Art. 399 PKE a pliki cookie: co oznacza dla stron i sklepów w 2026 roku

Art. 399 Prawa komunikacji elektronicznej (PKE) reguluje przechowywanie informacji na urządzeniu użytkownika oraz uzyskiwanie dostępu do już zapisanych informacji. Dla właścicieli stron i sklepów oznacza to konieczność sprawdzenia nie tylko treści banera, lecz także tego, kiedy uruchamiają się narzędzia analityczne i marketingowe.

Poniżej wyjaśniamy, jak art. 399 PKE łączy się z RODO, kiedy może być potrzebna zgoda na pliki cookie i co warto zweryfikować w technicznej konfiguracji strony. Podstawowe wymagania dotyczące interfejsu opisujemy również w przewodniku o banerze cookies zgodnym z RODO i PKE.

Co reguluje art. 399 PKE

Art. 399 PKE zastąpił w tym obszarze regulację znaną wcześniej z art. 173 Prawa telekomunikacyjnego. Dotyczy przechowywania informacji w urządzeniu końcowym użytkownika oraz dostępu do informacji już w nim zapisanych. Zakres ten może obejmować nie tylko pliki cookie, ale również local storage, piksele reklamowe i inne podobne technologie.

Oficjalny tekst ustawy jest dostępny w Dzienniku Ustaw, poz. 1221 z 2024 r.. Z perspektywy właściciela strony najważniejsze są trzy obszary:

Obszar	Znaczenie praktyczne
Zgoda przed zapisem lub odczytem	Technologie, które nie są objęte wyjątkiem ustawowym, powinny zostać uruchomione dopiero po uzyskaniu ważnej zgody.
Jasna informacja	Użytkownik powinien rozumieć cele stosowania poszczególnych technologii.
Zmiana decyzji	Wycofanie zgody powinno być możliwe równie łatwo jak jej udzielenie.

Sam komunikat o korzystaniu z plików cookie nie rozwiązuje problemu, jeżeli skrypty wymagające zgody działają jeszcze przed wyborem użytkownika.

Art. 399 PKE, RODO i zgoda

PKE określa zasady zapisywania informacji na urządzeniu użytkownika i uzyskiwania do nich dostępu. RODO ma zastosowanie, gdy w ramach tego procesu dochodzi do przetwarzania danych osobowych. Obie regulacje mogą więc mieć znaczenie przy korzystaniu z narzędzi analitycznych, pikseli reklamowych, remarketingu, map cieplnych czy systemów afiliacyjnych.

Warunki zgody wynikające z RODO opisuje art. 7 RODO w EUR-Lex. Zgoda powinna być między innymi dobrowolna, świadoma, konkretna i możliwa do wycofania.

W praktyce mechanizm zgody powinien:

1. przedstawić użytkownikowi zrozumiały wybór;
2. zapamiętać podjętą decyzję;
3. przekazać ją do odpowiednich skryptów;
4. umożliwić późniejszą zmianę ustawień.

Jeżeli strona korzysta z usług Google, dodatkowym elementem konfiguracji może być Consent Mode v2. Statusy takie jak analytics_storage, ad_storage, ad_user_data i ad_personalization służą do przekazywania decyzji użytkownika do tagów Google. Szczegóły techniczne przedstawia dokumentacja Google dotycząca Consent Mode.

Platforma CMP może ułatwić zebranie wyboru użytkownika oraz sterowanie skryptami, ale samo wdrożenie narzędzia nie gwarantuje zgodności prawnej. Konfiguracja musi odpowiadać technologiom faktycznie używanym na stronie i przyjętym podstawom prawnym.

Kiedy może być potrzebna zgoda na pliki cookie

Punktem wyjścia jest ustalenie, czy dana technologia jest niezbędna do świadczenia usługi żądanej przez użytkownika. Jeżeli nie mieści się w ustawowym wyjątku, jej użycie może wymagać wcześniejszej zgody.

Przykład technologii	Typowa ocena	Co sprawdzić
Koszyk i sesja logowania	Mogą być niezbędne	Czy bez nich zamówiona funkcja rzeczywiście nie działa.
Narzędzia analityczne	Zwykle wymagają analizy pod kątem zgody	Sposób konfiguracji, używane identyfikatory i moment uruchomienia.
Piksele reklamowe i remarketing	Zwykle wymagają zgody	Czy skrypty są blokowane przed wyborem użytkownika.
Mapy cieplne i nagrywanie sesji	Zależnie od konfiguracji	Zakres zbieranych informacji i zastosowane zabezpieczenia.
Preferencje języka lub waluty	Mogą być objęte wyjątkiem	Czy zapis jest konieczny do funkcji wybranej przez użytkownika.

Nie należy automatycznie uznawać analityki lub reklamy za technologie niezbędne tylko dlatego, że są ważne dla działalności firmy. Jeśli nie masz pewności, od czego zacząć ocenę, pomocny będzie przewodnik czy strona potrzebuje banera cookies.

