Szybka odpowiedź: Dyrektywa ePrivacy i RODO to dwa odrębne, ale pokrywające się przepisy UE, które wspólnie regulują zgodę na ciasteczka i prywatność w Internecie. Dyrektywa ePrivacy ustala szczegółowe zasady dotyczące umieszczania ciasteczek na urządzeniach użytkowników, podczas gdy RODO definiuje standardy dotyczące ważnej zgody. Większość stron internetowych działających w UE musi przestrzegać obu przepisów, a od 2026 roku planowana jest duża reforma legislacyjna, która może zintegrować zasady dotyczące ciasteczek bezpośrednio z RODO.
Kluczowe informacje
- Dyrektywa ePrivacy (2002, zaktualizowana w 2009) jest głównym aktem prawnym wymagającym zgody przed ustawieniem ciasteczek nieistotnych; RODO (2018) definiuje, co oznacza "ważna zgoda".
- Oba przepisy obowiązują jednocześnie na większości stron internetowych skierowanych do UE, jeden nie zastępuje drugiego.
- Proponowana regulacja ePrivacy została formalnie wycofana przez Komisję Europejską w lutym 2025 roku.
- Pakiet Cyfrowy, zaprezentowany w listopadzie 2025 roku, proponuje zintegrowanie zasad dotyczących zgody na ciasteczka z RODO za pomocą nowych artykułów 88a i 88b.
- Ciasteczka istotne (ściśle niezbędne) są zwolnione z wymogów zgody na mocy dyrektywy ePrivacy.
- Dyrektywa ePrivacy została różnie wdrożona w różnych państwach członkowskich UE, co stworzyło różnice w zgodności w zależności od kraju.
- Badanie z 2026 roku wykazało, że tylko 30,66% stron internetowych miało przycisk "odrzuć wszystkie", co wskazuje na powszechne niedostosowanie [7].
- Banery zgody na ciasteczka mogą spełniać wymagania obu przepisów, ale tylko jeśli spełniają warunki RODO dotyczące zgody dobrowolnej, konkretnej, poinformowanej i jednoznacznej.
- Platformy zarządzania zgodami (CMP) będą musiały dostosować się do sygnałów zgody na poziomie przeglądarki w ramach proponowanych zmian w RODO [3].
Jaka jest różnica między dyrektywą ePrivacy a RODO
Dyrektywa ePrivacy i RODO pełnią różne, ale komplementarne funkcje. Dyrektywa ePrivacy (Dyrektywa 2002/58/WE, zmieniona przez 2009/136/WE) jest prawem sektorowym regulującym prywatność komunikacji elektronicznej, w tym użycie ciasteczek i podobnych technologii śledzenia. RODO jest ogólnym rozporządzeniem o ochronie danych, które ustala ramy prawne dla przetwarzania danych osobowych we wszystkich sektorach, w tym definicję i wymagania dotyczące ważnej zgody.
Kluczowa różnica:
| Cecha | Dyrektywa ePrivacy | RODO |
|---|---|---|
| Forma prawna | Dyrektywa UE (wymaga krajowego wdrożenia) | Rozporządzenie UE (bezpośrednio stosowane) |
| Główny cel | Ciasteczka, śledzenie, komunikacja elektroniczna | Wszystkie przetwarzanie danych osobowych |
| Standard zgody | Wymaga zgody na ciasteczka nieistotne | Definiuje, co oznacza ważna zgoda |
| Organ egzekwujący | Krajowe organy regulacyjne telekomunikacji/DPA | Krajowe organy ochrony danych |
| Status (2026) | Nadal w mocy; reforma w toku | W mocy; proponowane zmiany w toku |
Ponieważ dyrektywa ePrivacy jest dyrektywą, a nie rozporządzeniem, każde państwo członkowskie UE wdrożyło ją do krajowego prawa w różny sposób, co prowadzi do różnic w egzekwowaniu i specyficznych wymaganiach w różnych krajach [6].
