Digital Omnibus a banery cookies: co proponuje Rada UE?
Rada UE proponuje wyjątki od zgody na wybrane cookies oraz prostsze odrzucanie zgody. Sprawdź, co może się zmienić na stronie firmowej i co nadal wymaga działania.
Digital Omnibus może ograniczyć liczbę banerów cookies na stronie firmowej, ale na razie nie zmienia obowiązujących zasad. 21 października 2026 r. Rada UE uzgodniła stanowisko negocjacyjne. Proponuje wyjątki od zgody dla kilku konkretnych celów, takich jak pomiar oglądalności na potrzeby własne czy zapewnienie bezpieczeństwa usługi. Projekt musi jeszcze przejść negocjacje z Parlamentem Europejskim, więc właściciel strony nie powinien dziś usuwać banera ani uruchamiać bez zgody narzędzi, które obecnie jej wymagają. Rada opisuje swój mandat i dalsze kroki.
W skrócie
- Rada proponuje wyjątki dla wybranych zastosowań, a nie powszechne zniesienie zgody na cookies.
- Projekt przewiduje łatwiejsze odrzucenie zgody jednym kliknięciem oraz zakaz ponawiania prośby przez co najmniej cztery miesiące po odmowie.
- To stanowisko do negocjacji. Do czasu przyjęcia i rozpoczęcia stosowania nowych przepisów zarządzaj zgodami zgodnie z aktualnymi zasadami.
Digital Omnibus i banery cookies: które uproszczenia proponuje Rada?
W stanowisku Rady wyjątki obejmują sytuacje, w których przechowywanie informacji na urządzeniu użytkownika lub dostęp do niej jest konieczny do określonego celu. Zmieniany art. 5 ust. 3 dyrektywy ePrivacy wymienia sześć celów: przesłanie komunikacji elektronicznej, świadczenie usługi wyraźnie zażądanej przez użytkownika, tworzenie anonimowych i zagregowanych informacji do pomiaru oglądalności usługi, pomiar oglądalności mediów, utrzymanie lub przywrócenie bezpieczeństwa usługi albo urządzenia oraz pomiar wyświetlania i skuteczności reklamy kontekstowej. Każde zastosowanie musi być ograniczone do danego celu i spełniać określone w mandacie warunki. Szczegóły zawiera art. 5 mandatu Rady.
Praktyczny przykład: jeśli strona używa pliku cookie wyłącznie do utrzymania sesji potrzebnej do działania funkcji, z której użytkownik korzysta, może mieścić się to w kategorii usługi wyraźnie zażądanej. Samo nazwanie narzędzia „niezbędnym” jednak nie przesądza, że wyjątek ma zastosowanie. Liczy się rzeczywisty cel i to, czy zastosowanie jest do niego konieczne.
| Zastosowanie na stronie | Co przewiduje stanowisko Rady | Co sprawdzić przed zmianą |
|---|---|---|
| Przesłanie komunikacji elektronicznej | Wyjątek, gdy przechowywanie informacji lub dostęp do niej jest ściśle konieczny do przesłania komunikacji | Czy narzędzie służy wyłącznie przesłaniu komunikacji |
| Sesja potrzebna do działania wybranej funkcji | Wyjątek dla usługi, w tym jej funkcji, wyraźnie zażądanej przez użytkownika | Czy cookie rzeczywiście służy tej funkcji i nie zbiera danych do innych celów |
| Statystyki korzystania z usługi | Wyjątek dla tworzenia anonimowych, zagregowanych informacji przez dostawcę usługi lub podmiot działający w jego imieniu | Czy wyniki są anonimowe i zagregowane oraz czy dane nie są dalej wykorzystywane, udostępniane osobom trzecim ani łączone z danymi od osób trzecich |
| Pomiar oglądalności mediów | Osobny wyjątek dla pomiaru zgodnego z art. 24 rozporządzenia 2024/1083 | Czy dane osobowe są pseudonimizowane po zebraniu, nie są dalej używane do innych celów, a pomiar nie śledzi aktywności poza mierzoną usługą lub treścią; udostępniane informacje nie mogą zawierać danych osobowych, poza przekazywaniem ich podmiotom działającym w imieniu dostawcy lub wspólnie z nim |
