Europejskie przepisy o cookies: dyrektywa ePrivacy, wycofane rozporządzenie ePrivacy i Digital Omnibus

Europejskiemu prawu o ciasteczkach przydarzyły się w osiemnaście miesięcy trzy rzeczy. Przygotowywane od 2017 rozporządzenie zostało wycofane. Pojawił się pakiet, który przeniósłby zasady zgody do RODO. A w czerwcu Rada skreśliła jeden z dwóch właściwych artykułów tego pakietu z własnego tekstu kompromisowego.

W tym, co witryna ma robić, nic z tego niczego nie zmieniło. Uporządkowanie trzech nurtów według tego, czy w ogóle kogokolwiek wiążą, kosztuje po jednej linijce – a warto je zrobić, zanim przebuduje się kolejną warstwę zgody.

Co wiąże witrynę dziś

Obowiązek zgody stoi w prawie krajowym, bo dyrektywę się wdraża, a nie stosuje bezpośrednio – w Niemczech w paragrafie 25 TDDDG, gdzie indziej pod inną nazwą i z naprawdę odmiennymi szczegółami. Dlatego też egzekwowanie od zawsze jest krajowe i dlatego dwa organy nadzorcze mogą dojść w sprawie tego samego banera do różnych wniosków.

Co wycofanie naprawdę wycofało

Projekt rozporządzenia ePrivacy ukazał się w 2017, spędził osiem lat bez porozumienia między organami prawodawczymi i został porzucony. Komisja ogłosiła zamiar 11 lutego 2025, przyjęła go 16 lipca 2025 i opublikowała 6 października 2025 w Dzienniku Urzędowym.

Skończył się zamiennik, a nie zasada. Rozporządzenie uchyliłoby dyrektywę z 2002 w dniu, w którym zaczęłoby obowiązywać; jego wycofanie znaczy, że dyrektywa obowiązuje dalej, niezmieniona i bezterminowo. Odczytanie pojawiające się czasem w materiałach dostawców – że ePrivacy porzucono – odwraca to, co się stało. Porzucono reformę. Prawo, które miała zreformować, jest powodem, dla którego banery zgody nadal istnieją.

Co zmieniłby Digital Omnibus

Pakiet zgłoszony 19 listopada 2025 idzie inną drogą: zamiast zastąpić dyrektywę, zmienia ją i wpisuje zasadę zgody do RODO jako artykuł 88a. Dyrektywa nie zostaje uchylona. Jej artykuł 5 ustęp 3 regulowałby nadal przechowywanie i dostęp, przy których nie ma danych osobowych, a wszystko, co dotyka danych osobowych, załatwiałoby samo RODO.

Treściowo artykuł 88a dotyczy głównie banera. Odmowa musi być możliwa przyciskiem jednego kliknięcia albo równoważnym środkiem. Po odmowie przez sześć miesięcy nie wolno wystąpić z nowym zapytaniem w tym samym celu. Po udzieleniu zgody nie wolno w tym celu pokazać kolejnego banera, dopóki zgoda obowiązuje. Nic z tego nie znosi banera; ogranicza, jak często może wracać.

Wyjątki i dlaczego większość narzędzi analitycznych się w nich nie mieści

Artykuł 88a ustęp 3 wylicza, co wolno przechowywać albo odczytać bez zgody: co jest konieczne do przesłania komunikatu, co jest konieczne do świadczenia wyraźnie zażądanej usługi, pomiar zasięgu oraz utrzymanie lub przywrócenie bezpieczeństwa usługi.

Wyjątek dla pomiaru zasięgu jest tym ciekawym i jest napisany wąsko. Obejmuje zagregowane informacje o korzystaniu z usługi online, zbierane przez administratora tej usługi, wyłącznie na jego własny użytek. Narzędzie działające w poprzek usług, klientów albo platform nie odpowiada temu opisowi i żadne ustawienie wewnątrz takiego narzędzia tego nie zmieni.

Artykuł 88a ustęp 3, zastosowany do zwykłego zestawu

  ciasteczko sesji koszyka       wolne     żądana usługa
  token CSRF                     wolne     bezpieczeństwo
  ustawienie języka              wolne     żądana usługa
  własnohostowana statystyka,
    tylko swoja witryna, zbiorczo wolne?   pomiar zasięgu
  GA4                            zgoda     w poprzek usług
  piksel Meta                    zgoda     w poprzek usług
  hostowane narzędzie A/B        zgoda     w poprzek klientów

  ? = przepis mówi wyłącznie na własny użytek, nie został
      sprawdzony, a wykładnia pozostaje otwarta

To zestawienie opłaca się zrobić dla prawdziwej witryny niezależnie od wyniku trilogu, bo to samo rozróżnienie rozstrzyga sprawę już pod dyrektywą. Kategorie nie są nowe; Omnibus zapisałby je tylko wyraźniej, niż kiedykolwiek zrobił to artykuł 5 ustęp 3.

Co skreśliła Rada

Artykuł 88b był konstrukcyjną połową projektu. Wymagałby maszynowo czytelnego sygnału zgody – preferencji wyrażonej raz w przeglądarce albo systemie i respektowanej przez witryny – a to jedyny mechanizm na stole, który uczyniłby banery na każdej witrynie zbędnymi, a nie tylko rzadszymi.

Według doniesień tekst kompromisowy Rady z 18 czerwca 2026 skreśla artykuł 88b, po naciskach, w których wyróżniły się branża reklamowa i Google. Parlament nie ustalił swojego stanowiska, nic więc nie jest tu rozstrzygnięte. Do ścisłości należy też, czym te dokumenty są: teksty kompromisowe to projekty negocjacyjne, a nie obowiązujące prawo, a relacje o tym, co stoi w danej wersji, nie zawsze się zgadzają. Uczciwe podsumowanie brzmi, że 88b ma kłopoty, a jego los pozostaje otwarty.

Co z tego wynika na dziś

Przebudowa warstwy zgody wokół artykułu 88a znaczyłaby budowanie na projekcie – a projekt, który stracił już jeden artykuł, może stracić drugi. Data stosowania też nie nagli: 88a ma obowiązywać sześć miesięcy po wejściu pakietu w życie, a pakiet w życie nie wszedł.

Dwie rzeczy warto mimo to zrobić, bo kosztują mało i zwracają się przy każdym wyniku. Pierwszą jest powyższe zestawienie: która operacja przechowywania służy jakiemu celowi i na który wyjątek by się powołała. To pytanie ma odpowiedź już dziś, pod dyrektywą, a spisanie jej to różnica między udzieleniem informacji organowi nadzorczemu w jedno popołudnie a udzieleniem jej w miesiąc.

Drugą jest odmowa jednym kliknięciem. Czy 88a przetrwa, czy nie – baner, w którym odmowa jest równie łatwa jak zgoda, to pod obowiązującym prawem już utrwalone oczekiwanie większości organów nadzorczych, a kilka powiedziało to w decyzjach. Zbudowanie go teraz nie wyprzedza żadnego projektu, tylko wypełnia pas, który nigdy się nie skończył. To, co tu stoi, jest opisem stanu tekstów, a nie poradą prawną – ale sam opis wystarczy, by pokazać, że zapowiadane zmiany nie są powodem do czekania.