Czy musisz przestrzegać zarówno dyrektywy ePrivacy, jak i RODO, czy tylko jednej
Oba przepisy obowiązują jednocześnie, a przestrzeganie jednego nie zaspokaja wymogów drugiego. Dyrektywa ePrivacy informuje, kiedy potrzebujesz zgody (przed ustawieniem ciasteczek nieistotnych); RODO informuje, jak ta zgoda musi wyglądać (dobrowolna, konkretna, poinformowana, jednoznaczna i możliwa do wycofania w dowolnym momencie) [5].
Pomyśl o tym w ten sposób: dyrektywa ePrivacy to wyzwalacz, a RODO to standard. Baner ciasteczek, który technicznie pojawia się przed załadowaniem ciasteczek, ale używa wstępnie zaznaczonych pól, narusza wymogi zgody RODO, nawet jeśli nominalnie spełnia obowiązek powiadomienia dyrektywy ePrivacy.
Typowy błąd: Zakładanie, że powiadomienie o ciasteczkach (informujące użytkowników o istnieniu ciasteczek) jest wystarczające. Zgodnie z obiema ramami, pasywne powiadomienie nie jest zgodą na ciasteczka nieistotne.
Jak dyrektywa ePrivacy odnosi się do ciasteczek na Twojej stronie internetowej
Dyrektywa ePrivacy wymaga, aby operatorzy stron internetowych uzyskali wcześniejszą, poinformowaną zgodę przed przechowywaniem lub uzyskiwaniem dostępu do informacji na urządzeniu użytkownika, co obejmuje ciasteczka, piksele, lokalne przechowywanie i podobne technologie [6]. Ten obowiązek dotyczy niezależnie od tego, czy zbierane dane kwalifikują się jako dane osobowe zgodnie z RODO.
Praktycznie oznacza to:
- Żadne ciasteczka nieistotne nie mogą być aktywowane przed podjęciem przez użytkownika pozytywnej akcji w celu wyrażenia zgody.
- Mechanizm zgody musi być jasny i nie może być połączony z akceptacją warunków korzystania z usługi.
- Użytkownicy muszą mieć możliwość wycofania zgody tak łatwo, jak ją wyrazili.
Dyrektywa dotyczy każdej usługi skierowanej do użytkowników UE, niezależnie od tego, gdzie znajduje się operator strony internetowej.
Jakie ciasteczka wymagają zgody na mocy dyrektywy ePrivacy w porównaniu do RODO
Zgodnie z dyrektywą ePrivacy zgoda jest wymagana dla wszystkich ciasteczek, z wyjątkiem tych, które są "ściśle niezbędne" dla usługi wyraźnie żądanej przez użytkownika. Zgodnie z RODO każde przetwarzanie danych osobowych wymaga podstawy prawnej, a w przypadku ciasteczek śledzących ta podstawa prawie zawsze opiera się na zgodzie.
Kategorie ciasteczek i wymagania dotyczące zgody:
- Ciasteczka ściśle niezbędne (zarządzanie sesją, stan logowania, koszyk zakupowy): Zgoda nie jest wymagana na mocy dyrektywy ePrivacy. Może mieć zastosowanie podstawa prawna RODO dotycząca uzasadnionego interesu lub wykonania umowy.
- Ciasteczka analityczne (np. śledzenie wyświetleń stron, które identyfikują użytkowników): Zgoda wymagana na mocy obu ram.
- Ciasteczka marketingowe i reklamowe (targetowanie behawioralne, retargeting): Zgoda wymagana na mocy obu ram, to najwyższa kategoria ryzyka w zakresie egzekwowania.
- Ciasteczka funkcjonalne (preferencje językowe, ustawienia UI): Dyskutowane; jeśli przetwarzają dane osobowe, zgoda jest najbezpieczniejszym podejściem.