| Bezpieczeństwo usługi lub urządzenia | Wyjątek dla utrzymania lub przywrócenia bezpieczeństwa technicznego usługi albo urządzenia używanego do jej świadczenia | Czy narzędzie jest ściśle konieczne do bezpieczeństwa tej usługi lub urządzenia |
| Pomiar reklamy kontekstowej | Osobny wyjątek dla pomiaru reklamy opartej wyłącznie na treści widocznej podczas pojedynczej wizyty lub na pojedynczym zapytaniu | Czy reklama nie wiąże się z przetwarzaniem danych osobowych; osobno, czy pomiar nie obejmuje profilowania ani przetwarzania danych o wcześniejszej lub przyszłej aktywności, a zebrane dane są pseudonimizowane po zebraniu i nieprzetwarzane w innym celu |
Warunki pomiaru statystycznego są w mandacie szczegółowe. Dla pomiaru korzystania z usługi informacje mają być anonimowe i zagregowane, a dane nie mogą być przetwarzane w innym celu, udostępniane osobom trzecim ani łączone z danymi od osób trzecich. Pomiar oglądalności mediów to odrębny cel z własnymi ograniczeniami, w tym pseudonimizacją danych osobowych po zebraniu i zakazem śledzenia poza mierzoną usługą lub treścią.
Tabela streszcza cele zapisane w mandacie, ale nie zastępuje oceny konkretnego narzędzia. Jeśli skrypt łączy pomiar z profilowaniem, reklamą albo udostępnianiem danych, nie należy zakładać, że całość automatycznie obejmuje wyjątek dla statystyk.
Łatwiejsze odrzucenie i rzadsze pytania o zgodę
Dla sytuacji, w których zgoda nadal jest podstawą, projekt wymaga, by użytkownik mógł jej odmówić w łatwy i zrozumiały sposób, jednym kliknięciem lub równoważnym rozwiązaniem. Po odmowie strona nie powinna ponawiać prośby o zgodę w tym samym celu przez co najmniej cztery miesiące. Po udzieleniu zgody nie należy ponawiać prośby o ten sam cel przez okres, w którym administrator może zgodnie z prawem na niej polegać. Te rozwiązania opisuje zmieniany art. 5 ust. 3 dyrektywy ePrivacy w mandacie Rady.
Dla firmy oznacza to potencjalnie krótszy i mniej uciążliwy baner, ale nie zgodę domyślną. Jeśli użytkownik odmawia marketingowych cookies, projekt nie daje podstawy, by je mimo to uruchomić. To również część projektu, a nie działająca już reguła.
Co obowiązuje teraz na stronie firmowej?
Rada podkreśla, że jej mandat utrzymuje obecne ramy dotyczące cookies i innych technologii śledzących, a negocjacje z Parlamentem Europejskim dopiero mają się rozpocząć po przyjęciu przez Parlament własnego stanowiska. Oznacza to, że uchwała Rady nie jest jeszcze nowym prawem. Nie zmieniaj ustawień strony wyłącznie na podstawie zapowiedzi możliwych wyjątków.
W praktyce sprawdź, jakie skrypty uruchamia strona przed wyborem użytkownika. Analityka, reklamy, wtyczki czatu, mapy i osadzone materiały mogą korzystać z różnych technologii i pełnić więcej niż jedną funkcję. W przypadku zgody nadal ważne są jej warunki: Europejska Rada Ochrony Danych podkreśla, że zgoda powinna być dobrowolna, a odmowa nie może oznaczać automatycznej utraty dostępu do usługi w modelu „akceptuj albo odejdź”. Stanowisko EROD o zgodzie i pomiarze oglądalności dotyczy negocjacji wcześniejszego projektu ePrivacy, więc nie jest interpretacją obecnego Digital Omnibus. Przypomina jednak o znaczeniu realnego wyboru i ograniczenia celu pomiaru.
