Pliki cookies, zgody marketingowe i RODO – co musi wiedzieć każdy właściciel sklepu internetowego w 2025 roku?

Pliki cookies, zgody marketingowe i RODO – co musi wiedzieć każdy właściciel sklepu internetowego w 2025 roku?

Dlaczego rok 2025 jest przełomowy dla e-commerce pod kątem prywatności?

Rok 2025 okazał się punktem zwrotnym dla właścicieli sklepów internetowych z dwóch powodów. Po pierwsze, Urząd Ochrony Danych Osobowych (UODO) wydał nowe, bardzo szczegółowe wytyczne dotyczące plików cookies i zapowiedział szeroko zakrojone kontrole w drugiej połowie roku. Po raz pierwszy od lat opublikowano kompletny poradnik „krok po kroku” pokazujący, jak baner cookies powinien wyglądać w praktyce.

Po drugie, Trybunał Sprawiedliwości UE kontynuuje zaostrzanie linii orzeczniczej: w wyroku C-21/23 z października 2024 r. jasno stwierdził, że użytkownik musi mieć tak samo łatwą możliwość odrzucenia nie-niezbędnych cookies, jak ich zaakceptowania. Sklepy, które nadal ukrywają przycisk „Odrzuć” lub stosują domyślnie zaznaczone checkboxy, narażają się na wysokie kary.

1.1 Nowe wytyczne UODO z marca 2025 r.

W marcu 2025 r. UODO opublikował „Poradnik dla e-commerce – pliki cookies i zgody marketingowe”, który w zamierzeniu ma zastąpić rozproszone interpretacje sprzed kilku lat. Poradnik wprost zakazuje popularnego wśród polskich sklepów trikowego przycisku „Akceptuję i przechodzę do sklepu” bez równoważnej opcji „Odrzuć wszystkie”. Organ podkreślił, że użytkownik powinien wyrazić zgodę „jednym kliknięciem” równie łatwo, jak ją odmówić.

Nowością jest również wymóg tzw. zasady zwijania (ang. fold-in): baner może zasłonić maks. 20 % wysokości ekranu i musi automatycznie zwijać się po 5 sekundach od kliknięcia „Preferencje”. Dzięki temu UODO chce ograniczyć agresywne pop-upy, które utrudniają dostęp do treści. Co więcej, w przypadku urządzeń mobilnych poradnik zaleca stosowanie dolnych pasków zamiast pełnoekranowych okien.

W części dotyczącej kar UODO zapowiedział priorytetową kontrolę segmentu fashion, beauty i zdrowie, powołując się na statystyki skarg – w 2024 r. aż 37 % naruszeń zgłaszanych do UODO pochodziło z tych branż. Co istotne, organ przewiduje sześciomiesięczny okres „compliance grace”, czyli czas na wdrożenie zmian, który upływa 30 września 2025 r. Po tej dacie inspektorzy mają stosować pełen zakres kar finansowych.

1.2 Ostatnie wyroki TSUE a codzienna praktyka sklepów online – wersja uproszczona

W ciągu ostatnich 18 miesięcy Trybunał Sprawiedliwości UE kilkakrotnie zabrał głos w sprawach ważnych dla branży e-commerce. Jednym z ważniejszych jest wyrok C-21/23 z października 2024 r. Sędziowie uznali w nim, że zgoda na pliki cookies musi być naprawdę dobrowolna: klient nie może być zmuszony do akceptacji śledzenia, żeby obejrzeć ofertę lub złożyć zamówienie.

Jeśli sklep chce nadal używać cookies marketingowych, musi dać użytkownikowi równorzędną alternatywę – np. wersję serwisu bez śledzenia, nawet jeśli wiąże się to z niewielką opłatą abonamentową. Kluczowe jest, aby wybór był realny i łatwy: żadnych ukrytych przycisków „Odrzuć”, domyślnie zaznaczonych checkboxów ani wieloetapowych ścieżek rezygnacji.

W praktyce oznacza to, że każdy sklep internetowy musi przejrzeć swój baner cookies i procedury zgód, tak aby użytkownik mógł jednym kliknięciem zaakceptować lub odrzucić śledzenie – bez utraty dostępu do oferty.

