Krótka odpowiedź: w UK cookies i podobne technologie regulują przepisy PECR. Co do zasady na ich użycie potrzebujesz zgody, chyba że mieści się w wyjątku. Po zmianach wprowadzonych przez Data (Use and Access) Act 2025 wyjątki obejmują także proste statystyki i dopasowanie wyglądu strony, pod warunkiem że dasz jasną informację i łatwy sprzeciw. Piksele reklamowe nadal wymagają zgody. To jest przewodnik po wytycznych ICO zaktualizowanych 29.04.2026, a nie porada prawna. W sprawach spornych zapytaj prawnika.
Nie tylko cookies
Wytyczne ICO mówią o „technologiach przechowywania i dostępu”. Oprócz cookies obejmują piksele śledzące, dekorowanie linków, fingerprinting urządzeń, pamięć przeglądarki i skrypty. Nazwa narzędzia „bez cookies” niczego więc nie przesądza. Liczy się to, co dzieje się na urządzeniu użytkownika.
Rozróżnij też dwie rzeczy. PECR mówi, kiedy wolno coś zapisać lub odczytać na urządzeniu. UK GDPR dotyczy danych osobowych zebranych w ten sposób. Możesz potrzebować spełnić oba reżimy jednocześnie.
Maile marketingowe to inna część PECR. Opisałem je we wpisie o newsletterze.
Co nie wymaga zgody
Wyjątki w wytycznych ICO, które najczęściej dotyczą małej firmy:
| Wyjątek | Przykład | Warunki |
|---|---|---|
| Ściśle niezbędne | koszyk, logowanie, o które prosi użytkownik | musi być niezbędne z punktu widzenia użytkownika, nie Twojego |
| Statystyki | zbiorcze dane do ulepszania strony | jasna informacja, prosty i darmowy sprzeciw, dane zbiorcze |
| Wygląd | zapamiętany język, układ strony | jasna informacja, prosty i darmowy sprzeciw |
ICO zaznacza, że żaden cel reklamowy nie mieści się w wyjątku „ściśle niezbędne”. Nie wystarczy też nazwać czegoś niezbędnym w polityce prywatności.
Statystyki: wyjątek, ale z warunkami
To największa zmiana dla małych stron. Statystyki mogą działać bez zgody, ale tylko gdy:
- ich jedynym celem są zbiorcze dane do ulepszania Twojej strony,
- informujesz o tym jasno i wyczerpująco,
- dajesz prosty i darmowy sposób sprzeciwu,
- dane indywidualne trzymasz nie dłużej niż to potrzebne,
- zewnętrzny dostawca działa jako podmiot przetwarzający i używa danych wyłącznie do ulepszania Twojej usługi.
Wyjątek nie obejmuje śledzenia konkretnych osób, mierzenia reklam, śledzenia konwersji, profilowania ani monitorowania użytkownika między różnymi serwisami.
Dla Google Analytics i podobnych narzędzi nie ma więc jednej odpowiedzi. Zależy to od ustawień i roli dostawcy. Jeśli używasz konwersji Google Ads, remarketingu albo łączysz dane z kontami reklamowymi, potrzebujesz zgody. Przed uznaniem narzędzia za wyjątek sprawdź jego warunki albo zapytaj prawnika.
Sposób sprzeciwu może być prosty. ICO podaje jako przykład przełącznik domyślnie włączony, który użytkownik może w każdej chwili wyłączyć. Po sprzeciwie musisz przestać zapisywać i odczytywać dane. Nie wystarczy założenie, że użytkownik ma ustawienia w przeglądarce.
Co zawsze wymaga zgody
Na typowej stronie małej firmy zgoda jest potrzebna przede wszystkim dla:
- pikseli reklamowych, na przykład Meta,
- tagów remarketingowych i śledzenia konwersji,
- narzędzi profilujących odwiedzających.
Uważaj też na skrypty osadzone: mapy, filmy, czcionki z zewnętrznych serwerów. Przy czcionkach ICO wskazuje, że jeśli zewnętrzny dostawca zbiera dane, trzeba o tym poinformować i dać sprzeciw. Prostsza droga to czcionki na własnym serwerze. Tak działa ta strona.