Co zrobić teraz: krótka lista dla właściciela strony
- Zrób spis technologii. Wypisz cookies i podobne mechanizmy, które uruchamia strona, wraz z nazwą dostawcy, celem oraz momentem aktywacji.
- Rozdziel cele. Oddziel działanie wymaganej funkcji, statystyki, reklamę, personalizację i narzędzia zewnętrzne. Jedna wtyczka może realizować kilka z nich.
- Sprawdź zachowanie przed wyborem. Zobacz, czy skrypty opcjonalne czekają na decyzję użytkownika, i czy odmowa jest równie prosta jak akceptacja.
- Zachowaj dowody ustawień. Zapisz wersję konfiguracji i datę audytu. Przy zmianie prawa będzie łatwiej ustalić, które narzędzia trzeba ponownie ocenić.
- Wróć do tematu po dalszych negocjacjach. Porównaj przyjęty tekst końcowy z mandatem Rady, szczególnie definicje celów, ograniczenia pomiaru i datę rozpoczęcia stosowania.
To praktyczna lista porządkowa, nie porada prawna dla konkretnego wdrożenia. Przy narzędziach reklamowych lub analitycznych, które łączą dane albo korzystają z podmiotów zewnętrznych, sprawdź dokumentację dostawcy i skonsultuj ocenę z osobą odpowiedzialną za ochronę danych.
FAQ
Czy mogę już usunąć baner cookies?
Nie na podstawie samego stanowiska Rady. To mandat negocjacyjny, a Rada zapowiada rozmowy z Parlamentem po ustaleniu jego stanowiska. Do czasu przyjęcia i stosowania przepisów stosuj dotychczasową ocenę narzędzi.
Czy statystyki strony będą mogły działać bez zgody?
Projekt przewiduje wyjątek dla tworzenia anonimowych i zagregowanych informacji o korzystaniu z usługi, gdy pomiar prowadzi dostawca usługi lub podmiot działający w jego imieniu. Dane nie mogą być dalej przetwarzane w innym celu, udostępniane osobom trzecim ani łączone z danymi od osób trzecich. Nie oznacza to automatycznego wyjątku dla każdego narzędzia analitycznego. Sprawdź, czy jego rzeczywisty zakres i dalsze użycie danych odpowiadają warunkom projektu.
Czy reklamy będą mogły korzystać z cookies bez zgody?
Mandat przewiduje wyjątek dla pomiaru wyświetlania i skuteczności reklamy kontekstowej, opartej wyłącznie na treści widocznej podczas pojedynczej wizyty lub na pojedynczym zapytaniu. Pomiar nie może obejmować profilowania ani śledzenia wcześniejszej lub przyszłej aktywności użytkownika, w tym między stronami lub usługami. To nie jest ogólny wyjątek dla reklamy behawioralnej ani śledzenia między stronami.
Co oznaczają cztery miesiące po odmowie?
Według art. 5 ust. 3 dyrektywy ePrivacy w mandacie Rady, jeśli użytkownik odmówi zgody na dany cel, dostawca nie powinien ponownie prosić o zgodę w tym samym celu przez co najmniej cztery miesiące. To zapis projektu, który może się zmienić w toku negocjacji.
Czy Digital Omnibus znosi RODO w sprawie cookies?
Nie. Rada pozostawia regulację cookies i innych technologii śledzących w dyrektywie ePrivacy. Jej mandat proponuje doprecyzowanie i dodanie celów, w których zgoda na przechowywanie informacji na urządzeniu lub dostęp do niej nie będzie wymagana, jeśli spełnione są warunki tych wyjątków.
Co dalej
Jeśli na stronie masz formularz lub chat, który zbiera dane potencjalnych klientów, przeczytaj też Chatbot a RODO: czy asystent AI na stronie jest bezpieczny. Przyda się do oddzielenia kwestii zgody na cookies od zasad przetwarzania danych przekazywanych w rozmowie.