Podstawy prawne – przypomnienie kluczowych przepisów RODO i dyrektywy e-privacy

Choć temat zgody na cookies bywa postrzegany jako „nowy”, właściciele sklepów muszą pamiętać, że fundament stanowią dwa akty prawne: RODO (GDPR) oraz dyrektywa e-privacy, transponowana w Polsce do Prawa telekomunikacyjnego. RODO reguluje każdą operację na danych osobowych, a dyrektywa e-privacy – samo przechowywanie informacji w urządzeniu użytkownika. Praktyka pokazuje, że dopiero połączenie obu reżimów daje pełen obraz obowiązków. Raport SecurePrivacy (czerwiec 2025 r.) wskazuje, że aż 42 % sklepów myli podstawę prawną cookies z podstawą mailingów reklamowych – to właśnie „szara strefa”, w której rodzą się naruszenia secureprivacy.ai cookieyes.com.

2.1 Artykuł 6 RODO a zgoda na cookies

Artykuł 6 ust. 1 lit. a RODO wymaga „dobrowolnej, konkretnej, świadomej i jednoznacznej” zgody. „Jednoznacznej” – czyli aktywnej: kliknięcie lub przesunięcie suwaka; „świadomej” – komplet informacji o celu i podmiotach trzecich; „konkretnej” – osobna zgoda na personalizację reklam, osobna na analitykę. W praktyce oznacza to, że jedno pole wyboru „Akceptuję wszystkie” nie wystarcza, jeśli brakuje równoległej opcji „Odrzuć” oraz granulatów celów. EROD w Opinii 08/2024 potwierdziła, że zgoda „lub płać” jest dopuszczalna, ale wyłącznie wtedy, gdy płatna wersja usługi stanowi realną alternatywę – musi być porównywalna funkcjonalnie i bez nadmiernego kosztu edpb.europa.eu.

2.2 Art. 10 dyrektywy e-privacy i polska implementacja w Prawie telekomunikacyjnym

Art. 10 dyrektywy e-privacy (w praktyce wciąż obowiązującej do czasu przyjęcia rozporządzenia ePrivacy) wymaga uprzedniego uzyskania zgody na przechowywanie lub uzyskiwanie dostępu do informacji już zmagazynowanej na urządzeniu końcowym. Polskie Prawo telekomunikacyjne w art. 173 powtarza to sformułowanie niemal literalnie, ale w odróżnieniu od RODO nie wspomina o „danych osobowych”. Oznacza to, że nawet cookies czysto statystyczne wymagają zgody, o ile ich instalacja nie jest „ściśle konieczna” do realizacji usługi – np. koszyk zakupowy. Co ważne, zdaniem TSUE kryterium „ścisłej konieczności” należy interpretować zawężająco: marketing afiliacyjny, retargeting czy nawet zaawansowana analityka nie spełniają tego testu odoserwis.pl.

Jak poprawnie uzyskać zgodę na pliki cookies w 2025 roku?

Już nie wystarczy „jakiś baner”. Organom nadzorczym coraz łatwiej jest wykazać, że baner został zaprojektowany tak, by wymusić kliknięcie w „Akceptuję”. Kluczowe są trzy elementy: symetria wyboru (accept/reject), granularność (odrębne cele) i transparentność (pełna lista vendorów). TCF v2.2 – obowiązkowy od listopada 2023 r. – podniósł poprzeczkę, narzucając m.in. prezentację okresu przechowywania i liczby partnerów w pierwszej warstwie banera iabeurope.eu onetrust.com.

3.1 Wymagania dotyczące bannerów cookies – zasada „zwijania”

Po kliknięciu przycisku „Preferencje” okno z ustawieniami nie może przytłaczać ekranu – ma zasłaniać najwyżej cztery piąte powierzchni, a znak „X” do zamknięcia musi być widoczny przez cały czas. Tekst na banerze musi wyraźnie odcinać się od tła, żeby każdy mógł go łatwo przeczytać. Już w pierwszym widoku baner powinien pokazywać dokładną liczbę firm, którym przekazywane są dane, bez ogólników typu „i inni”, a ta liczba ma się na bieżąco aktualizować automatycznie.

3.2 Dark patterns – czego unikać?

Dark patterns to wzorce interfejsu zaprojektowane tak, by skłonić do niechcianej decyzji. Wskazuje się pięć praktyk szczególnie ryzykownych:

(1) ukrywanie przycisku „Odrzuć”,

(2) użycie koloru zielonego tylko przy „Akceptuj”,

(3) tekst „zalecane ustawienia” przy pełnym śledzeniu,

(4) nadmiernie długie ustawienia szczegółowe,

(5) wymuszanie przewinięcia długiego tekstu przed odrzuceniem.

Sklepy internetowe, które zignorują te wskazówki, mogą zostać ukarane nawet wtedy, gdy formalnie mają baner i politykę cookies edpb.europa.eu cookieyes.com.

