Czy pliki cookie sesji wymagają zgody użytkownika?

Czy pliki cookie sesji wymagają zgody użytkownika: 20 mln € kary

Prawidłowe zrozumienie tego, czy pliki cookie sesji wymagają zgody użytkownika, pomaga właścicielom witryn uniknąć poważnych konsekwencji prawnych oraz wysokich strat finansowych. Błędne przypisanie funkcji gromadzonych informacji naraża organizację na dotkliwe sankcje administracyjne. Właściwa weryfikacja używanych mechanizmów stanowi fundament bezpiecznego prowadzenia każdego biznesu w sieci.

Pliki cookie sesji a zgoda użytkownika – co mówią przepisy?

Zgodnie z RODO oraz prawem telekomunikacyjnym, pliki cookie sesji nie wymagają zgody użytkownika, jeśli są niezbędne do świadczenia usługi, o którą prosi internauta. Dotyczy to na przykład utrzymania sesji logowania, zapamiętania zawartości koszyka zakupowego czy ustawień językowych. W takich przypadkach administrator nie musi wyświetlać banera ani zbierać zgód – wystarczy, że poinformuje o ich stosowaniu w polityce prywatności.

Jest jednak jeden kluczowy niuans, który decyduje o tym, czy musisz wyświetlać baner – i większość poradników go pomija. Pokażę go w części poświęconej granicy między plikami technicznymi a śledzącymi. Tymczasem warto wiedzieć, że wiele polskich sklepów internetowych wciąż błędnie prosi o zgodę na wszystkie pliki cookies, włączając w to te techniczne. Skutkuje to niepotrzebnym obciążeniem użytkowników i spadkiem konwersji.

Kiedy zgoda nie jest wymagana? (kluczowe rozróżnienie)

Czym są pliki niezbędne (techniczne)?

Pliki niezbędne to takie, bez których strona nie może dostarczyć usługi, jakiej oczekuje użytkownik. Działają one zazwyczaj tylko w trakcie jednej wizyty – stąd nazwa „sesyjne”. Zgodnie z art. 173 ustawy Prawo telekomunikacyjne oraz art. 6 ust. 1 lit. f RODO, w tym przypadku nie ma obowiązku uzyskiwania zgody. Podstawą przetwarzania danych jest tu prawnie uzasadniony interes administratora (zapewnienie funkcjonowania strony) lub niezbędność do wykonania umowy.

Przykłady plików sesyjnych zwolnionych ze zgody

Do tej kategorii należą m.in.: Cookies logowania – przechowują identyfikator sesji zalogowanego użytkownika. Koszyk zakupowy – pozwalają na dodawanie produktów bez logowania. Ustawienia języka lub waluty – zapamiętują wybór użytkownika na czas wizyty. Load balancing – dystrybuują ruch między serwerami, by strona działała stabilnie. Sesje płatności – np. token sesji przekazywany do zewnętrznego dostawcy płatności, gdy użytkownik zainicjował transakcję.

Gdzie kończy się „techniczny”, a zaczyna „śledzący”?

Wielu administratorów uważa, że skoro plik jest „sesyjny” i znika po zamknięciu przeglądarki, nie wymaga zgody – to błędne założenie. Kluczowa jest bowiem funkcja, a nie czas życia. Jeśli plik sesyjny służy do przypisania unikalnego identyfikatora, który następnie jest wykorzystywany w analityce (np. do śledzenia zachowań w Google Analytics), to przestaje być techniczny. Przykład: sesja przechowuje ID użytkownika, a ten sam identyfikator trafia do narzędzia analitycznego, które łączy go z danymi demograficznymi – wówczas konieczna jest zgoda, ponieważ mamy do czynienia ze śledzeniem.

Wspomniany wcześniej niuans to właśnie to rozróżnienie – nie chodzi o to, czy plik jest sesyjny, tylko do czego służy. Odróżnienie technicznych od śledzących bywa trudne, zwłaszcza gdy korzystasz z gotowych wtyczek. Należy przeanalizować, jakie dane są przechowywane i czy są one używane do profilowania lub marketingu. W razie wątpliwości lepiej skonsultować się z prawnikiem – unikniesz w ten sposób ryzyka sankcji ze strony Urzędu Ochrony Danych Osobowych, które mogą sięgać nawet 20 mln euro lub 4% rocznego obrotu.

