Zgody na cookies w Polsce: co obowiązuje dziś, a co jest dopiero projektem

📅 26 sierpnia 2026 ⏱️ 9 min czytania

Michał Winciorek

Performance Marketing Strategist · LinkedIn ↗

Dostęp do urządzenia końcowego reguluje w Polsce Prawo komunikacji elektronicznej, którego przepisy obowiązują od 10 listopada 2024. Przepisy, które miałyby ten stan przestawić, na sierpień 2026 są przedmiotem negocjacji między Parlamentem, Radą i Komisją i pozostają projektem. Podstawa prawna pod polskim banerem zgód jest więc dziś stabilna, a przebudowa warstwy pomiarowej pod zapowiedzi wyprzedza prawo o kilkanaście miesięcy.

Pytanie wraca w każdej rozmowie o pomiarze: skoro Bruksela zapowiada wiążący sygnał zgody z poziomu przeglądarki, po co dziś wydawać pieniądze na kategorie zgód, porządek w tagach i dokumentację. Odpowiedź siedzi w dwóch dokumentach o zupełnie innym statusie. Jeden obowiązuje i da się go zacytować z numerem artykułu. Drugi krąży w wersjach roboczych między Radą, Parlamentem i Komisją. Kto ogłasza koniec banerów cookie i na czym opiera tę tezę, rozbieram osobno w tekście o tym, kto właściwie ogłasza koniec banerów.

Co dokładnie obowiązuje w Polsce od listopada 2024?

Podstawą jest Prawo komunikacji elektronicznej, ustawa z 12 lipca 2024 roku, której przepisy zaczęły obowiązywać 10 listopada 2024. Materii ciasteczek dotyczy art. 399 Prawa komunikacji elektronicznej. Sam wyraz „cookies" w przepisie nie pada. Ustawodawca opisał czynność: przechowywanie informacji i uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym użytkownika.

Ustęp 1 stawia trzy warunki, które muszą być spełnione łącznie:

• Uprzednia informacja. Użytkownik dostaje informację o celu przechowywania i uzyskiwania dostępu do tej informacji oraz o możliwości określenia warunków przechowywania i dostępu za pomocą ustawień oprogramowania.
• Zgoda po otrzymaniu informacji. Kolejność jest wpisana w przepis: najpierw informacja, potem zgoda.
• Brak zmian konfiguracyjnych w urządzeniu. Przechowywanie ani dostęp nie mogą powodować zmian w konfiguracji urządzenia końcowego i w oprogramowaniu na nim zainstalowanym.

Ustęp 2 dopuszcza wyrażenie zgody za pomocą ustawień oprogramowania zainstalowanego w urządzeniu końcowym albo konfiguracji usługi. Ustęp 3 wyłącza wszystkie te warunki tam, gdzie przechowywanie albo dostęp są konieczne do wykonania transmisji komunikatu elektronicznego albo do dostarczenia usługi żądanej przez użytkownika. To jest podstawa dla kategorii „niezbędne" w banerze. Ustęp 4 dotyczy osobnej sytuacji: instalacja oprogramowania w urządzeniu wymaga poinformowania o celu i o sposobie usunięcia oraz uprzedniej zgody.

Obok stoi art. 398 PKE, który reguluje używanie telekomunikacyjnych urządzeń końcowych do marketingu bezpośredniego i do przesyłania informacji handlowej. Dwa różne przepisy, dwie różne materie. W publicystyce bywają zlewane w jedno, a wtedy dyskusja o banerze cookies niepostrzeżenie przechodzi w dyskusję o zgodzie mailingowej.

Kto nakłada karę: Prezes UKE czy Prezes UODO?

Tu leży rozróżnienie, które w omówieniach ginie najczęściej. Art. 444 Prawa komunikacji elektronicznej wymienia wśród czynów zagrożonych karą pieniężną przechowywanie informacji w urządzeniu końcowym albo uzyskiwanie do niej dostępu niezgodnie z art. 399. Karę w tym trybie nakłada Prezes UKE.

Osobno stoi art. 445 PKE. Dotyczy obowiązków związanych z naruszeniami ochrony danych: zabezpieczeń, zgłoszenia naruszenia i prowadzenia rejestru. Tam karę do 3 procent przychodu nakłada Prezes UODO. Trzecia warstwa to RODO, na gruncie którego ocenia się przetwarzanie danych osobowych zebranych przy użyciu tych technologii.