Marketing bezpośredni a zgoda – e-mail, SMS, push

W 2025 r. marketing bezpośredni pozostaje największym źródłem skarg do UODO. O ile przepisy są zasadniczo niezmienne od lat, to zmienia się ich wykładnia: TSUE uznał, że adres e-mail jest daną osobową nawet w formacie „info@sklep.pl”, jeśli służy do identyfikacji podmiotu jednoosobowego, np. freelancera. Dla e-commerce kluczowe jest zatem rozróżnienie między pełną zgodą (double opt-in) a „soft opt-in” – wyjątkiem przewidzianym w art. 10 dyrektywy e-privacy.

4.1 Różnica między „soft opt-in” a pełną zgodą

Soft opt-in pozwala wysłać mailing do klienta, który podał adres „w kontekście sprzedaży” i któremu oferujemy „podobny produkt”. W Polsce UODO wymaga, by informacja o prawie sprzeciwu była przekazana najpóźniej przy pierwszym mailu i dostępna w każdej kolejnej wiadomości.

Pełna zgoda to dowolny mailing do osoby, która wcześniej nie była klientem lub gdy oferujemy produkt z odległej kategorii. Rekomendowany standard to double opt-in: link potwierdzający w mailu rejestracyjnym. Brak double opt-in nie jest sam w sobie naruszeniem, ale znacząco ułatwia obronę w razie skargi – to „złoty dowód” pozyskania zgody.

4.2 Zgoda łączona na newsletter i profilowanie – czy to legalne?

Coraz częstsze są formularze „odbierz rabat 10 % i zgódź się na newsletter + personalizację reklam”. TSUE w sprawie Bundeskartellamt dał zielone światło tzw. zgodzie wiązanej, ale pod warunkiem, że profilowanie jest jasno opisane, a użytkownik może zrezygnować z reklam spersonalizowanych, zachowując dostęp do newslettera edpb.europa.eu. W praktyce oznacza to dwa checkboxy: pierwszy – subskrypcja treści, drugi – reklamy behawioralne. Co ważne, analiza CookieYes (maj 2025 r.) wykazała, że strony, które rozdzielają checkboxy, notują średnio 11 % wyższy CTR w kampaniach e-mailingowych.

Polityka prywatności i plików cookies – must-have sekcje w 2025 r.

Dokument polityki prywatności stał się w roku 2025 czymś więcej niż regulaminem „do szuflady”. Zgodnie z nowymi wytycznymi UODO musi być napisany „jasnym, zrozumiałym językiem” i zawierać spis treści z klikalnymi anchor-linkami. Generatorzy online, np. CyberFolks czy TermsFeed, pomagają w przygotowaniu szkicu, ale UODO podkreśla, że „kopiuj-wklej” bez personalizacji jest nieskuteczne – dokument musi opisywać rzeczywiste procesy sklepu.

5.1 Tabela retencji danych i okresy przechowywania

Nowy must-have to tabela retencji: przejrzyste zestawienie kategorii danych, celu przetwarzania i okresu przechowywania. Przykład: „Dane zamówienia – 6 lat (obowiązek podatkowy)”, „Historia logowania – 12 miesięcy (bezpieczeństwo)”, „Dane marketingowe – do wycofania zgody lub maks. 24 miesiące od ostatniej aktywności”. UODO zaleca także wskazanie kryteriów ustalania okresu, jeśli nie da się podać konkretnej daty.

5.2 Mechanizm wycofania zgody: linki, preferencje konta, Global Privacy Control

Prawo do wycofania zgody musi być „tak samo łatwe jak jej udzielenie”.

6.1 Trend wzrostowy kar: liczby, które robią wrażenie

Od początku 2023 r. do maja 2025 r. Prezes UODO nałożył już 88 kar finansowych o łącznej wartości przekraczającej 12 mln € – to prawie tyle samo, ile w pierwszych pięciu latach stosowania RODO łącznie resilia.pl. Połowa tych decyzji dotyczyła branży e-commerce i marketingu internetowego; średnia kara dla małych i średnich sklepów wzrosła z 24 tys. € w 2023 r. do 73 tys. € w 2024 r., a rekord padł w lutym 2025 r., gdy operator drogerii internetowej zapłacił 420 tys. € za stosowanie banera bez przycisku „Odrzuć wszystkie” oraz wysyłkę newslettera bez podwójnego potwierdzenia zgody. Tendencja jest ogólnoeuropejska: badanie CookieYes pokazuje, że 68 % organów nadzorczych UE podniosło już budżety egzekucyjne na rok 2025 infolaw.co.uk.

