Aktualizacja: w lutym 2025 roku Komisja Europejska wycofała swój projekt rozporządzenia ePrivacy. Wycofanie figuruje w załączniku IV do programu prac Komisji na 2025 rok, z uzasadnieniem, że porozumienie nie jest przewidywalne. Dla cookies oznacza to, że dyrektywa ePrivacy z 2002 roku i jej krajowe wdrożenia pozostają w mocy, a RODO nadal reguluje dane osobowe zbierane przez cookies. Zachowaliśmy ten artykuł jako zapis tego, co projekt zmieniłby, bo jego główne pomysły (zgoda na poziomie przeglądarki, wyjątek dla analityki własnej, zasady dla cookie walls) wciąż wracają w wytycznych organów i orzeczeniach sądów.

Historia: od dyrektywy do rozporządzenia, które nigdy nie weszło w życie

Historia przepisów ePrivacy w Europie zaczyna się na długo przed RODO. W 2002 roku Unia Europejska przyjęła dyrektywę ePrivacy (dyrektywa 2002/58/WE), znaną też jako dyrektywa o prywatności i łączności elektronicznej. Ustanowiła ona zasady przetwarzania danych osobowych w sektorze łączności elektronicznej: poufność komunikacji, dane o ruchu i lokalizacji, identyfikację numeru dzwoniącego i niezamówiony marketing. Opisujemy ją szczegółowo na naszej stronie o dyrektywie ePrivacy.

W 2009 roku dyrektywa została zmieniona przez tzw. dyrektywę cookie (dyrektywa 2009/136/WE), która wprowadziła obowiązek uzyskania świadomej zgody przed zapisaniem lub odczytaniem informacji na urządzeniu użytkownika: podstawę prawną dzisiejszych banerów cookie. Ponieważ była to dyrektywa, a nie rozporządzenie, każde państwo członkowskie wdrożyło ją inaczej. Niektóre przyjęły surowe zasady opt-in, inne dopuściły zgodę dorozumianą, a egzekwowanie różniło się między krajami.

Ta mozaika tworzyła zamieszanie dla firm działających transgranicznie i nierówną ochronę konsumentów. W styczniu 2017 roku Komisja Europejska zaproponowała zastąpienie dyrektywy rozporządzeniem stosowanym bezpośrednio we wszystkich państwach członkowskich. Pierwotny plan zakładał stosowanie od 25 maja 2018 roku, razem z RODO.

Tak się nie stało. Projekt stał się jednym z najbardziej spornych dossier w historii UE, z lobbingiem branży reklamowej, firm telekomunikacyjnych i wydawców z jednej strony oraz rzeczników prywatności i organizacji konsumenckich z drugiej. Rada uzgodniła mandat negocjacyjny w lutym 2021 roku, ale późniejsze trilogi nie przyniosły porozumienia. W lutym 2025 roku Komisja wycofała projekt w swoim programie prac na 2025 rok, wskazując na brak przewidywalnego porozumienia i dezaktualizację projektu wobec nowszych przepisów.

Dyrektywa a rozporządzenie: dlaczego to rozróżnienie miało znaczenie

Różnica między dyrektywą a rozporządzeniem UE nie jest tylko biurokratyczna:

  • Dyrektywa wyznacza cele, które państwa członkowskie muszą osiągnąć, ale pozostawia każdemu krajowi decyzję, jak wdrożyć je w prawie krajowym. Efektem jest 27 krajowych wdrożeń, każde z własnymi niuansami, mechanizmami egzekwowania i sankcjami.
  • Rozporządzenie jest stosowane bezpośrednio we wszystkich państwach członkowskich od dnia wejścia w życie. Nie ma etapu wdrożenia krajowego, a zasady są wszędzie takie same.

Pod rządami dyrektywy ePrivacy zasady dotyczące cookies nadal różnią się między krajami. We Francji CNIL opublikowała szczegółowe wytyczne i aktywnie egzekwuje zgodę na cookies. W Niemczech egzekwowanie jest bardziej rozproszone ze względu na federalną strukturę organów. W Czechach ÚOOÚ przyjmuje nieco mniej agresywne podejście. Rozporządzenie usunęłoby te różnice. Po wycofaniu projektu pozostają, a praktyczną odpowiedzią dla strony internetowej jest nadal prawo krajowe państw, do których się kieruje.