Kwoty kary za naruszenie art. 399 świadomie tu nie podaję. W opracowaniach krąży formuła „do 3 procent przychodu albo do miliona złotych, zależnie co wyższe", ale w przepisie, do którego odsyła art. 444, jej nie odnalazłem. Wygląda to na przeniesienie widełek z art. 445, gdzie 3 procent dotyczy innego katalogu naruszeń i innego organu. Do czasu potwierdzenia u źródła zostaje samo ustalenie: naruszenie zasad z art. 399 jest zagrożone karą nakładaną przez Prezesa UKE.

Dla działu marketingu ma to jedną praktyczną konsekwencję. Zgody na dostęp do urządzenia i przetwarzanie danych osobowych po ich zebraniu podlegają dwóm reżimom i dwóm organom naraz. Dokumentacja, która opisuje wyłącznie podstawy z RODO, pokrywa połowę obrazu.

Co w pakiecie Digital Omnibus pozostaje projektem?

Komisja opublikowała pakiet Digital Omnibus 19 listopada 2025. W toku prac rozpadł się on na dwie części o zupełnie różnym losie. Część dotycząca sztucznej inteligencji została przyjęta i obowiązuje jako rozporządzenie (UE) 2026/1744, o czym piszę w kalendarzu zgodności dla działu marketingu na lata 2026-2028. Część danych, obejmująca RODO, ePrivacy, NIS2 i DORA, na sierpień 2026 pozostaje w negocjacjach trójstronnych.

W tej właśnie części siedzą przepisy, którymi uzasadnia się dziś odkładanie prac nad zgodami. Kancelaria Taylor Wessing rozpisuje je w omówieniu cookiesowej części pakietu omnibus:

• Projektowany art. 88a RODO przenosi zasady zgody na przechowywanie informacji w urządzeniu końcowym i dostęp do niej z dyrektywy ePrivacy wprost do RODO.
• Projektowany art. 88b RODO nadaje moc wiążącą sygnałowi zgody wyrażanemu na poziomie przeglądarki albo systemu operacyjnego.
• Terminy w projekcie: art. 88a miałby być stosowany po 6 miesiącach od wejścia w życie, art. 88b po 24 miesiącach. Oba terminy biegną od daty, której jeszcze nie ma.

Do tego dochodzi stan samych negocjacji. Tekst roboczy Rady pomija część przepisów o zgodzie, i to tych, które przesądzają o kształcie całej konstrukcji, więc kierunek zmiany może się jeszcze odwrócić. Numery artykułów i terminy podaję tu wyłącznie po to, żeby dało się śledzić proces. Żaden z nich nie jest prawem, na którym można oprzeć decyzję o wydatku.

Osobna sprawa, którą komentarze mieszają z powyższym: wycofanie projektu rozporządzenia ePrivacy. Komisja ogłosiła je w programie prac na 2025 rok, zatwierdziła 16 lipca 2025, a w Dzienniku Urzędowym UE ukazało się 6 października 2025. Wycofano projekt nowego aktu. Dyrektywa 2002/58/WE i wdrażające ją przepisy krajowe zostają w mocy.

Czy zgoda z ustawień przeglądarki zdejmuje obowiązek banera?

Wróćmy na moment do art. 399 ust. 2 PKE. Polski przepis już dziś dopuszcza wyrażenie zgody przez ustawienia oprogramowania zainstalowanego w urządzeniu końcowym. Kierunek projektowanego art. 88b RODO idzie w tę samą stronę na poziomie unijnym. Ten pomysł funkcjonuje więc w polskim porządku prawnym od 2024 roku.

Z tego przepisu nie wynika, że baner jest zbędny. Praktyka organów nadzorczych i orzecznictwo unijne wymagają zgody aktywnej, świadomej i granularnej, czyli takiej, w której użytkownik osobno decyduje o analityce i o marketingu. Domyślne ustawienie przeglądarki samo w sobie tego nie zapewnia. Do tego brakuje technicznego standardu, który sygnał ma być odczytywany i jak dokumentowany. Firma, która w 2026 roku wyłączy baner i powoła się na ustawienia przeglądarki użytkownika, bierze na siebie ryzyko sporu z organem przy bardzo cienkiej podkładce.

To ciekawostka prawna. Rekomendacja z niej nie wychodzi żadna poza tą, żeby nie budować na niej planu.

Co z tego wynika dla warstwy pomiarowej?