Co powinien zawierać skuteczny baner cookies

Pierwsza warstwa banera powinna być krótka i zrozumiała, a ustawienia szczegółowe — pozwalać na świadomy wybór. Warto uwzględnić:

1. informację o używaniu plików cookie i podobnych technologii;
2. opis ich celów lub podział na czytelne kategorie;
3. możliwość zaakceptowania i odrzucenia technologii wymagających zgody;
4. dostęp do ustawień szczegółowych;
5. odnośnik do polityki prywatności lub polityki cookies;
6. mechanizm ponownego otwarcia ustawień;
7. techniczne blokowanie skryptów do czasu uzyskania zgody, jeżeli jest ona wymagana.

Projekt interfejsu ma znaczenie. Odmowa nie powinna być ukryta ani wymagać nieproporcjonalnie większego wysiłku niż akceptacja. Więcej przykładów problematycznych rozwiązań znajdziesz w artykule o dark patterns w banerach cookies.

Checklista dla stron i sklepów internetowych

Poniższa lista pomaga uporządkować wdrożenie, ale nie zastępuje oceny prawnej konkretnego przypadku.

Krok	Co sprawdzić
1	Wykonaj audyt plików cookie i skryptów, również na podstronach koszyka, płatności i potwierdzenia zamówienia.
2	Przypisz wykryte technologie do właściwych celów lub kategorii.
3	Zweryfikuj w narzędziach deweloperskich, czy skrypty wymagające zgody są zablokowane przed wyborem użytkownika.
4	Sprawdź, czy tagi Google otrzymują właściwe sygnały Consent Mode v2.
5	Zapewnij łatwy dostęp do ponownej zmiany ustawień.
6	Dopasuj politykę cookies lub prywatności do faktycznej konfiguracji strony.
7	Po dodaniu nowego narzędzia marketingowego ponów audyt i zaktualizuj konfigurację.

Najczęstsze błędy

Komunikat bez rzeczywistego wyboru

Formuła „korzystając ze strony, akceptujesz pliki cookie” nie zapewnia aktywnego wyboru w odniesieniu do technologii wymagających zgody.

Skrypty uruchamiane przed decyzją

Baner może wyglądać poprawnie, mimo że narzędzie analityczne lub piksel reklamowy wysyła dane od razu po otwarciu strony. Dlatego trzeba sprawdzić żądania sieciowe i działanie tagów, a nie tylko sam interfejs.

Utrudniona odmowa lub wycofanie zgody

Ukrycie odmowy w kolejnych warstwach albo brak łatwego powrotu do ustawień może podważać dobrowolność zgody.

Brak aktualizacji konfiguracji

Nowy chatbot, piksel lub narzędzie afiliacyjne może zmienić faktyczne działanie strony. Zarządzanie zgodami powinno więc być częścią stałego procesu utrzymania witryny.

Podsumowanie

Art. 399 PKE wymaga spojrzenia na pliki cookie jako na zagadnienie prawne i techniczne. Najważniejsze jest ustalenie, które technologie wymagają zgody, zablokowanie ich do czasu decyzji użytkownika oraz zapewnienie możliwości późniejszej zmiany wyboru.

Po przeprowadzeniu audytu można ocenić, czy obecny mechanizm zgody prawidłowo steruje skryptami. Jeśli rozważasz wdrożenie CMP, sprawdź funkcje CookiePilot i zestaw je z wymaganiami swojej strony. W przypadku niejasnych podstaw prawnych lub rozbudowanego ekosystemu reklamowego warto skonsultować konfigurację ze specjalistą.

FAQ

Czy art. 399 PKE zastąpił art. 173 Prawa telekomunikacyjnego?

Art. 399 PKE reguluje obecnie obszar przechowywania informacji w urządzeniu końcowym użytkownika oraz uzyskiwania dostępu do zapisanych informacji. Przed wejściem PKE podobne zagadnienie regulował art. 173 Prawa telekomunikacyjnego.

Czy niezbędne pliki cookie wymagają zgody?

Ustawa przewiduje wyjątki, między innymi dla czynności koniecznych do świadczenia usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną, której zażądał użytkownik. Zastosowanie wyjątku należy oceniać w odniesieniu do konkretnej funkcji i konfiguracji.

Czy Google Analytics wymaga zgody?

Ocena zależy od konfiguracji, zakresu przetwarzanych informacji i przyjętej podstawy prawnej. Nie należy zakładać, że każde wdrożenie jest identyczne. W praktyce warto zablokować uruchomienie narzędzia do czasu rozstrzygnięcia tej kwestii i prawidłowo skonfigurować sygnały zgody.

Czy sama polityka cookies wystarczy?

Dokument informacyjny nie zastępuje mechanizmu wyboru ani technicznego sterowania skryptami. Jeżeli określona technologia wymaga zgody, użytkownik powinien móc podjąć decyzję przed jej uruchomieniem.