Czy dyrektywa ePrivacy jest zastępowana, a co to jest regulacja ePrivacy
Dyrektywa ePrivacy nie jest zastępowana przez RODO. Jednak proponowana regulacja ePrivacy miała na celu zastąpienie dyrektywy bezpośrednio stosowanym prawem w całej UE. Ta propozycja została formalnie wycofana przez Komisję Europejską w lutym 2025 roku, powołując się na brak przewidywalnej zgody wśród państw członkowskich oraz na przestarzały charakter propozycji w świetle ostatnich zmian technologicznych [2].
Dyrektywa ePrivacy a proponowana regulacja ePrivacy: Regulacja byłaby bezpośrednio wiążąca we wszystkich państwach członkowskich (eliminując różnice w krajowym wdrożeniu), ale nigdy nie została przyjęta.
W jej miejsce Komisja Europejska wprowadziła Pakiet Cyfrowy 19 listopada 2025 roku. Pakiet ten proponuje zintegrowanie zasad dotyczących zgody na ciasteczka bezpośrednio z RODO poprzez nowe artykuły 88a i 88b [2][3]. Artykuł 88a definiowałby scenariusze, w których zgoda nie jest wymagana (np. w przypadku przesyłania komunikacji elektronicznej lub usług wyraźnie żądanych przez użytkownika). Artykuł 88b wprowadziłby wymagania dotyczące automatycznych, czytelnych maszynowo mechanizmów zgody, w tym sygnałów zgody na poziomie przeglądarki [3].
Na lipiec 2026 roku Pakiet Cyfrowy wciąż przechodzi procesy legislacyjne, a ostateczny tekst oczekiwany jest pod koniec 2026 roku lub na początku 2027 roku [4].
Czy ciasteczka istotne potrzebują zgody na mocy dyrektywy ePrivacy
Nie. Ciasteczka ściśle niezbędne są wyraźnie zwolnione z wymogu zgody dyrektywy ePrivacy. Są to ciasteczka, bez których usługa, o którą użytkownik aktywnie prosił, nie może funkcjonować, na przykład identyfikatory sesji, tokeny uwierzytelniające i ciasteczka koszyka zakupowego [6].
Przypadek graniczny: "Niezbędne" jest interpretowane wąsko. Ciasteczko, które poprawia wydajność lub umożliwia analitykę, nie jest ściśle niezbędne, nawet jeśli operator uważa je za operacyjnie ważne. W razie wątpliwości lepiej wymagać zgody.
Jak uzyskać ważną zgodę na ciasteczka, która spełnia wymagania obu regulacji
Ważna zgoda zgodnie z RODO (a zatem także zgodnie z dyrektywą ePrivacy, która odwołuje się do standardów zgody RODO) musi być:
- Dobrowolna, bez ścian zgody ani przymusowego łączenia z akceptacją warunków.
- Konkretna, oddzielna zgoda dla każdej kategorii ciasteczek (analityczne, marketingowe itp.).
- Poinformowana, użytkownicy muszą wiedzieć, co robią ciasteczka i kto przetwarza dane.
- Jednoznaczna, wymagana jest pozytywna akcja; wstępnie zaznaczone pola są nieważne.
- Możliwa do wycofania, wycofanie zgody musi być tak łatwe, jak jej udzielenie [5].
Dobrze skonfigurowana Platforma Zarządzania Zgodami (CMP) obsługuje ten proces. Biscotti CMP jest zaprojektowana, aby wspierać te wymagania, w tym szczegółowe kategorie zgody i rejestrowanie zgody do celów audytowych. Wraz z Pakietem Cyfrowym proponującym sygnały zgody na poziomie przeglądarki na mocy artykułu 88b, CMP będą musiały również uwzględniać i respektować sygnały z ustawień przeglądarki, co stanowi znaczną zmianę operacyjną dla branży [3].
Czy banery ciasteczek mogą spełniać wymagania zarówno dyrektywy ePrivacy, jak i RODO
Tak, ale tylko jeśli baner jest poprawnie zaprojektowany. Baner ciasteczek, który spełnia standardy zgody RODO, również spełni wymóg zgody dyrektywy ePrivacy, ponieważ dyrektywa odwołuje się do definicji zgody RODO dla państw członkowskich UE [5][6].