Jak ma wyglądać baner
Jeśli potrzebujesz zgody, ICO wymaga:
- Odmowa tak łatwa jak akceptacja. Akceptuj wszystko i Więcej opcji bez Odrzuć wszystko to zła praktyka.
- Nic przed zgodą. Technologie wymagające zgody startują dopiero po niej. Jeśli ktoś przewija stronę bez wyboru, nie wolno ich używać.
- Pola domyślnie wyłączone. Przełączniki dla celów innych niż wyjątki mają być wyłączone. Dalsze przeglądanie strony nie jest zgodą.
- Osobne cele. Zgoda zbiorcza na wszystko raczej nie będzie ważna.
- Wycofanie tak łatwe jak wyrażenie. Zostaw na stronie link do ustawień.
- Czytelność na telefonie. Baner trudny w obsłudze na małym ekranie może unieważnić zgodę.
- Bez nagabywania. Po odmowie odczekaj rozsądny czas. ICO podaje, że sześć miesięcy jest odpowiednim okresem.
Co grozi za brak zgodności
ICO podaje, że ma różne narzędzia, a kary pieniężne zostawia dla najpoważniejszych naruszeń. Reżim egzekwowania PECR jest w trakcie zmian, by zrównać go z UK GDPR. Nie podaję więc kwot, bo na dziś wytyczne ICO ich nie wskazują. Dla małej firmy praktyczniejszym ryzykiem jest utrata zaufania klienta i dane reklamowe zbierane bez podstawy.
Jak uporządkować to na swojej stronie
Zrób krótki przegląd w jedno popołudnie:
- Wypisz wszystko, co ładuje się na stronie. W Chrome zobaczysz to w narzędziach deweloperskich, w zakładce Application.
- Przypisz każdemu elementowi cel: niezbędny, statystyki, wygląd, reklama.
- Usuń to, z czego nie korzystasz. Stare piksele z kampanii sprzed lat to częsty przypadek.
- Zablokuj elementy wymagające zgody do czasu jej wyrażenia i sprawdź to w oknie prywatnym.
- Zaktualizuj politykę prywatności. Sprawdź też, czy dotyczy Cię opłata ICO.
Im mniej skryptów, tym mniej obowiązków i szybsza strona. Dlatego na prostej stronie firmowej zaczynam od pytania, czego naprawdę potrzebujesz, a nie od listy wtyczek.
Podsumowanie
PECR obejmuje więcej niż cookies, ale zmiany z 2025 roku ułatwiły życie prostym stronom. Rzeczy niezbędne, zbiorcze statystyki i dopasowanie wyglądu mogą działać bez zgody, jeśli spełniasz warunki. Reklama i śledzenie wymagają zgody, a baner musi dawać realny wybór. Przy wątpliwościach skorzystaj z pełnych wytycznych ICO albo porady prawnika.
Częste pytania
Czy każda strona firmy w UK potrzebuje banera cookies?
Nie zawsze. Baner ze zgodą jest potrzebny, gdy używasz technologii, które nie mieszczą się w wyjątkach PECR, na przykład pikseli reklamowych. Strona wyłącznie z technologiami niezbędnymi nie potrzebuje zgody, ale nadal musi jasno informować, co robi.
Czy statystyki odwiedzin wymagają zgody?
Po zmianach w PECR statystyki mogą być wyjątkiem, jeśli służą wyłącznie do ulepszania Twojej strony, dane są zbiorcze, użytkownik dostaje jasną informację i może łatwo sprzeciwić się za darmo. Wyjątek nie obejmuje mierzenia reklam, konwersji ani profilowania, a dostawca musi działać jako podmiot przetwarzający.
Czy narzędzie bez plików cookies zwalnia mnie z PECR?
Niekoniecznie. PECR dotyczy przechowywania informacji na urządzeniu użytkownika i dostępu do nich, więc obejmuje także piksele, pamięć przeglądarki czy fingerprinting. Sprawdź, jak dane narzędzie działa, a nie tylko, czy używa cookies.
Czy mogę dać tylko przycisk Akceptuję?
Nie, jeśli prosisz o zgodę. ICO wymaga, żeby odmowa była tak samo łatwa jak akceptacja. Układ z przyciskami Akceptuj wszystko i Więcej opcji, bez Odrzuć wszystko, ICO podaje jako złą praktykę.