Czym ePrivacy różni się od RODO

RODO i ePrivacy to instrumenty komplementarne, nie alternatywne. Obejmują różne, choć nakładające się obszary:

  • RODO to ogólne rozporządzenie, które ma zastosowanie do każdego przetwarzania danych osobowych, niezależnie od nośnika. Podstawy opisuje nasz przewodnik po RODO.
  • ePrivacy to prawo sektorowe (lex specialis) dla łączności elektronicznej. Obejmuje poufność komunikacji i metadanych, wykorzystanie cookies i podobnych technologii, marketing bezpośredni przez e-mail i komunikatory oraz przetwarzanie danych o ruchu i lokalizacji przez operatorów.

W hierarchii prawa UE ePrivacy ma pierwszeństwo przed RODO w sprawach, które reguluje szczegółowo. Dotyczy to dziś dyrektywy i dotyczyłoby rozporządzenia: zasady, kiedy potrzebna jest zgoda na umieszczenie cookies, pochodzą z ePrivacy, a RODO reguluje, co dzieje się potem z danymi osobowymi. Trybunał Sprawiedliwości potwierdził ten podział w sprawie Planet49 (C-673/17).

Co rozporządzenie ePrivacy zmieniłoby w kwestii cookies

Projekt Komisji i stanowiska Rady przyjęte w latach 2017–2021 dają jasny obraz tego, co było na stole:

1. Ustawienia zgody na poziomie przeglądarki

Jedną z najważniejszych propozycji było zarządzanie zgodą na poziomie przeglądarki. Zamiast napotykać baner na każdej stronie, użytkownicy ustawialiby raz swoje preferencje w przeglądarce, a strony odczytywałyby je i respektowały. Koncepcja, czasem nazywana Do Not Track 2.0 lub Advanced Data Protection Control, ograniczyłaby zmęczenie banerami i dała użytkownikom trwałą kontrolę.

Szczegółów nigdy nie uzgodniono: które przeglądarki wdrożyłyby takie ustawienia, jak szczegółowe byłyby preferencje (wszystko albo nic czy cel po celu) i co stałoby się z przeglądarkami bez tej funkcji. Niektóre teksty traktowały ustawienia przeglądarki jako ważną zgodę; inne zachowywały banery na stronach jako rozwiązanie zapasowe.

2. Cookie walls i modele „zapłać albo wyraź zgodę”

Propozycje odnosiły się do kontrowersyjnej praktyki cookie walls, gdy strona blokuje dostęp do treści, dopóki użytkownik nie zaakceptuje wszystkich cookies. Na gruncie RODO ich legalność jest przedmiotem sporu, a niektóre organy uznają je za naruszenie wymogu dobrowolności zgody. Rozporządzenie mogłoby wyjaśnić sytuację, dopuszczając warunkowy dostęp w określonych okolicznościach.

Model „zapłać albo wyraź zgodę”, w którym użytkownik wybiera między akceptacją cookies reklamowych a opłatą za subskrypcję, został częściowo zaakceptowany przez niektóre organy (austriacki DSB i francuski CNIL wydały wytyczne, według których może być dopuszczalny pod pewnymi warunkami). Od rozporządzenia oczekiwano jaśniejszych zasad, prawdopodobnie z wymogiem, aby alternatywa dla zgody była rozsądna, nienadmierna i jasno komunikowana. Bez niego organy i sądy decydują indywidualnie.

3. Wyjątki dla analityki własnej (first-party)

Najbardziej wyczekiwaną przez operatorów stron zmianą byłoby zwolnienie z obowiązku zgody dla niektórych kategorii cookies. Według propozycji zgody nie wymagałyby:

  • Cookies ściśle niezbędne do usługi żądanej przez użytkownika (już przewidziane w dyrektywie)
  • Cookies analityki własnej używane wyłącznie do pomiaru oglądalności strony, pod warunkiem że dane nie są udostępniane osobom trzecim ani używane do profilowania
  • Cookies zapamiętujące preferencje użytkownika (język, dostępność) na czas sesji
  • Cookies służące do wykrywania i zapobiegania oszustwom lub zagrożeniom bezpieczeństwa

Wyjątek dla analityki własnej miałby duże znaczenie. Narzędzia takie jak Matomo czy Plausible w trybie first-party mogłyby działać bez zgody; Google Analytics prawdopodobnie by się nie kwalifikował, bo udostępnia dane Google. Wyjątek nigdy nie nadszedł, więc cookies analityczne nadal wymagają zgody. Alternatywy porównujemy w artykule analityka bez cookies.