Zgodny baner musi:
- Prezentować wyraźną opcję "Akceptuj" i "Odrzuć" (lub równoważną) z równą wizualną widocznością.
- Nie stosować ciemnych wzorców (np. utrudniając znalezienie opcji "Odrzuć" w porównaniu do "Akceptuj").
- Blokować ciasteczka nieistotne, aż do momentu wyrażenia zgody.
- Rejestrować i przechowywać zgodę z oznaczeniem czasowym i odniesieniem do wersji.
- Umożliwiać użytkownikom zmianę preferencji w dowolnym momencie.
Badanie z 2026 roku wykazało, że tylko 30,66% stron internetowych miało przycisk "odrzuć wszystkie", co oznacza, że większość badanych stron prawdopodobnie nie spełnia oczekiwań dotyczących zgodności [7].
Czy są kraje, w których dyrektywa ePrivacy nie ma zastosowania
Dyrektywa ePrivacy ma zastosowanie we wszystkich państwach członkowskich UE. Jednak ponieważ jest to dyrektywa (a nie rozporządzenie), każde państwo wdrożyło ją do krajowego prawa z pewnymi różnicami w zakresie, priorytetach egzekwowania i karach [6]. Kraje spoza UE, w tym Wielka Brytania po Brexicie, mają swoje własne odpowiedniki przepisów (Brytyjskie przepisy o prywatności i komunikacji elektronicznej, czyli PECR).
Wybierz swoją bazę zgodności w zależności od lokalizacji swoich użytkowników, a nie tylko miejsca rejestracji swojej firmy. Firma z siedzibą w USA z istotnym ruchem z UE musi przestrzegać zarówno dyrektywy ePrivacy (zgodnie z wdrożeniem w odpowiednich państwach członkowskich), jak i RODO.
Co się stanie, jeśli nie przestrzegasz zasad dyrektywy ePrivacy
Niezgodność z dyrektywą ePrivacy (zgodnie z jej wdrożeniem w krajowym prawie) może skutkować karami i działaniami egzekucyjnymi ze strony krajowych organów regulacyjnych. Kary różnią się w zależności od państwa członkowskiego, ale mogą być znaczne, a naruszenia RODO spowodowane nieważną zgodą (na przykład przetwarzanie danych osobowych za pomocą ciasteczek śledzących bez ważnej podstawy prawnej) mogą wiązać się z karami do 4% rocznego obrotu globalnego lub 20 milionów euro, w zależności od tego, która kwota jest wyższa [5].
Krajowe organy ochrony danych (DPA) nadal aktywnie prowadzą dochodzenia i nakładają kary na organizacje za nieprawidłowości w zakresie zgody na ciasteczka [1]. Działania egzekucyjne dotyczyły zarówno dużych platform, jak i małych operatorów.
Typowe błędy w zakresie zgodności:
- Aktywowanie ciasteczek analitycznych lub reklamowych podczas ładowania strony przed zarejestrowaniem zgody.
- Używanie banerów zgody, które nie blokują ciasteczek do momentu interakcji.
- Niehonorowanie wycofania zgody w odpowiednim czasie.
- Nieaktualizowanie rejestrów zgody, gdy zmieniają się zasady dotyczące ciasteczek.
- Traktowanie powiadomień o ciasteczkach jako równoważnych mechanizmom zgody.
Jak długo można przechowywać ciasteczka zgodnie z zasadami dyrektywy ePrivacy
Dyrektywa ePrivacy nie określa bezpośrednio maksymalnego okresu przechowywania ciasteczek. Jednak zasady minimalizacji danych i ograniczenia przechowywania RODO mają zastosowanie, gdy ciasteczka przetwarzają dane osobowe. Zgoda powinna być ograniczona czasowo, a organy regulacyjne generalnie oczekują, że organizacje będą okresowo ponownie prosić o zgodę, powszechnie cytowane wytyczne sugerują 12 miesięcy jako rozsądny interwał, chociaż nie jest to twardy limit ustawowy [6].