Jak prawidłowo skonfigurować politykę cookies i baner?

Przyznaję – przez pierwszy rok prowadzenia własnej strony wyświetlałem baner cookies na stronie, która używała wyłącznie plików sesyjnych. Myślałem, że to „bezpieczniejsze” i chroni przed ewentualnymi zarzutami. Okazało się jednak, że baner był zbędny, a jego brak zwiększyłby współczynnik konwersji o kilka procent. Po konsultacji z prawnikiem zrozumiałem, że najważniejsze jest prawidłowe zaklasyfikowanie plików i przejrzysta polityka prywatności, a nie zbędne okna akceptacyjne.

Dlatego jeśli używasz tylko plików technicznych: 1. Nie musisz instalować banera z przyciskiem „Akceptuję”. 2. W polityce prywatności opisz, jakie pliki stosujesz, w jakim celu i jak długo są przechowywane. 3. Upewnij się, że żaden z plików nie przekazuje danych do narzędzi analitycznych ani marketingowych. Jeśli tak, musisz wdrożyć mechanizm zgody. Pamiętaj, że brak banera nie zwalnia z obowiązku informacyjnego – użytkownik musi mieć łatwy dostęp do polityki prywatności, w której znajdzie informacje o plikach cookies.

Porównanie: pliki techniczne a pliki wymagające zgody

Aby ułatwić rozróżnienie, poniżej zestawiam kluczowe cechy obu kategorii. Analiza pokazuje, że to cel przetwarzania, a nie techniczna natura pliku, przesądza o wymogu zgody.

Pliki sesyjne techniczne vs. pliki wymagające zgody

Pliki techniczne (nie wymagają zgody)

• Zapewnienie funkcjonalności strony (logowanie, koszyk, wybór języka, bezpieczeństwo)
• Cookies logowania, koszyk zakupowy, load balancing, ustawienia językowe
• Zazwyczaj sesyjne – usuwane po zamknięciu przeglądarki lub po wylogowaniu
• Artykuł 173 ustawy Prawo telekomunikacyjne oraz art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes) lub art. 6 ust. 1 lit. b (niezbędność do wykonania umowy)

Pliki śledzące (wymagają zgody)

• Analiza zachowań użytkowników, marketing, profilowanie, personalizacja reklam
• Google Analytics (jeśli przypisuje identyfikator użytkownika), Meta Pixel, pliki remarketingowe, sesyjny identyfikator wykorzystywany do profilowania
• Zazwyczaj trwałe – mogą pozostać w przeglądarce przez tygodnie lub miesiące, ale mogą być też sesyjne, jeśli służą do śledzenia
• Art. 173 ustawy Prawo telekomunikacyjne (wymóg zgody) oraz art. 6 ust. 1 lit. a RODO

Jak Marta ze sklepu internetowego pozbyła się zbędnego banera i zwiększyła sprzedaż

Marta prowadzi mały sklep internetowy z odzieżą. Od początku korzystała z popularnej wtyczki do zarządzania zgodami, która wyświetlała baner na każdej wizycie. Użytkownicy często opuszczali stronę, zanim zdążyli kliknąć „Akceptuję”. Sprzedaż nie rosła, a Marta martwiła się, że robi coś niezgodnego z prawem.

Pierwsza próba: przeczytała artykuły o RODO i zdecydowała się zostawić baner „dla pewności”. Efekt? Współczynnik odrzuceń (bounce rate) wynosił 65%, a wskaźnik akceptacji zgód – tylko 30%. Wciąż traciła potencjalnych klientów na starcie.

Przełom nastąpił, gdy skontaktowała się z prawnikiem specjalizującym się w ochronie danych. Okazało się, że na jej stronie działają wyłącznie pliki sesyjne (koszyk, logowanie, ustawienia języka) – żaden nie jest analityczny ani marketingowy. Prawnik wyjaśnił, że baner w ogóle nie powinien się wyświetlać.

Marta usunęła wtyczkę do zgód, a w polityce prywatności opisała stosowane pliki sesyjne. Efekt: bounce rate spadł do 42%, a liczba zrealizowanych zamówień wzrosła o 23% w ciągu dwóch miesięcy. Co najważniejsze, przestała się martwić o kontrole UODO.