysłać informacje, uzyskuje dostęp do urządzenia (EROD 2/2023); decyduje, czy operacja mieści się w wyjątku
Czcionki pobierane z serwerów Google	przede wszystkim kwestia RODO	przeglądarka przekazuje Google adres IP; nie wyklucza to oceny na gruncie art. 399 PKE; najprościej umieścić czcionki na własnym serwerze

Europejskie organy nie mówią jednym głosem

Podejście do statystyk prowadzonych na własny użytek nie jest w Unii jednolite. Belgijski organ ochrony danych, powołując się na opinię WP 194, uważa, że cookies do pomiaru odwiedzalności zawsze wymagają zgody, także własne. Francuska CNIL dopuszcza natomiast pomiar bez zgody, jeżeli służy wyłącznie wydawcy strony, daje tylko anonimowe statystyki, nie śledzi użytkownika między serwisami, a dane nie są łączone z innymi operacjami przetwarzania, a dane nieanonimowe nie są przekazywane osobom trzecim.

Francuskie zwolnienie nie działa jednak automatycznie w Polsce. Do 29 września 2026 r. nie znaleźliśmy publicznego stanowiska Prezesa UKE dotyczącego zastosowania wyjątku z art. 399 ust. 3 PKE do takiego pomiaru odwiedzalności. Samo prowadzenie statystyk na własny użytek nie jest więc bezpieczną podstawą do rezygnacji ze zgody.

Treści osadzone - kto odpowiada

Film, mapa czy wtyczka innej firmy działa na stronie biura, bo biuro umieściło jej kod. Trybunał Sprawiedliwości UE w wyroku Fashion ID uznał, że właściciel strony może współodpowiadać za zbieranie i przekazywanie danych osobowych przez taki element, nawet jeśli dalej przetwarza je wyłącznie dostawca. Wyrok dotyczył przepisów o ochronie danych osobowych, a nie polskiej kary za naruszenie art. 399 PKE - to powiązane, ale nie tożsame kwestie. Bezpieczniej jednak nie zakładać, że za zapisy w urządzeniu odpowiada wyłącznie dostawca osadzonej treści.

Co pokazał nasz test?

Sprawdziliśmy, co dzieje się w przeglądarce po samym wczytaniu strony testowej z jednym popularnym dodatkiem - bez żadnego kliknięcia. Test miał ograniczony zakres: obserwowaliśmy pierwsze 4-6 sekund bez kliknięć, na konfiguracjach testowych, w jednej przeglądarce. Pomiar nie obejmował cookies niedostępnych dla skryptów strony (HttpOnly) ani całej aktywności wewnątrz osadzonych ramek, a profil przeglądarki nie był czyszczony między próbami. Nie badaliśmy zachowania po zgodzie, odmowie ani wycofaniu zgody. Wyniki opisują więc badaną konfigurację, a nie każdą możliwą.

• Google Analytics 4 - od razu po wczytaniu pojawiły się cookies _ga i _ga_<ID>, a przeglądarka wysłała do Google dane pomiarowe.
• Google Analytics 4 w wariancie advanced Consent Mode, z domyślną odmową - nie odnotowaliśmy cookies dostępnych naszemu pomiarowi, ale odnotowaliśmy wysyłkę danych pomiarowych do Google. Consent Mode nie jest więc gwarancją zgodności. Wynik nie dotyczy wariantu basic, w którym tag uruchamia się dopiero po zgodzie.
• Film z YouTube - w osobnym pobraniu adresu osadzenia serwer youtube.com zwrócił polecenia zapisania kilku cookies (nagłówki Set-Cookie, m.in. VISITOR_INFO1_LIVE), a youtube-nocookie.com takich poleceń nie zwrócił. Nie sprawdziliśmy, czy przeglądarka przyjęła te cookies w osadzonej ramce. Odtwarzacz w obu wariantach łączył się z serwerami Google.
• Mapy Google, reCAPTCHA, czcionki Google, Cloudflare Web Analytics - w dostępnym zakresie pomiaru nie odnotowaliśmy nowych cookies, ale przeglądarka łączyła się z serwerami dostawców i przekazywała im dane techniczne.

Kiedy baner nie jest potrzebny?

Ogólny baner nie jest potrzebny, jeżeli przegląd strony wykaże, że nie wykonuje ona operacji wymagających zgody, albo że ważna zgoda jest zbierana przy konkretnej funkcji, zanim te operacje nastąpią. W praktyce strona biura może obejść się bez ogólnego banera, gdy:

• nie używa analityki opartej na cookies ani pikseli reklamowych,
• filmy i mapy nie wczytują się automatycznie, a zaślepka w ich miejscu zbiera ważną zgodę: informuje, jakie dane przekaże się dostawcy i w jakim celu, i dopiero po akceptacji wczytuje treść. Samo kliknięcie „Odtwórz” bez takiej informacji nie wystarcza,
• czcionki i skrypty są serwowane z własnego serwera,
• pozostałe cookies są rzeczywiście konieczne (sesja, bezpieczeństwo, formularz).

