Cookies w sklepie internetowym to temat, który pozornie sprowadza się do jednego banera z przyciskiem „akceptuję”. W praktyce opiera się na kilku nakładających się na siebie aktach prawnych – unijnej dyrektywie ePrivacy, polskiej ustawie Prawo komunikacji elektronicznej oraz RODO. Właściciele sklepów internetowych najczęściej popełniają błąd, traktując politykę cookies jako gotowy szablon do wklejenia. Tymczasem przepisy wymagają realnej, świadomej i możliwej do wycofania zgody użytkownika, zanim jeszcze pierwszy nieistotny plik cookie zostanie zapisany w przeglądarce. W tym artykule wyjaśniamy, skąd biorą się obowiązki dotyczące cookies w sklepie internetowym. Jakie przepisy obowiązują w Polsce w 2026 roku? Jak wdrożyć je w praktyce, bez narażania się na kontrolę UODO czy UOKiK?
Artykuł jest częścią serii poświęconej wymogom prawnym dla sklepu internetowego. Jeśli szukasz pełnego przeglądu obowiązków prawnych e-sklepu, zacznij od niego.
Czym są cookies w sklepie internetowym i dlaczego podlegają regulacji?
Pliki cookies to niewielkie fragmenty danych tekstowych, które sklep internetowy zapisuje w przeglądarce użytkownika. Celem jest zapamiętanie zawartości koszyka, danych logowania, preferencji językowych czy zachowania podczas przeglądania oferty. Polskie prawo nie definiuje wprost pojęcia „cookies”. Jednak odnosi się do funkcji tych plików – przechowywania informacji lub uzyskiwania dostępu do informacji już zapisanej na urządzeniu końcowym użytkownika. W sklepie internetowym cookies pełnią kilka odrębnych ról: techniczną (obsługa koszyka i logowania), analityczną (statystyki ruchu, np. Google Analytics), funkcjonalną (zapamiętywanie preferencji) oraz marketingową (remarketing, śledzenie konwersji, personalizacja reklam).
To właśnie ostatnie dwie kategorie sprawiają najwięcej problemów prawnych. Wiążą się z przetwarzaniem danych, które często pozwalają zidentyfikować konkretnego użytkownika. A to uruchamia jednocześnie przepisy o cookies i przepisy o ochronie danych osobowych.
Dyrektywa ePrivacy jako unijna podstawa przepisów o cookies w sklepie internetowym
Punktem wyjścia dla wszystkich krajowych regulacji dotyczących cookies w sklepie internetowym jest unijna dyrektywa o prywatności i łączności elektronicznej 2002/58/WE. Potocznie nazywa się ją dyrektywą ePrivacy. Wprowadziła ona zasadę, według której przechowywanie informacji lub uzyskiwanie dostępu do informacji zapisanej w urządzeniu końcowym użytkownika jest dopuszczalne wyłącznie wtedy, gdy użytkownik zostanie wcześniej jasno poinformowany o celu takiego działania i wyrazi na nie zgodę. Zasada ta bywa określana skrótowo jako model opt-in. To użytkownik musi aktywnie zaakceptować cookies, a nie sprzedawca zakładać milczącą zgodę.
Dyrektywa ePrivacy była wielokrotnie nowelizowana, a od lat toczą się prace nad zastąpieniem jej unijnym rozporządzeniem ePrivacy. Miałoby ono obowiązywać bezpośrednio we wszystkich państwach członkowskich, bez konieczności implementacji do prawa krajowego. Dopóki jednak takie rozporządzenie nie wejdzie w życie, podstawą prawną pozostaje dyrektywa wdrożona do polskiego porządku prawnego w drodze ustawy krajowej.
Prawo komunikacji elektronicznej – polskie przepisy wykonawcze o cookies w sklepie internetowym
Przez prawie dwadzieścia lat przepisy dotyczące cookies w Polsce regulowała ustawa Prawo telekomunikacyjne z 2004 roku, a konkretnie jej art. 173 i 174. 10 listopada 2024 roku w życie weszła nowa ustawa – Prawo komunikacji elektronicznej z 12 lipca 2024 roku. Całkowicie zastąpiła Prawo telekomunikacyjne i wdrożyła unijny Europejski Kodeks Łączności Elektronicznej. Dotychczasowe zasady dotyczące cookies nie zniknęły, lecz zostały przeniesione do nowych przepisów. Obecnie kluczowe znaczenie mają art. 399 i art. 400 Prawa komunikacji elektronicznej.
Art. 399 nakłada na podmiot świadczący usługi drogą elektroniczną, w tym na właściciela sklepu internetowego, obowiązek poinformowania użytkownika przed instalacją oprogramowania (w tym plików cookies) o celu tego działania oraz o sposobie usunięcia takiego oprogramowania z urządzenia, a następnie uzyskania zgody użytkownika przed instalacją i używaniem cookies. Art. 400 wprost odsyła do przepisów o ochronie danych osobowych, wskazując, że do uzyskania zgody stosuje się odpowiednio RODO. To oznacza, że zgoda na cookies w sklepie internetowym musi być dobrowolna, konkretna, świadoma i jednoznaczna, dokładnie tak jak zgoda na przetwarzanie danych osobowych.