Praktyczne wskazówki: Ustal okresy wygaśnięcia ciasteczek proporcjonalne do ich celu. Ciasteczko sesyjne powinno wygasać po zamknięciu przeglądarki. Ciasteczko analityczne nie musi mieć dwuletniego okresu ważności, jeśli sześć miesięcy spełnia ten sam cel.
Jakie są typowe błędy, które firmy popełniają w zakresie zgodności z ePrivacy
Poza wymienionymi powyżej problemami, w przypadkach egzekucyjnych i audytach konsekwentnie pojawiają się następujące wzorce:
- Domniemana zgoda: Zakładanie, że kontynuowanie przeglądania stanowi zgodę. To zostało wyraźnie odrzucone przez sądy UE i DPA.
- Zgoda połączona: Łączenie zgody na ciasteczka z akceptacją polityki prywatności w jednym kliknięciu.
- Niespójne geo-targetowanie: Stosowanie surowszych zasad zgody tylko dla użytkowników z niektórych krajów, podczas gdy ciasteczka śledzące są serwowane innym, co stanowi ryzyko, ponieważ egzekwowanie może podążać za lokalizacją użytkownika.
- Ignorowanie krajowych różnic: Zakładanie, że jedna konfiguracja banera spełnia wymagania wszystkich państw członkowskich UE, podczas gdy w rzeczywistości niektóre kraje mają surowsze wymagania krajowe [6].
- Brak śladu audytu zgody: Nie rejestrowanie, na co użytkownicy wyrazili zgodę, kiedy i pod jaką wersją powiadomienia o prywatności [1].
Podsumowanie
Relacja między dyrektywą ePrivacy a RODO: Poruszanie się po zasadach dotyczących ciasteczek w UE nie polega na wyborze jednego z ram, oba obowiązują i oba muszą być spełnione. Dyrektywa ePrivacy definiuje, kiedy zgoda jest potrzebna na ciasteczka; RODO definiuje, jak wygląda ważna zgoda. Razem tworzą podstawę prawną dla zgodności z ciasteczkami w całej UE.
Krajobraz regulacyjny się zmienia. Propozycja regulacji ePrivacy została wycofana na początku 2025 roku, a Pakiet Cyfrowy teraz proponuje włączenie zasad dotyczących ciasteczek bezpośrednio do RODO poprzez artykuły 88a i 88b. Ostateczny tekst oczekiwany jest pod koniec 2026 roku lub na początku 2027 roku, ale obecne zobowiązania pozostają w pełnej mocy w międzyczasie.
Działania do podjęcia w 2026 roku:
- Audytuj zachowanie ciasteczek na swojej stronie internetowej, aby potwierdzić, że żadne ciasteczka nieistotne nie są aktywowane przed zarejestrowaniem zgody.
- Przejrzyj swój baner zgody pod kątem ciemnych wzorców i upewnij się, że opcje "odrzuć" są tak samo widoczne jak "akceptuj".
- Wdróż CMP, taką jak Biscotti CMP, która rejestruje zapisy zgody i wspiera zarządzanie szczegółowymi kategoriami.
- Monitoruj postępy Pakietu Cyfrowego i oceniaj, czy twój dostawca CMP przygotowuje się do wsparcia sygnałów zgody na poziomie przeglądarki.
- Sprawdź krajowe wdrożenie dyrektywy ePrivacy w każdym państwie członkowskim UE, w którym masz znaczący ruch użytkowników.
FAQ
Q: Czy RODO zastępuje dyrektywę ePrivacy w zakresie ciasteczek? Nie. RODO i dyrektywa ePrivacy współistnieją. Dyrektywa ePrivacy pozostaje głównym aktem prawnym wymagającym zgody na ciasteczka; RODO reguluje, co oznacza ważna zgoda i jak należy traktować dane osobowe przetwarzane za pomocą ciasteczek.