Nawet wtedy trzeba poinformować użytkownika o funkcji i celu zapisywanych danych - wymaga tego ustawa o świadczeniu usług drogą elektroniczną. Najlepiej zrobić to w polityce prywatności.

Jak powinien wyglądać poprawny baner?

Jeżeli zgoda jest potrzebna, baner musi pozwalać na rzeczywisty wybór. Na podstawie przepisów, wyroku Planet49 i raportu grupy zadaniowej EROD ds. banerów cookies:

• zgoda przed zapisem lub odczytem - skrypty wymagające zgody nie mogą się uruchomić przed kliknięciem „Akceptuj”,
• „Odrzuć” na pierwszym ekranie - większość europejskich organów ochrony danych uznaje brak takiej opcji obok „Akceptuj” za naruszenie,
• bez zaznaczonych z góry pól - zgoda musi wynikać z aktywnego działania,
• bez zwodniczego projektu - przycisk odmowy nie może być ukryty czy trudny do znalezienia,
• łatwe wycofanie zgody - np. stały link „Ustawienia cookies” w stopce,
• pełna informacja - cel, a także czas działania cookies i to, czy mają do nich dostęp podmioty trzecie (wyrok Planet49).

Zgoda na cookies to także coś innego niż zgoda na newsletter. Zapis na newsletter nie obejmuje automatycznie śledzenia otwarć i kliknięć w wiadomościach - EROD traktuje piksele w e-mailach tak samo jak na stronach.

Kto kontroluje i jakie są kary?

Nad zapisem informacji w urządzeniu użytkownika czuwa Prezes Urzędu Komunikacji Elektronicznej. Za przechowywanie informacji lub uzyskiwanie do nich dostępu niezgodnie z art. 399 PKE, za brak wymaganej zgody i za naruszenie obowiązków informacyjnych może on nałożyć karę do 3% przychodu osiągniętego w roku kalendarzowym poprzedzającym rok nałożenia kary.

Dla małych firm ustawa przewiduje szczególne zasady: gdy przychód w tym roku nie przekroczył 500 000 zł, Prezes UKE bierze pod uwagę średni przychód z trzech lat, a gdy przychód w tym trzyletnim okresie również nie przekracza 500 000 zł albo firma nie miała przychodu - może nałożyć karę do 15 000 zł.

Prezes Urzędu Ochrony Danych Osobowych zajmuje się tym, co dzieje się z danymi osobowymi zebranymi np. przez cookies. Granicę między kompetencjami obu organów pokazuje sprawa, w której UODO udzielił spółce upomnienia za przekazywanie danych z jej strony internetowej do Google i dostawcy czatu. Wojewódzki Sąd Administracyjny w Warszawie uchylił tę decyzję: UODO nie wykazał, że adres IP i identyfikator z cookies były w tej sprawie danymi osobowymi. Sąd dodał, że ocena samego zapisu i odczytu informacji w urządzeniu należała na gruncie Prawa telekomunikacyjnego do Prezesa UKE, a kompetencje UODO dotyczą dalszego przetwarzania danych osobowych. Naczelny Sąd Administracyjny oddalił skargę kasacyjną UODO, koncentrując się na brakach dowodowych decyzji.

Polityka prywatności - dwie częste usterki

Nieaktualna podstawa prawna. Jeżeli polityka prywatności nadal powołuje się na art. 173 Prawa telekomunikacyjnego, wymaga poprawy: od 10 listopada 2024 r. aktualną podstawą zasad dotyczących cookies jest art. 399 PKE. Sama zmiana numeru przepisu nie wystarczy: warto przy okazji sprawdzić, czy opis w polityce odpowiada temu, co strona robi.

Opis niezgodny z rzeczywistością. Sprawdź, czy opis cookies odpowiada działaniu strony - polityka nie powinna mówić o „plikach cookies w celach statystycznych” na stronie, która ich nie używa, ani przemilczać narzędzi, które działają. Informacja musi opisywać faktyczne zapisy i odczyty, ich cel, czas działania i dostęp podmiotów trzecich.

Co może się zmienić?

Projekt unijnego rozporządzenia ePrivacy, które miało zastąpić dyrektywę, Komisja Europejska wycofała w 2025 r. W listopadzie 2025 r. Komisja zaproponowała natomiast w pakiecie Digital Omnibus przeniesienie zasad dotyczących danych osobowych w urządzeniach do RODO (nowe art. 88a i 88b). Projekt przewiduje m.in. wyjątek dla operacji niezbędnych do zbiorczego pomiaru odbiorców przez administratora na własny użytek, zakaz ponawiania pytania o zgodę w tym samym celu przez co najmniej sześć miesięcy po odmowie oraz obsługę sygnałów zgody, odmowy i sprzeciwu wysyłanych automatycznie przez przeglądarkę.

Według karty procedury Parlamentu Europejskiego projekt oczekuje na decyzję komisji parlamentarnych w pierwszym czytaniu. Opisujemy propozycję Komisji z listopada 2025 r. - jej ostateczny kształt nie jest przesądzony, a do czasu ewentualnych zmian stosuje się art. 399 PKE.

Lista kontrolna dla strony biura