Ustawa przewiduje też wyjątek. Zgoda nie jest wymagana, jeśli przechowywanie lub uzyskiwanie dostępu do informacji jest konieczne do wykonania transmisji komunikatu elektronicznego lub do dostarczenia usługi wyraźnie zażądanej przez użytkownika. To właśnie ten wyjątek uzasadnia brak obowiązku uzyskiwania zgody na cookies niezbędne do działania koszyka zakupowego czy mechanizmu logowania.
Rodzaje plików cookies stosowanych w sklepie internetowym
Prawidłowe wdrożenie cookies w sklepie internetowym wymaga podzielenia plików na kategorie, ponieważ każda z nich podlega innym zasadom zgody.
Cookies niezbędne – odpowiadają za podstawowe działanie sklepu: zapamiętanie zawartości koszyka, utrzymanie sesji logowania, zabezpieczenie formularza zamówienia. Nie wymagają zgody użytkownika, ale sklep musi poinformować o ich stosowaniu w polityce prywatności.
Cookies funkcjonalne – zapamiętują preferencje użytkownika, takie jak wybrany język, waluta czy ostatnio przeglądane produkty. W większości przypadków wymagają zgody. Choć część z nich może mieścić się w wyjątku dotyczącym usługi wyraźnie zażądanej przez klienta.
Cookies analityczne – wykorzystywane przez narzędzia takie jak Google Analytics do zbierania statystyk o ruchu na stronie. Wymagają aktywnej zgody użytkownika, ponieważ pozwalają na budowanie profilu zachowań, nawet jeśli formalnie są zanonimizowane.
Cookies marketingowe i remarketingowe – służą do śledzenia użytkownika w celu wyświetlania spersonalizowanych reklam, np. w Meta Ads czy Google Ads. Ta kategoria wymaga najbardziej rygorystycznej, wyraźnej zgody, ponieważ wiąże się z przekazywaniem danych podmiotom trzecim.
Kiedy zgoda na cookies w sklepie internetowym jest wymagana, a kiedy nie?
Podstawowa zasada brzmi: zgoda jest wymagana zawsze, gdy cel zapisania lub odczytania pliku cookie wykracza poza techniczną konieczność dostarczenia usługi żądanej przez użytkownika. W praktyce oznacza to, że sklep internetowy może bez zgody stosować wyłącznie cookies sesyjne, niezbędne do realizacji zamówienia, zabezpieczające formularz przed atakami czy równoważące obciążenie serwera. Wszystkie pozostałe kategorie – analityczne, funkcjonalne, wykraczające poza podstawową obsługę oraz marketingowe – wymagają uprzedniej zgody, wyrażonej, zanim skrypt zapisujący cookie zostanie w ogóle uruchomiony.
Zgoda może zostać wyrażona również poprzez ustawienia oprogramowania zainstalowanego w urządzeniu użytkownika, na przykład konfigurację przeglądarki. Jednak w praktyce e-commerce niemal zawsze realizuje się ją poprzez dedykowany baner zgody wyświetlany przy pierwszej wizycie na stronie sklepu.
Jak wdrożyć zgodny z prawem baner cookies w sklepie internetowym?
Prawidłowo działający banner cookies w sklepie internetowym musi spełniać kilka warunków jednocześnie. Po pierwsze, musi pojawić się przed uruchomieniem jakichkolwiek skryptów analitycznych czy marketingowych. Narzędzia takie jak Google Analytics czy piksele reklamowe mogą się załadować dopiero po wyrażeniu zgody, a nie równolegle z jej wyświetleniem. Po drugie, banner musi dawać użytkownikowi realny, równoważny wybór między akceptacją, odrzuceniem i szczegółową konfiguracją zgód. Przycisk „odrzuć” powinien być równie łatwo dostępny jak przycisk „akceptuję wszystkie”.
Sklepy internetowe, które stosują tak zwane dark patterns, czyli techniki utrudniające odmowę zgody względem jej udzielenia (np. ukryty przycisk odrzucenia, wielokrotne potwierdzanie rezygnacji, domyślnie zaznaczone zgody na cookies marketingowe), łamią zarówno zasady RODO, jak i przepisy Prawa komunikacji elektronicznej. Zgoda domniemana, wynikająca z samego faktu dalszego przeglądania strony po wyświetleniu banera bez podjęcia żadnej decyzji, nie jest ważną zgodą w rozumieniu obowiązujących przepisów.
Dobrą praktyką jest też umożliwienie użytkownikowi wycofania zgody w dowolnym momencie równie łatwo, jak jej udzielenia. Najczęściej robi się to poprzez stały link lub przycisk „zarządzaj zgodą” dostępny w stopce sklepu.