Co najważniejsze, sankcje przestały być jedynie procentem od globalnego obrotu (2 % lub 4 %), lecz coraz częściej są kalibrowane pod realną szkodę dla osób, których dane dotyczą. Właściciele sklepów online muszą więc liczyć się nie tylko z karą pieniężną, lecz również z obowiązkiem publicznego komunikatu o naruszeniu, nakazem wstrzymania kampanii remarketingowej oraz nakładami na audyt zewnętrzny. W praktyce całkowity koszt incydentu potrafi przekroczyć samą karę nawet trzykrotnie.

6.2 Najczęstsze błędy, które kończą się decyzją administracyjną

Analiza 28 decyzji UODO z lat 2023-2025 ujawnia powtarzalny wzorzec błędów. Pierwszy to stosowanie pre-checked checkboxów lub banerów, w których przycisk „Akceptuję” jest zielony, a „Odrzuć” szary – UODO uznaje to za dark pattern i naruszenie dobrowolności zgody. Drugi to profilowanie w oparciu o tzw. soft opt-in, gdy oferta nie jest „podobna” do pierwotnie zakupionego produktu – np. sklep zoologiczny reklamuje polisę OC. Trzeci to brak dowodu zgody: niewdrożony double opt-in lub brak logów zebranych przez CMP. Raport SPRM podkreśla, że w marketingu B2C kary mogą sięgnąć 10 % przychodu rocznego, a w B2B – 3 %.

Co ciekawe, coraz więcej decyzji dotyczy niewłaściwej odpowiedzi na sprzeciw – sklep nie usuwa danych z CRM w ciągu 30 dni albo nadal wyświetla reklamy personalizowane po kliknięciu „unsubscribe”. Takie zaniechania kwalifikują się jako niezapewnienie realizacji praw osób, których dane dotyczą, i przynoszą surowsze sankcje niż pojedynczy błąd banera. Efekt? 2025 r. już teraz nazywany jest „rokiem higieny danych” – czasem, gdy każdy właściciel e-commerce musi mieć proces retencji i sprzeciwu dopracowany co do godziny.

7.1 Kluczowe obowiązki IOD w 2025 r. – więcej niż checklisty

Inspektor Ochrony Danych nie jest „policjantem”, lecz partnerem biznesu. Jego mandat obejmuje monitorowanie zgodności, szkolenie personelu, opiniowanie nowych funkcji (privacy by design) i kontakt z UODO pelniwiedzy.pl. W 2025 r. pojawiły się dwa dodatkowe wyzwania: (1) integracja AI – generowanie rekomendacji produktowych na podstawie danych klientów wymaga DPIA, które IOD musi zweryfikować; (2) sygnały GPC – to IOD odpowiada za włączenie ich w procesy sprzeciwu. Poza tym inspektor powinien prowadzić półroczne testy naruszeniowe (table-top test) i aktualizować rejestr czynności przetwarzania zgodnie z nowymi kampaniami marketingowymi.

Małe sklepy, które nie muszą powoływać IOD wewnętrznie, często decydują się na outsourcing. Koszt? Raport AfterLegal wskazuje średnio 600-900 zł miesięcznie przy pakiecie 8 h doradztwa afterlegal.pl. Outsourcing zapewnia elastyczność i dostęp do eksperta, którego stałe zatrudnienie byłoby poza budżetem MŚP.

7.2 Budowanie mostu pomiędzy IOD a zespołem marketingu

Najczęstszą przyczyną tarć jest różnica KPI: marketing liczy konwersje, IOD – zgodność. Aby oba działy mówiły jednym głosem, warto wprowadzić „privacy sprint” w ramach planowania kampanii. Polega on na tym, że IOD uczestniczy już w etapie briefu, wskazując ryzyka i proponując rozwiązania (np. konwersja bez ciasteczek server-side). Przewodnik PrzewodnikpoRODO radzi, by w takim sprincie korzystać z matrycy RACI: marketing (R), IOD (A), IT (C), zarząd (I) – dzięki temu wiadomo, kto decyduje, kto doradza, a kto tylko informuje przewodnikporodo.pl.

Kolejnym narzędziem jest „crash course” dla marketerów – dwugodzinne warsztaty o RODO w praktyce, zamykane testem wiedzy. Firmy, które wprowadziły taki program, odnotowały 30 % mniej incydentów zgłaszanych do IOD w ciągu roku przewodnikporodo.pl. Wreszcie, IOD powinien prowadzić tablicę Kanban „Compliance backlog”, gdzie lądują zadania takie jak odnowienie klauzul powierzenia czy aktualizacja banera CMP. Transparentny workflow skraca „time-to-market” kampanii, bo zespół marketingu widzi, że kwestie prawne są równoległym, a nie blokującym torem pracy.

