Pliki cookies - czym są, jak je usunąć i czego wymaga prawo

Pliki cookies to jedno z tych pojęć, które każdy widzi codziennie i prawie nikt nie sprawdza, co właściwie znaczy. Baner ze zgodą wyskakuje na każdej stronie, klikamy go odruchowo, a potem dziwimy się, że reklama wie o wczorajszym wyszukiwaniu.

Ten tekst odpowiada na dwa różne pytania, bo zadają je dwie różne osoby. Pierwsza chce wiedzieć, czym są ciasteczka i jak je usunąć z przeglądarki albo telefonu. Druga prowadzi stronę i musi wiedzieć, czego wymaga od niej prawo. Obie odpowiedzi są poniżej, w tej kolejności.

Uwaga na wstępie: część prawna ma charakter informacyjny i opiera się na stanie na chwilę pisania. Przy konkretnym wdrożeniu warto skonsultować się z prawnikiem, bo szczegóły zależą od tego, jakie narzędzia zbierają dane w Twoim serwisie.

Czym są pliki cookies

Pliki cookies, po polsku ciasteczka, to niewielkie pliki tekstowe, które strona internetowa zapisuje w Twojej przeglądarce. Zawierają zwykle krótki identyfikator i kilka wartości, na przykład informację, że jesteś zalogowany albo że w koszyku leżą trzy produkty.

Sam plik cookie nie jest programem. Nie potrafi nic uruchomić, nie skanuje dysku i nie jest wirusem. To notatka, którą serwis zostawia sobie na później, żeby nie musieć pytać Cię o to samo przy każdym kliknięciu.

Jak działają pliki cookies

Przy pierwszej wizycie serwer wysyła do przeglądarki plik cookie z identyfikatorem. Przeglądarka zapisuje go i przy każdym kolejnym żądaniu do tej samej domeny odsyła z powrotem. Serwer rozpoznaje identyfikator i wie, że to ta sama osoba co wcześniej.

Dlatego po zalogowaniu nie musisz podawać hasła na każdej podstronie, a koszyk nie znika przy przejściu do kolejnej kategorii. Cała mechanika opiera się na tym, że przeglądarka pamięta niewielki plik przypisany do konkretnej domeny.

Cookies sesyjne i trwałe

Pliki cookies sesyjne żyją do zamknięcia przeglądarki. Obsługują logowanie i koszyk zakupowy, po czym znikają. Pliki trwałe mają ustawiony czas ważności, od kilku dni do wielu miesięcy, i pozostają na urządzeniu, dopóki nie wygasną albo dopóki ich nie usuniesz.

Cookies własne i firm trzecich

Cookies własne ustawia domena, którą właśnie odwiedzasz. Cookies firm trzecich pochodzą z innych domen, których skrypty działają na stronie: narzędzi analitycznych, systemów reklamowych, wtyczek społecznościowych. To ta druga grupa odpowiada za śledzenie między witrynami i to ona budzi największe wątpliwości.

Czym cookies nie są, choć bywają mylone

Obok ciasteczek działają inne mechanizmy zapisywania danych w urządzeniu: pamięć lokalna przeglądarki, znaczniki w postaci niewidocznych obrazków, odciski przeglądarki. Prawo traktuje je bardzo podobnie do cookies, więc wyłączenie samych ciasteczek nie zawsze oznacza, że nikt nic nie zapisuje.

Do czego służą pliki cookies

Pliki cookie dzielą się na trzy grupy, rozdzielane w praktyce w każdym banerze zgody.

Niezbędne

Logowanie, koszyk, zapamiętanie wybranego języka, zabezpieczenie formularza przed nadużyciem, równoważenie obciążenia serwera. Bez nich serwis przestaje działać poprawnie, dlatego traktuje się je inaczej niż pozostałe. Więcej o technicznej stronie zakupów w tekście o płatnościach online.

Analityczne

Zliczanie odwiedzin, ścieżek po stronie, źródeł ruchu. To one zasilają raporty w Google Analytics. Bez zgody użytkownika ich nie uruchamiasz, a to oznacza, że statystyki nigdy nie obejmują całego ruchu.

Marketingowe

Remarketing, mierzenie skuteczności kampanii, ograniczanie liczby wyświetleń tej samej reklamy, rozliczenia w marketingu afiliacyjnym. Ta grupa jest najbardziej wrażliwa, bo najczęściej opiera się na cookies firm trzecich.

Jak usunąć i wyłączyć pliki cookies

Część praktyczna. W każdej przeglądarce da się wyczyścić zapisane pliki cookie i ustawić, czy w ogóle mają być przyjmowane oraz jak długo mają być przechowywane.