4. Zasady dla technologii śledzących poza cookies

Rozporządzenie wprost objęłoby wszystkie formy śledzenia, w tym:

  • Fingerprinting przeglądarki
  • Piksele śledzące i web beacony
  • Pamięć lokalną (localStorage, sessionStorage, IndexedDB)
  • Fingerprinting urządzeń w aplikacjach mobilnych
  • Ultradźwiękowe śledzenie między urządzeniami

W praktyce zmieniało to mniej, niż się wydaje. Artykuł 5 ust. 3 obecnej dyrektywy mówi już o przechowywaniu informacji lub uzyskiwaniu dostępu do informacji przechowywanych w urządzeniu końcowym użytkownika, a organy stosują go dziś do pamięci lokalnej, pikseli i fingerprintingu.

5. Bezpośrednie egzekwowanie i kary

Podobnie jak RODO, rozporządzenie ustanowiłoby mechanizm bezpośredniego egzekwowania z dwustopniową strukturą kar:

  • Niższy próg: do 10 mln euro lub 2% światowego rocznego obrotu za mniej poważne naruszenia
  • Wyższy próg: do 20 mln euro lub 4% światowego rocznego obrotu za najpoważniejsze naruszenia, w tym brak ważnej zgody na cookies i technologie śledzące

Dziś kary za naruszenia dotyczące cookies nadal różnią się między państwami członkowskimi. Gdy w grę wchodzą dane osobowe, organy nakładają kary na podstawie RODO; w przeciwnym razie opierają się na krajowym wdrożeniu dyrektywy, gdzie maksymalne kary bywają skromne.

Co obowiązuje teraz

  • Dyrektywa ePrivacy 2002/58/WE, art. 5 ust. 3, poprzez prawo krajowe: zapisanie lub odczytanie informacji na urządzeniu użytkownika wymaga zgody, chyba że jest ściśle niezbędne do usługi, o którą użytkownik prosił.
  • RODO dla danych osobowych zbieranych przez cookies. Zgoda musi spełniać art. 4 pkt 11 i art. 7, zgodnie z wykładnią w wytycznych EROD 05/2020.
  • Wyrok TSUE w sprawie Planet49 (C-673/17): domyślnie zaznaczone pole nie jest zgodą, niezależnie od tego, czy w grę wchodzą dane osobowe.
  • Akt o rynkach cyfrowych (DMA) dla strażników dostępu, z którym Google powiązał swój wymóg Consent Mode v2.

Co to oznacza dla Twojej strony

  • Nadal przestrzegaj obecnych zasad. Nic nie zostało złagodzone: zgoda przed cookies innymi niż niezbędne, odmowa tak łatwa jak akceptacja, polityka cookies. Lista krok po kroku jest w naszej liście kontrolnej zgodności cookies.
  • Audytuj wszystkie technologie śledzące, w tym localStorage, piksele i skrypty fingerprintingu; dyrektywa obejmuje je wszystkie. Automatyczny skaner cookies zrobi to za Ciebie.
  • Przejrzyj marketing bezpośredni. Krajowe zasady e-mail marketingu pozostają w mocy; zadbaj o jasną zgodę i działającą rezygnację z subskrypcji.
  • Rozważ analitykę przyjazną prywatności. Wyjątek first-party nigdy nie nadszedł, ale narzędzia bez cookies nie potrzebują zgody, o ile niczego nie zapisują na urządzeniu.
  • Śledź EROD i swój krajowy organ nadzorczy. Regulacja cookies rozwija się teraz przez wytyczne i decyzje, nie przez nową ustawę.

Consentio utrzymuje Twój baner w zgodzie z zasadami obowiązującymi dzisiaj: RODO, dyrektywą ePrivacy i jej krajowymi wdrożeniami. Jeśli zasady się zmienią, odzwierciedlimy to w banerze za Ciebie.

Źródła