Tutaj cała ta legislacyjna arytmetyka zamienia się w decyzje o pieniądzach i o czasie zespołu. Poniższy podział stosuję jako domyślny przy układaniu warstwy pomiarowej u firm mid-market. Kryterium jest jedno: czy działanie zwraca się niezależnie od tego, jak skończy projekt.

Koszyk	Co obejmuje	Dlaczego tak
Robić teraz	Poprawna kategoryzacja zgód w banerze (niezbędne, analityczne, marketingowe). Spójność sygnału zgody między CMP (platformą zarządzania zgodą) a tagami na stronie. Dokumentacja podstaw przetwarzania z rozdzieleniem PKE i RODO. Porządek w nazewnictwie zdarzeń i parametrów.	Wynika z obowiązującego art. 399 PKE i z RODO. Poprawia jakość pomiaru niezależnie od tego, co uchwali Bruksela.
Przygotować, bez wdrażania	Rozpoznanie, czy używane CMP zapowiada obsługę sygnału zgody z poziomu przeglądarki. Plan migracji dokumentacji, gdyby podstawa przeniosła się z PKE do RODO. Jedna osoba w zespole śledząca status rozmów trójstronnych.	Koszt bliski zeru, a przy uchwaleniu projektu skraca reakcję do tygodni. Wdrożenie przed przyjęciem tekstu grozi budowaniem pod wersję roboczą.
Nie ruszać	Przebudowa architektury zgody pod projektowane art. 88a i 88b. Rezygnacja z banera na rzecz ustawień przeglądarki. Wymiana CMP argumentowana wyłącznie nadchodzącymi przepisami.	Podstawą jest tekst, który wciąż jest negocjowany, a Rada usuwa z niego część przepisów o zgodzie. Terminy 6 i 24 miesięcy biegną od daty, której nie ma.

Pierwszy koszyk domyka się w kilka dni roboczych i zwykle ujawnia rzeczy niezwiązane z prawem. Najczęstsza: baner zbiera zgodę i zapisuje ją u siebie, a tagi nigdy nie dostają zaktualizowanego sygnału. Mechanikę i sposób weryfikacji rozpisałem w tekście o Consent Mode v2 i EU User Consent Policy, który dotyczy już samej techniki, przy ustalonym stanie prawnym.

Druga rzecz, którą porządek w zgodach wywleka na wierzch, to bałagan w zdarzeniach. Zgody działają poprawnie, a raport i tak kłamie, bo nikt nie ustalił, co dokładnie liczy każde zdarzenie. Punkt wyjścia opisałem w tekście o tym, co mierzyć w GA4, a co jest szumem, a kolejność prac przy starcie w materiale o trackingu ustawianym przed pierwszą złotówką na media.

Osobna decyzja dotyczy tego, dokąd przenosić pomiar. Część firm odpowiada na kurczące się dane tym, że przenosi pomiar na serwer albo buduje dane własne. Obie ścieżki mają sens niezależnie od losów projektu i obie mają swoją cenę, którą rozpisuję w tekstach o server-side trackingu i granicy jego opłacalności oraz o danych własnych bez działu analityki. Zgoda użytkownika obowiązuje w obu modelach tak samo, bo art. 399 opisuje dostęp do urządzenia, bez względu na to, gdzie stoi serwer zbierający dane.

Skąd wiadomo, ile zgód naprawdę zbierasz?

Przy każdej rozmowie o zgodach pada pytanie o benchmark: ile zgód zbiera rynek. Publiczne liczby pochodzą od dostawców platform zarządzania zgodą i mierzą dwie różne rzeczy.

Didomi, dostawca platformy zgodowej, opublikował w styczniu 2026 benchmark średniego współczynnika zgód w Europie na podstawie interakcji zarejestrowanych na własnej platformie w 2025 roku. Europa Wschodnia wypada tam na 89,3 procent, Europa Zachodnia na 75,1 procent, przy czym tę drugą wartość ciągnie w dół Francja z wynikiem 71 procent. Materiał nie podaje osobnych danych dla Polski ani wielkości próby witryn.

Usercentrics, dostawca platformy zgodowej i właściciel Cookiebota, opublikował w 2026 roku badanie zrealizowane przez Sapio Research na próbie 11 000 konsumentów z siedmiu rynków, zebranej w marcu 2026. Średni poziom zgód na marketingowe pliki cookie w Unii wychodzi tam na 46 procent, wobec 54 procent w 2023. Polski w tej próbie nie ma.