Google Chrome na komputerze

Wejdź w menu z trzema kropkami, potem Ustawienia i sekcję Prywatność i bezpieczeństwo. Znajdziesz tam opcję usuwania danych przeglądania, gdzie zaznaczasz pliki cookie i inne dane witryn oraz wybierasz zakres czasu. W tej samej sekcji ustawisz, czy blokować cookies firm trzecich.

Firefox i Edge

W Firefoksie odpowiada za to sekcja Prywatność i bezpieczeństwo, opcja Ciasteczka i dane stron, przycisk czyszczenia danych. W Edge wygląda to niemal identycznie jak w Chrome, bo obie przeglądarki opierają się na tym samym silniku, więc ścieżka prowadzi przez Ustawienia i sekcję prywatności.

Safari na komputerze Mac i na iPhonie

Na komputerze wybierz Safari, potem Ustawienia i zakładkę Prywatność, gdzie zarządzasz danymi witryn. Na iPhonie ścieżka biegnie inaczej: Ustawienia systemowe, dalej Safari i opcja usuwania historii oraz danych witryn.

Android i przeglądarka w telefonie

W Chrome na Androidzie otwórz menu, wybierz Ustawienia, potem Prywatność i bezpieczeństwo oraz usuwanie danych przeglądania. Zwróć uwagę, że aplikacje mają własne dane, niezależne od przeglądarki, więc wyczyszczenie ciasteczek w Chrome nie dotyczy tego, co zapisała aplikacja sklepu czy serwisu społecznościowego.

Tryb incognito i tryb prywatny

Tryb prywatny nie oznacza, że nic nie jest zapisywane. Cookies powstają normalnie, tylko są usuwane po zamknięciu okna. Twój dostawca internetu, pracodawca i odwiedzane serwisy nadal widzą ruch, więc to narzędzie do niepozostawiania śladów na urządzeniu, a nie do anonimowości.

Co się stanie po usunięciu ciasteczek

Wylogujesz się ze wszystkich serwisów, znikną koszyki i zapamiętane preferencje dla poszczególnych witryn, a bannery zgody pojawią się od nowa. Nic nie zostanie zepsute, ale przez chwilę korzystanie z części stron będzie mniej wygodne. Blokowanie wszystkich cookies, także niezbędnych, potrafi natomiast uniemożliwić zalogowanie się czy dokończenie zakupu.

Pliki cookies a prawo w Polsce

Tu zaczyna się część dla osób prowadzących stronę. I tu najczęściej trafia się na nieaktualne informacje, bo podstawa prawna zmieniła się niedawno.

Prawo komunikacji elektronicznej zamiast prawa telekomunikacyjnego

Do listopada 2024 roku cookies regulował artykuł 173 prawa telekomunikacyjnego, i właśnie ten przepis nadal cytuje większość polskich poradników oraz spora część polityk cookies. Tymczasem ustawa Prawo komunikacji elektronicznej weszła w życie 10 listopada 2024 roku i zastąpiła poprzednie regulacje. Kwestię zapisywania informacji w urządzeniu końcowym opisuje teraz artykuł 399 tej ustawy.

Sama zasada się nie zmieniła: przechowywanie informacji w urządzeniu użytkownika oraz dostęp do informacji już tam zapisanych są dopuszczalne, jeśli użytkownik został wcześniej jasno poinformowany o celu i sposobie działania, a następnie wyraził zgodę. Jeśli w Twojej polityce cookies widnieje odwołanie do prawa telekomunikacyjnego, dokument wymaga aktualizacji.

Kiedy cookies stają się danymi osobowymi

Wtedy, gdy pozwalają wyodrębnić i rozpoznać konkretną osobę, choćby przez sam identyfikator. W praktyce dotyczy to większości cookies analitycznych i marketingowych. Od tego momentu obowiązują przepisy o ochronie danych osobowych, a zgoda musi spełniać ich wymogi.

Jak musi wyglądać zgoda

Musi być dobrowolna, konkretna, świadoma i jednoznaczna, czyli wyrażona aktywnym działaniem. Kilka konsekwencji, które w polskich serwisach bywają lekceważone: brak zaznaczonych z góry pól, brak domniemania zgody z faktu przewijania strony, rozdzielenie celów tak, żeby dało się przyjąć analitykę i odrzucić marketing, oraz możliwość wycofania zgody równie łatwo jak jej udzielenia.

Istotny jest też moment. Skrypty wymagające zgody nie mogą uruchomić się przed jej uzyskaniem. Automatyczne załadowanie narzędzi analitycznych przy wejściu na stronę, a dopiero potem pokazanie banera, jest błędem niezależnie od tego, jak dobrze ten baner wygląda.

