Pliki cookie first-party i third-party — czym się różnią?

Pliki cookie first-party i third-party różnią się przede wszystkim domeną, która je ustawia i odczytuje. Ma to znaczenie dla działania analityki, reklam oraz zabezpieczeń przeglądarek, ale nie przesądza samo w sobie o obowiązku uzyskania zgody.

Poniżej wyjaśniamy tę różnicę na przykładach oraz pokazujemy, co warto sprawdzić na własnej stronie. Jeśli najpierw chcesz uporządkować podstawy, przeczytaj przewodnik po kategoriach plików cookie.

Czym są pliki cookie first-party?

Plik cookie first-party, czyli plik cookie pierwszej strony, jest przypisany do domeny odwiedzanej przez użytkownika. Na stronie twojsklep.pl będzie to na przykład plik zapisany dla domeny twojsklep.pl lub .twojsklep.pl.

Typowe zastosowania obejmują:

• utrzymanie sesji logowania;
• zapamiętanie zawartości koszyka;
• zapis preferencji użytkownika;
• ochronę formularzy;
• analitykę prowadzoną za pomocą identyfikatora zapisanego w domenie strony;
• zapis wybranych ustawień zgody.

Pliki te mogą być ustawiane przez serwer w nagłówku Set-Cookie albo przez kod JavaScript. Sposób zapisu może wpływać na ich trwałość i sposób traktowania przez przeglądarkę.

Czym są pliki cookie third-party?

Plik cookie third-party, czyli plik cookie strony trzeciej, należy do domeny innej niż aktualnie odwiedzana. Może pojawić się na przykład wtedy, gdy strona osadza zasób, reklamę lub ramkę pochodzącą z zewnętrznego serwisu.

Takie pliki były szeroko wykorzystywane do rozpoznawania użytkownika w wielu witrynach, mierzenia kampanii i prowadzenia retargetingu. Przeglądarki coraz częściej je blokują, ograniczają albo izolują pomiędzy poszczególnymi stronami.

Ważne rozróżnienie: skrypt dostawcy zewnętrznego może zapisać identyfikator jako plik first-party w domenie odwiedzanej strony, a następnie przesłać dane do zewnętrznej usługi. Techniczny typ pliku cookie nie mówi więc jeszcze, kto otrzymuje dane ani w jakim celu są one przetwarzane.

First-party a third-party — porównanie

Cecha	First-party	Third-party
Domena pliku	Domena odwiedzanej strony	Inna domena
Typowe cele	Sesja, koszyk, preferencje, analityka	Reklama, pomiar kampanii, śledzenie między witrynami
Dostępność w przeglądarkach	Zwykle szersza, choć może podlegać ograniczeniom	Często blokowana lub izolowana
Obowiązek uzyskania zgody	Zależy od celu i podstawy użycia	Zależy od celu i podstawy użycia
Wpływ na prywatność	Zależy od zakresu danych i sposobu ich wykorzystania	Szczególnie istotny przy śledzeniu między witrynami

Przykłady z analityki i reklamy

Google Analytics 4

GA4 może zapisywać identyfikatory, takie jak _ga, jako pliki first-party w domenie strony. Dane analityczne są jednak przesyłane do zewnętrznej usługi Google. Klasyfikując taki mechanizm, trzeba uwzględnić nie tylko domenę pliku, lecz także cel przetwarzania i odbiorców danych.

Meta Pixel

Kod Meta Pixel może zapisywać plik _fbp w domenie odwiedzanej strony. Jest to technicznie plik first-party, choć służy działaniu zewnętrznego narzędzia reklamowego. Nie należy zatem utożsamiać określenia „first-party” z plikiem niezbędnym lub niewymagającym zgody.

Zewnętrzne ramki i usługi

Osadzona ramka płatnicza, materiał wideo albo moduł społecznościowy może komunikować się z domeną usługodawcy. To, czy ustawi plik third-party i czy będzie on dostępny, zależy między innymi od przeglądarki, jej ustawień oraz sposobu wdrożenia.

Dlaczego przeglądarki ograniczają pliki third-party?

Pliki third-party umożliwiały rozpoznawanie użytkownika na wielu niezależnych stronach. Z tego względu dostawcy przeglądarek wprowadzili mechanizmy mające ograniczyć śledzenie między witrynami.

W praktyce oznacza to, że:

• mechanizmy reklamowe oparte wyłącznie na third-party cookies mogą działać niepełnie;
• liczba rozpoznanych użytkowników i konwersji może różnić się między przeglądarkami;
• konfigurację analityki trzeba testować na kilku przeglądarkach i urządzeniach;
• samo przeniesienie identyfikatora do domeny first-party nie usuwa obowiązków związanych z prywatnością.