Rozjazd między 89,3 a 46 procent bierze się z metody. Didomi liczy zachowania zarejestrowane w banerze, czyli logi platformy. Usercentrics pyta ludzi w ankiecie, co deklarują. Deklaracja i kliknięcie rozjeżdżają się zawsze, w każdym badaniu konsumenckim. Obie liczby pochodzą przy tym od firm, które sprzedają platformy zgodowe, więc opisują rynek, na którym same działają.

Współczynnik zgód z Twojego CMP, policzony na Twoim ruchu, jest jedyną liczbą, na której da się oprzeć decyzję o pomiarze. Cudze benchmarki służą wyłącznie do kontekstu, i tylko wtedy, gdy przy liczbie stoi nazwa dostawcy, metoda i rok danych. Liczba bez tych trzech rzeczy kończy karierę na slajdzie.

Stan na koniec sierpnia 2026 wygląda tak: art. 399 PKE obowiązuje od 10 listopada 2024, kara za jego naruszenie leży w rękach Prezesa UKE, a przetwarzanie danych zebranych tą drogą ocenia się dodatkowo na gruncie RODO. Projektowane art. 88a i 88b są w rozmowach trójstronnych, terminy liczą się od nieistniejącej daty, a Rada wykreśla z tekstu część przepisów o zgodzie. Firma, która dziś przebudowuje architekturę zgód pod ten projekt, wydaje pieniądze na zgodność z dokumentem, którego brzmienia nikt jeszcze nie zna.

Zrób porządek w tym, co obowiązuje od 2024 roku. Ten porządek przetrwa każdą wersję nowych przepisów i zwraca się w pomiarze już dziś.

Najczęstsze pytania

Czy w Polsce nadal trzeba zbierać zgodę na cookies?

Tak. Materię tę reguluje art. 399 Prawa komunikacji elektronicznej, którego przepisy obowiązują od 10 listopada 2024. Przechowywanie informacji w telekomunikacyjnym urządzeniu końcowym i dostęp do informacji już tam przechowywanej wymagają uprzedniej informacji o celu oraz o możliwości określenia warunków przez ustawienia oprogramowania, zgody użytkownika udzielonej po otrzymaniu tej informacji i braku zmian konfiguracyjnych w urządzeniu. Warunków tych nie stosuje się, gdy przechowywanie albo dostęp są konieczne do wykonania transmisji komunikatu elektronicznego albo do dostarczenia usługi żądanej przez użytkownika. Wycofanie projektu rozporządzenia ePrivacy niczego tu nie zmieniło, bo dyrektywa 2002/58/WE i przepisy krajowe pozostają w mocy.

Kto nakłada karę za naruszenie zasad dostępu do urządzenia końcowego?

Prezes UKE. Art. 444 Prawa komunikacji elektronicznej wymienia wśród czynów zagrożonych karą pieniężną przechowywanie informacji w urządzeniu końcowym albo uzyskiwanie do niej dostępu niezgodnie z art. 399. Osobno stoi art. 445, który dotyczy obowiązków związanych z naruszeniami ochrony danych, czyli zabezpieczeń, zgłoszenia i rejestru, i tam karę do 3 procent przychodu nakłada Prezes UODO. Przetwarzanie danych osobowych zebranych przy użyciu tych technologii ocenia się dodatkowo na gruncie RODO. Kwoty kary za naruszenie samego art. 399 w tym tekście nie podaję, bo nie potwierdziłem jej u źródła.

Czy opłaca się już teraz przebudować zgody pod projektowane przepisy Digital Omnibus?

Nie, dopóki projekt pozostaje projektem. Część danych pakietu Digital Omnibus, obejmująca RODO, ePrivacy, NIS2 i DORA, na sierpień 2026 wisi w negocjacjach trójstronnych, a tekst roboczy Rady pomija część przepisów przesądzających o kształcie samej zgody. Projektowany art. 88a RODO przenosi zasady zgody na dostęp do urządzenia końcowego do RODO, a projektowany art. 88b nadaje moc wiążącą sygnałowi zgody z poziomu przeglądarki, z terminami stosowania po 6 i po 24 miesiącach od wejścia w życie. Te terminy biegną od daty, której jeszcze nie ma. Sensowna kolejność wygląda tak: teraz porządek w kategoriach zgód, w sygnale między CMP a tagami i w dokumentacji, potem obserwacja procesu, a przebudowa architektury dopiero po uchwaleniu tekstu.