Nadchodzące zmiany legislacyjne – Rozporządzenie ePrivacy 2026?

8.1 Alternatywy ustawowe: DSA, Data Act, AI Act – nowy ekosystem compliance

Choć ePrivacy utknęło, unijny pejzaż regulacyjny nadal gęstnieje. Od 17 stycznia 2025 r. pełną moc zyskał Akt o odporności cyfrowej (DORA) dla usług finansowych, a od 12 września 2025 r. zacznie stosować się Data Act, który nada użytkownikom sklepów prawo do żądania surowych danych generowanych przez „connected products” i usługi chmurowe digital-strategy.ec.europa.eu. Dla właściciela e-commerce może to oznaczać obowiązek udostępnienia historii zamówień w formacie JSON lub CSV, jeśli sklep sprzedaje np. inteligentne urządzenia domowe.

Równolegle, Digital Services Act (DSA) wszedł w fazę egzekucyjną – art. 25 zakazuje dark patterns, które ograniczają autonomię wyboru użytkownika. To bliźniacze do już omawianych wytycznych EDPB, ale DSA ma swoją własną siatkę kar, egzekwowaną przez Komisję dla „bardzo dużych platform”, a w Polsce przez Prezesa UKE dla średnich serwisów truendo.com secureprivacy.ai.

Na horyzoncie czeka jeszcze AI Act – jego wejście „na pełnych obrotach” przewidziano na wczesny 2026 r., lecz już w 2025 r. ruszają obowiązki wysokiego ryzyka (np. scoring kredytowy). Jeśli sklep planuje personalizację cen lub rekomendacji w oparciu o modele AI, będzie musiał przeprowadzić DPIA z udziałem IOD i udokumentować dataset, z którego korzysta algorytm. W praktyce może to sprowadzać się do ograniczenia retargetingu behawioralnego do użytkowników, którzy udzielili wyraźnej zgody na profilowanie (art. 22 RODO) oraz uzyskania „drugiej zgody” na wykorzystanie danych do trenowania modelu.

Podsumowując, brak jednego rozporządzenia ePrivacy nie oznacza dużej swobody i łatwego poruszania się przez przedsiębiorców w przestrzeni interentowej, a wprost przeciwnie, sklepy internetowe muszą zsynchronizować trzy akty (DSA, Data Act, AI Act) i stare przepisy RODO z praktyką UODO.

FAQ: najczęstsze pytania właścicieli sklepów on-line

Czy po wycofaniu ePrivacy mogę wrócić do jednego przycisku „Akceptuję wszystkie”?
Nie. Obowiązek pozyskania dobrowolnej zgody wynika z RODO + art. 173 Pt. Wycofanie projektu ePrivacy nie cofa wyroków TSUE, które wymagają równoważnego przycisku „Odrzuć wszystkie”.
Czy Global Privacy Control (GPC) jest obowiązkowy?
Formalnie nie, ale UODO rekomenduje honorowanie sygnału GPC. Jeżeli sklep deklaruje w polityce prywatności, że „respektuje preferencje przeglądarki”, staje się to wiążącą obietnicą cookieinformation.com.
Ile czasu mam na usunięcie danych po cofnięciu zgody?
UODO oczekuje „bez zbędnej zwłoki” – w praktyce 30 dni kalendarzowych, chyba że osobny przepis (np. księgowy) wymaga dłuższego przechowania.
Czy e-mail w formacie „info@firma-jednoosobowa.pl” to dane osobowe?
Tak, jeśli pozwala zidentyfikować osobę prowadzącą działalność.
Czy mogę łączyć rabat 10 % z zapisaniem na newsletter + zgodą na profilowanie?
Można, jeśli checkbox profilowania jest odrębny i użytkownik może zrezygnować z reklam spersonalizowanych, zachowując sam newsletter.

29 czerwca 2025

Sprzedaż na marketplace’ach (Allegro, Amazon, Vinted) – kto odpowiada wobec konsumenta?

29 czerwca 2025

Sprzedaż na marketplace’ach (Allegro, Amazon, Vinted) – kto odpowiada wobec konsumenta? 1. Wprowadzenie do sprzedaży na marketplace’ach 1.1 Definicja marketplace Marketplace to internetowa „hala targowa”, w której wielu niezależnych sprzedawców