Które cookies nie wymagają zgody

Wyłącznie te niezbędne do świadczenia usługi, o którą użytkownik sam poprosił: obsługa sesji, logowanie, koszyk, podstawowe zabezpieczenia. Analityka do tej kategorii nie należy, nawet jeśli służy wyłącznie wewnętrznym statystykom. Warto też pamiętać o obowiązku informacyjnym, który istnieje niezależnie od zgody.

Banner cookies, który nie łamie przepisów

Baner zgody na pliki cookie to element techniczny, który najczęściej decyduje o zgodności całego serwisu. Rozwiązania da się wdrożyć na każdym silniku, także w WordPressie.

Czego unikać

Banera z jednym przyciskiem akceptacji i bez realnej możliwości odmowy. Kolorowego przycisku zgody przy szarym, ledwo widocznym przycisku odrzucenia, bo to typowy przykład projektowania wprowadzającego w błąd. Odmowy ukrytej trzy kliknięcia głębiej. Blokowania dostępu do treści do momentu wyrażenia zgody, o ile nie ma na to szczególnego uzasadnienia. Warto tu wykorzystać zasady opisane w tekście o projektowaniu przycisków, tylko odwrotnie niż zwykle: oba przyciski mają być równorzędne.

Wycofanie zgody

Użytkownik musi mieć możliwość zmiany decyzji po fakcie. W praktyce oznacza to stały odnośnik w stopce albo małą ikonę wywołującą ponownie panel ustawień. Sam link do polityki cookies tego nie zapewnia, bo nie zmienia stanu zgód.

Narzędzia do zarządzania zgodami

Platformy zarządzania zgodami blokują skrypty do momentu akceptacji i zapisują dowód, kto i kiedy wyraził zgodę oraz w jakim zakresie. Ten dowód jest istotny, bo w razie kontroli obowiązek wykazania zgody leży po stronie serwisu. Warto sprawdzić, czy narzędzie faktycznie blokuje skrypty, a nie tylko wyświetla komunikat.

Baner a szybkość strony

Skrypt banera ładuje się jako jeden z pierwszych i potrafi wyraźnie opóźnić wyświetlenie treści. Warto to zmierzyć, bo dobrze napisana strona traci tu czasem więcej, niż zyskała na całej wcześniejszej optymalizacji. Więcej w tekście o tym, jak przyspieszyć stronę.

Polityka cookies i polityka prywatności

Dwa dokumenty, które często są łączone w jeden, i to jest dopuszczalne, o ile nie gubi się przy tym treści.

Co powinna zawierać polityka cookies

Informację, jakie kategorie plików serwis wykorzystuje i w jakim celu, jak długo są przechowywane, jakie narzędzia zewnętrzne je ustawiają i kto jest ich dostawcą, a także instrukcję zarządzania zgodami i ustawieniami przeglądarki. Ogólnikowe stwierdzenie o używaniu plików cookie w celach statystycznych to za mało.

Czym różni się od polityki prywatności

Polityka prywatności obejmuje całość przetwarzania danych osobowych: kto jest administratorem, na jakiej podstawie i po co przetwarza dane, komu je przekazuje, jak długo przechowuje i jakie prawa ma osoba, której dane dotyczą. Polityka cookies jest wycinkiem tego obrazu dotyczącym technologii zapisu w urządzeniu. Podobnie jak regulamin sklepu, oba dokumenty warto przygotować pod konkretny serwis, a nie kopiować z innej strony.

Consent Mode w narzędziach Google

Jeśli korzystasz z Google Ads albo z analityki Google i kierujesz działania do odbiorców z Europejskiego Obszaru Gospodarczego, dotyczy Cię wymóg przekazywania informacji o zgodzie do narzędzi Google. Ten mechanizm, znany jako Consent Mode w wersji drugiej, obowiązuje reklamodawców od marca 2024 roku.

W praktyce oznacza to, że narzędzie zarządzania zgodami musi przekazywać do skryptów Google stan zgody, a nie tylko blokować ich uruchomienie. Bez tego część funkcji pomiarowych i remarketingowych przestaje działać dla ruchu z tego obszaru, a dane w raportach stają się niepełne.

Co się stało z wycofaniem ciasteczek firm trzecich

To wątek, w którym większość polskich artykułów pozostała przy nieaktualnym stanie rzeczy. Google przez lata zapowiadał usunięcie cookies firm trzecich z Chrome, wyznaczał terminy i je przesuwał. W lipcu 2024 roku firma poinformowała, że rezygnuje z pierwotnego planu, a w 2025 roku wycofała się także z rozwiązania zapasowego. Chrome nadal domyślnie obsługuje ciasteczka firm trzecich.