Czy pliki first-party są lepsze z punktu widzenia RODO?

Nie można tego ocenić wyłącznie na podstawie domeny pliku. Znaczenie mają między innymi cel, zakres danych, okres przechowywania, odbiorcy oraz to, czy dany mechanizm jest niezbędny do świadczenia usługi żądanej przez użytkownika.

Przykładowo plik utrzymujący koszyk może pełnić inną funkcję niż identyfikator analityczny lub reklamowy, nawet jeśli wszystkie są zapisane jako first-party. Pliki wykorzystywane do analityki albo marketingu należy oceniać oddzielnie i odpowiednio uwzględniać w konfiguracji zgód oraz dokumentacji strony.

Szczegółowe wymagania prawne zależą od konkretnego wdrożenia. Pomocnym punktem wyjścia może być przewodnik wyjaśniający, kiedy potrzebny jest baner cookies.

First-party cookies a Consent Mode v2

Consent Mode v2 przekazuje tagom Google informacje o stanie zgody za pomocą sygnałów takich jak analytics_storage, ad_storage, ad_user_data i ad_personalization. Nie zmienia on pliku third-party w first-party i nie zastępuje mechanizmu pozyskania zgody.

Przed uruchomieniem tagów warto ustawić domyślny stan zgód, po decyzji użytkownika zaktualizować właściwe sygnały, a następnie sprawdzić konfigurację w narzędziach diagnostycznych. Proces opisuje przewodnik wdrożenia Consent Mode v2 w Google Tag Managerze.

Co sprawdzić na swojej stronie?

1. Wykonaj audyt plików cookie i żądań sieciowych przed wyrażeniem zgody oraz po jej udzieleniu.
2. Ustal domenę, cel, dostawcę i okres działania każdego pliku.
3. Oddziel mechanizmy niezbędne od analitycznych, funkcjonalnych i marketingowych.
4. Sprawdź zachowanie strony po odrzuceniu poszczególnych kategorii.
5. Przetestuj konfigurację w różnych przeglądarkach.
6. Porównaj wyniki audytu z treścią banera oraz polityki cookies.

Praktyczną procedurę znajdziesz w artykule o audycie cookies na stronie.

Podsumowanie

Pliki first-party należą do domeny odwiedzanej strony, a third-party — do domeny zewnętrznej. Pierwsze są zwykle szerzej dostępne dla witryny, natomiast drugie częściej podlegają blokowaniu lub izolacji przez przeglądarki.

Nie należy jednak oceniać obowiązków dotyczących zgody wyłącznie na podstawie tego podziału. Najważniejsze są rzeczywisty cel mechanizmu, przepływ danych i sposób działania przed podjęciem decyzji przez użytkownika. Kolejnym krokiem powinien być audyt wdrożenia, a następnie dopasowanie konfiguracji banera, tagów i dokumentacji. Przy wyborze narzędzia możesz sprawdzić funkcje platformy do zarządzania zgodami.

FAQ

Czy GA4 używa plików first-party czy third-party?

GA4 może zapisywać identyfikator _ga jako plik first-party w domenie strony. Dane są przy tym przesyłane do usługi zewnętrznej, dlatego klasyfikacja techniczna pliku nie wyczerpuje oceny dotyczącej prywatności i zgody.

Czy przeglądarki blokują pliki first-party?

Zwykle nie blokują ich w taki sam sposób jak plików third-party, ale mogą ograniczać ich trwałość lub dostępność. Konkretne zachowanie zależy od przeglądarki, jej wersji, ustawień użytkownika i sposobu zapisania pliku.

Czy każdy plik third-party wymaga zgody?

Nie należy rozstrzygać tego wyłącznie na podstawie domeny. Trzeba ustalić cel i niezbędność danego mechanizmu oraz ocenić go zgodnie z przepisami mającymi zastosowanie do konkretnej usługi.

Czy plik first-party może służyć do marketingu?

Tak. Przykładem jest identyfikator zapisany w domenie strony przez zewnętrzny skrypt reklamowy. Określenie „first-party” opisuje relację domen, a nie cel wykorzystania danych.

Czy server-side tagging eliminuje potrzebę uzyskania zgody?

Nie. Zmiana sposobu przesyłania danych lub ustawiania identyfikatorów nie przesądza o podstawie ich przetwarzania. Konfigurację server-side trzeba objąć tą samą analizą celów, odbiorców i warunków uruchamiania mechanizmów.