RODO a cookies w sklepie internetowym – dane osobowe i podstawy przetwarzania
Cookies w sklepie internetowym, które pozwalają na identyfikację konkretnego użytkownika – na przykład poprzez unikalny identyfikator klienta w Google Analytics czy powiązanie z adresem e-mail w systemie remarketingowym – stają się danymi osobowymi w rozumieniu RODO. Oznacza to, że sklep pełni wobec nich rolę administratora danych. Tym samym musi zapewnić odpowiednią podstawę prawną przetwarzania, najczęściej właśnie zgodę użytkownika, a nie prawnie uzasadniony interes przedsiębiorcy.
Klauzula informacyjna dotycząca cookies powinna wskazywać, jakie kategorie danych są zbierane, w jakim celu, przez jaki czas są przechowywane oraz czy i jakim podmiotom trzecim (np. Google, Meta) są przekazywane. Sklep internetowy powinien też zawrzeć umowy powierzenia przetwarzania danych z dostawcami narzędzi analitycznych i marketingowych. Oczywiście, jeśli tacy dostawcy przetwarzają dane w jego imieniu. Praktyczne aspekty ochrony danych osobowych w sklepach opartych na WooCommerce opisaliśmy szerzej w artykule Jak chronić dane osobowe w WooCommerce?. Więcej informacji o kwestiach bezpieczeństwa transakcji znajdziesz w tekście Bezpieczne zakupy w WooCommerce: 5 kroków, które musisz wiedzieć.
Najczęstsze błędy dotyczące cookies w sklepach internetowych
Wśród najczęściej powtarzających się nieprawidłowości w zakresie cookies w sklepie internetowym można wymienić:
- uruchamianie skryptów Google Analytics lub pikseli reklamowych jeszcze przed wyświetleniem banera zgody,
- brak realnej opcji odrzucenia zgody na równi z jej akceptacją,
- domyślnie zaznaczone checkboxy przy zgodach marketingowych,
- brak możliwości łatwego wycofania zgody,
- stosowanie ogólnikowej polityki cookies skopiowanej z innej strony, niedostosowanej do rzeczywiście wykorzystywanych narzędzi.
Częstym błędem jest też mylenie zgody na cookies ze zgodą na przetwarzanie danych osobowych w regulaminie sklepu. To dwie odrębne zgody, które powinny być zbierane niezależnie od siebie, nawet jeśli w praktyce dotyczą tych samych danych.
Sankcje za brak zgodnej z prawem polityki cookies w sklepie internetowym
Naruszenie przepisów o cookies w sklepie internetowym może pociągać za sobą odpowiedzialność na dwóch niezależnych płaszczyznach. Prezes Urzędu Ochrony Danych Osobowych może nałożyć administracyjną karę pieniężną za naruszenie zasad RODO, jeśli cookies wiążą się z przetwarzaniem danych osobowych bez odpowiedniej podstawy prawnej. Wysokość kary może sięgać nawet kilkudziesięciu milionów złotych lub określonego procenta rocznego obrotu przedsiębiorstwa. Pod uwagę bieże się skalę i charakter naruszenia. Niezależnie od tego Prezes UOKiK może potraktować stosowanie dark patterns przy zbieraniu zgody na cookies jako nieuczciwą praktykę rynkową naruszającą zbiorowe interesy konsumentów. To wiąże się z odrębną karą administracyjną.
Podsumowanie – jak podejść do cookies w sklepie internetowym?
Cookies w sklepie internetowym to obszar, w którym przenikają się trzy reżimy prawne: unijna dyrektywa ePrivacy, polska ustawa Prawo komunikacji elektronicznej oraz RODO. Aby sklep internetowy działał zgodnie z prawem, baner zgody musi dawać użytkownikowi realny wybór. Skrypty analityczne i marketingowe mogą się uruchamiać dopiero po wyrażeniu zgody. Polityka cookies powinna być dopasowana do faktycznie wykorzystywanych narzędzi, a nie kopiowana z przypadkowego wzoru. Warto też pamiętać, że zasady dotyczące cookies uzupełniają, a nie zastępują pozostałych wymogów prawnych sklepu internetowego. Regulamin omawiamy szczegółowo w kolejnym artykule serii poświęconym regulaminowi sklepu internetowego.
źródła, najważniejsze akty prawne:
- Dyrektywa ePrivacy (2002/58/WE) jako unijna podstawa zasady opt-in dla cookies.
- Prawo komunikacji elektronicznej z 12 lipca 2024 r. (weszło w życie 10.11.2024) — zastąpiło Prawo telekomunikacyjne; stare art. 173–174 zostały zastąpione przez art. 399–400 PKE, które nadal wymagają uprzedniej zgody i odsyłają do RODO.
- Zagrożenia dark patterns i podwójna odpowiedzialność: UODO (RODO) + UOKiK (nieuczciwe praktyki rynkowe).
1 Comment “Cookies w sklepie internetowym – dyrektywa unijna i polskie przepisy wykonawcze 2026”