Nie zmienia to jednak obowiązków prawnych ani na jotę. Konieczność uzyskania zgody wynika z przepisów o ochronie danych i o komunikacji elektronicznej, a nie z domyślnych ustawień przeglądarki. Warto o tym pamiętać, bo argument w rodzaju ciasteczka i tak znikają przestał być prawdziwy, a nigdy nie zwalniał z obowiązków.

Drugi wniosek jest praktyczny. Jeśli firma odkładała porządki w zgodach, czekając na to, że problem sam się rozwiąże, to czekanie się skończyło. Cookies zostają, przepisy zostają, a nadzór nad ich stosowaniem raczej się nie rozluźni.

Najczęstsze błędy

Pierwszy: skrypty analityczne i reklamowe uruchamiane przed wyrażeniem zgody. Najczęstszy i najłatwiejszy do wykrycia, bo widać go w narzędziach dla programistów w przeglądarce.

Drugi: baner bez możliwości odrzucenia albo z odmową ukrytą za dodatkowymi kliknięciami. Zdarza się to zaskakująco często serwisom, które w pozostałych obszarach starannie dbają o optymalizację konwersji.

Trzeci: polityka cookies skopiowana z innej strony, wymieniająca narzędzia, których serwis nie używa, i pomijająca te, które faktycznie działają.

Czwarty: odwołanie do artykułu 173 prawa telekomunikacyjnego w dokumentach, mimo że od listopada 2024 roku obowiązuje Prawo komunikacji elektronicznej.

Piąty: brak możliwości wycofania zgody po jej udzieleniu.

Szósty: przekonanie, że wystarczy zamówić baner i temat jest zamknięty. Zgody trzeba przeglądać po każdej zmianie w narzędziach na stronie, bo nowa wtyczka potrafi cicho dodać własne cookies.

Najczęstsze pytania o pliki cookies

Czy pliki cookies są szkodliwe

Same z siebie nie. To pliki tekstowe, nie programy, więc nie mogą uruchomić kodu ani zainfekować urządzenia. Problemem nie jest technologia, lecz zakres śledzenia, jaki umożliwiają cookies firm trzecich.

Jak często warto czyścić ciasteczka

Nie ma potrzeby czyścić plików cookie regularnie. Warto wtedy, gdy strona zachowuje się dziwnie, nie da się zalogować albo chcesz ograniczyć personalizację reklam. Po czyszczeniu wylogujesz się ze wszystkich serwisów.

Czy blokować wszystkie pliki cookies

Lepiej nie. Zablokowanie także tych niezbędnych uniemożliwi logowanie i zakupy w wielu serwisach. Sensowny kompromis to blokowanie cookies firm trzecich przy pozostawieniu własnych.

Czy za brak zgodnego banera grożą kary

Naruszenia przepisów o ochronie danych osobowych są obwarowane sankcjami finansowymi, a organ nadzorczy prowadzi postępowania także w sprawach dotyczących zgód na cookies. Wysokość zależy od skali i charakteru naruszenia, dlatego nie ma jednej kwoty, którą można by tu podać.

Czy polityka cookies może być częścią polityki prywatności

Może, o ile zawiera wszystkie wymagane informacje o kategoriach plików, celach, czasie przechowywania i dostawcach narzędzi. Połączenie dokumentów nie zwalnia z obowiązku ich kompletności.

Czy analityka wymaga zgody, jeśli używam jej tylko do własnych statystyk

Tak. Cel wewnętrzny nie czyni z narzędzia analitycznego elementu niezbędnego do świadczenia usługi. Alternatywą bywa analityka bez zapisu w urządzeniu użytkownika, ale to osobna decyzja techniczna do sprawdzenia z prawnikiem.

Czy sklep internetowy ma inne obowiązki niż strona firmowa

Zasady dotyczące plików cookie są takie same, ale w sklepie internetowym, o którego starcie pisałem w tekście o tym, jak otworzyć sklep internetowy, działa zwykle więcej narzędzi: analityka, systemy reklamowe, czaty, porównywarki, programy partnerskie. Więcej skryptów to więcej cookies do opisania i więcej miejsc, w których łatwo o niezgodność.

Jak często aktualizować politykę cookies

Politykę cookies aktualizuj po każdej zmianie w zestawie narzędzi na stronie oraz przy zmianie przepisów. Praktyczny rytm to przegląd raz na kwartał plus doraźnie po wdrożeniu nowej wtyczki albo nowego systemu reklamowego.