Q: Czym jest regulacja ePrivacy i czy nadal jest w drodze? Regulacja ePrivacy była proponowanym prawem UE, które miało zastąpić dyrektywę ePrivacy bezpośrednio stosowanym rozporządzeniem. Została formalnie wycofana przez Komisję Europejską w lutym 2025 roku i nie będzie kontynuowana w obecnej formie.
Q: Czym jest Pakiet Cyfrowy? Pakiet Cyfrowy, zaprezentowany w listopadzie 2025 roku, to propozycja legislacyjna UE, która ma uprościć regulacje cyfrowe poprzez zintegrowanie zasad dotyczących zgody na ciasteczka z RODO za pomocą nowych artykułów 88a i 88b. Na lipiec 2026 roku wciąż jest w trakcie przeglądu legislacyjnego.
Q: Czy ciasteczka analityczne są zwolnione z wymogów zgody? Nie. Ciasteczka analityczne, które identyfikują poszczególnych użytkowników lub urządzenia, są nieistotne i wymagają wcześniejszej zgody na mocy dyrektywy ePrivacy, niezależnie od tego, czy są używane do celów komercyjnych.
Q: Czy ściana ciasteczek (blokująca dostęp, chyba że użytkownicy zaakceptują ciasteczka) może stanowić ważną zgodę? Generalnie nie. Regulatorzy i sądy UE uznały, że zgoda uzyskana za pomocą ścian ciasteczek nie jest dobrowolna zgodnie z RODO, ponieważ użytkownicy nie mają rzeczywistego wyboru. Niektóre krajowe DPA dopuszczają ściany ciasteczek w ograniczonych okolicznościach, jeśli oferowana jest płatna alternatywa, ale pozostaje to kontrowersyjne.
Q: Jak często użytkownicy muszą być pytani o ponowne wyrażenie zgody na ciasteczka? Nie ma ustalonego okresu ustawowego, ale regulatorzy generalnie oczekują, że zgoda będzie odświeżana, gdy cele lub lista ciasteczek zmienią się w sposób istotny, lub po rozsądnym okresie (często cytowanym jako 12 miesięcy w praktyce). Zgoda uzyskana na podstawie wcześniejszej wersji powiadomienia o prywatności może nie obejmować nowych działań przetwarzających.
Q: Czym jest ciasteczko ściśle niezbędne? Ciasteczko ściśle niezbędne to takie, bez którego usługa wyraźnie żądana przez użytkownika nie może funkcjonować, na przykład token sesji logowania lub identyfikator koszyka zakupowego. Te ciasteczka są zwolnione z wymogu zgody dyrektywy ePrivacy.
Q: Czy dyrektywa ePrivacy ma zastosowanie do firm spoza UE? Tak, jeśli te firmy kierują swoje usługi do użytkowników znajdujących się w UE. Zakres terytorialny podąża za lokalizacją użytkownika, a nie adresem rejestracyjnym operatora.
Q: Na co zwrócić uwagę przy wyborze Platformy Zarządzania Zgodami? Zgodna CMP powinna blokować ciasteczka nieistotne przed uzyskaniem zgody, wspierać szczegółowe kategorie zgody, rejestrować zgodę z oznaczeniem czasowym, umożliwiać łatwe wycofanie oraz być przygotowana na wsparcie sygnałów zgody na poziomie przeglądarki, jak wymagają proponowane zmiany w RODO.
Q: Czy mogę użyć jednego banera ciasteczek dla całej UE? Jeden baner może działać jako punkt wyjścia, ale ponieważ dyrektywa ePrivacy została różnie wdrożona w różnych państwach członkowskich, niektóre kraje mogą mieć surowsze wymagania. Zaleca się przegląd prawny w odniesieniu do krajowego prawa każdego rynku docelowego dla stron o dużym ruchu.
Źródła
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai