Zgoda na cookies pisana od nowa: co zmienia Digital Omnibus

Baner cookie to najbardziej znienawidzony element interfejsu w Europie. Po ośmiu latach jest też wciąż prawnie kruchy na sporej części witryn. Bruksela wreszcie postanowiła zająć się obydwoma problemami naraz, a pojazdem jest pakiet Digital Omnibus zaproponowany 19 listopada 2025.

Ten artykuł opisuje, co faktycznie jest w propozycji, co jest prawem dziś i co byśmy teraz zmienili, a czego nie, w implementacji zgód. Na dzień 10 października 2026 część pakietu dotycząca RODO i ePrivacy nie dotarła jeszcze do rozmów trójstronnych: Rada nie ma jeszcze mandatu negocjacyjnego, a Parlament nie ma stanowiska, więc część tego się zmieni.

Jak tu doszliśmy

Zgoda na cookies nigdy nie mieszkała w RODO. Mieszka w artykule 5 ust. 3 dyrektywy ePrivacy z 2002, zmienionej w 2009, który mówi, że przechowywanie informacji na urządzeniu końcowym użytkownika lub dostęp do nich wymaga zgody, chyba że jest to ściśle niezbędne dla usługi, o którą użytkownik poprosił.

Ta dyrektywa miała zostać zastąpiona rozporządzeniem ePrivacy. Propozycja tkwiła w zablokowanej Radzie przez osiem lat i została formalnie wycofana 11 lutego 2025. Zostaliśmy z dyrektywą z 2002, wdrożoną na dwadzieścia siedem lekko różnych sposobów, pilnującą sieci, która wtedy nie istniała.

Efektem jest bałagan, który wszyscy znają: banery różne w każdym kraju, zgoda technicznie nieważna na dużej liczbie witryn i użytkownicy klikający akceptuj odruchowo, bo odmowa trwa dłużej.

Co jest już dziś egzekwowalne

Zanim przejdziemy do propozycji, warto powiedzieć wprost o stanie obecnym, bo wiele zespołów uważa, że ich baner jest w porządku, a nie jest.

Egzekwowanie było konsekwentne i konkretne. We wrześniu 2025 francuski organ ukarał tego samego dnia Google kwotą 325 milionów euro, a Shein 150 milionów. Ustalenia dotyczyły mechaniki, nie filozofii: cookies ustawiane przed pojawieniem się banera i opcja odmowy, która nie odmawiała niezawodnie.

Zasady, które organy faktycznie stosują:

Nic nieistotnego przed działaniem użytkownika. Ani tag analityczny, ani piksel, ani widżet czatu, ani font zewnętrzny. Jeśli odpala się przy ładowaniu strony, nie ma znaczenia, co mówi baner.

Odmowa musi dorównywać akceptacji. Ta sama warstwa, ta sama waga wizualna, ta sama liczba kliknięć. Zamiana odmowy w dwuetapową podróż przez panel preferencji, gdy akceptacja to jeden przycisk, traktowana jest jako ciemny wzorzec unieważniający zgodę.

Zgoda jest granularna. Jeden przełącznik łączący analitykę, reklamę i personalizację nie jest zgodą konkretną.

Wycofanie musi być tak łatwe jak udzielenie. Element stale dostępny, nie e-mail do wsparcia.

Zgoda wygasa. Większość organów przyjmuje mniej więcej sześć do trzynastu miesięcy przed ponownym pytaniem.

Model zgoda albo płatność jest wąski. Opinia 08/2024 Europejskiej Rady Ochrony Danych mówi, że duże platformy zwykle nie mogą przedstawiać binarnego wyboru między akceptacją śledzenia a płatnością. Oczekiwana jest realna bezpłatna alternatywa bez reklamy behawioralnej.

Jeśli twój baner zawodzi na którymkolwiek z dwóch pierwszych punktów, napraw to, zanim zaczniesz się martwić reformą. To one generują dziś kary.

Co proponuje Digital Omnibus

W propozycji Komisji kluczowy ruch strukturalny to wyjęcie zasad dotyczących urządzeń końcowych ze starej dyrektywy i umieszczenie ich w samym RODO, przez dwa nowe artykuły.

Artykuł 88a: zgoda na dostęp do urządzenia końcowego

Zastępuje artykuł 5 ust. 3 dyrektywy ePrivacy i, co ważne, poszerza zbiór celów niewymagających zgody. Obecne wyłączenie dla ściśle niezbędnych jest tak wąskie, że nawet podstawowy pomiar oglądalności zwykle wymaga banera. Propozycja rozszerza wyłączenia w stronę bezpieczeństwa, zagregowanego pomiaru oglądalności i utrzymania integralności usługi.

Dwie zmiany operacyjne przyciągają najwięcej uwagi:

• Akceptacja lub odmowa jednym kliknięciem. Wybór musi dać się przedstawić w jednym działaniu, w obie strony.
• Okres wyciszenia. Jeśli użytkownik odmówi, przez sześć miesięcy nie powinno się pytać ponownie. Samo to usunęłoby dużą część zmęczenia banerami.

Artykuł 88b: sygnały zgody czytelne maszynowo

To najciekawsze dla inżynierów. Uczyniłby sygnały zgody na poziomie przeglądarki lub systemu prawnie wiążącymi dla administratorów. Jeśli użytkownik wyrazi preferencję raz, w przeglądarce, witryny musiałyby ją uszanować zamiast pytać ponownie.

To także część, która najmniej spodobała się państwom członkowskim. Tekst Rady, opisany niżej, w ogóle usuwa artykuł 88b.

Inne warte odnotowania punkty

Pakiet proponuje też przesunięcie terminu zgłaszania naruszeń danych osobowych z 72 na 96 godzin i koryguje kilka definicji dotyczących danych pseudonimizowanych i trenowania AI. To poza zakresem tego artykułu, ale jedzie tym samym pojazdem, co po części tłumaczy sporność sprawy.

Co tekst Rady robi inaczej

Państwa członkowskie pracują na innym tekście. Kompromis prezydencji irlandzkiej z 2 października 2026 (dokument Rady 13886/26, przygotowany jako mandat Rady do negocjacji z Parlamentem i na 10 października 2026 jeszcze nieprzyjęty) zmienia projekt Komisji w kilku miejscach:

• Zasady dotyczące cookies zostają w dyrektywie ePrivacy. Artykuł 5 ust. 3 zostaje przepisany na swoim miejscu, a artykuły 88a i 88b nie trafiają do RODO. Ten tekst nie przewiduje obowiązku respektowania sygnałów przeglądarki.
• Sześć celów bez zgody: przekazanie komunikatu, usługa, o którą użytkownik wyraźnie poprosił, własny pomiar oglądalności dający anonimowe, zagregowane dane, pomiar oglądalności mediów na podstawie europejskiego aktu o wolności mediów, bezpieczeństwo oraz pomiar wyświetlania i skuteczności reklamy kontekstowej, bez profilowania.
• Odmowa jednym kliknięciem. Użytkownik musi móc odmówić „za pomocą przycisku jednego kliknięcia lub równoważnego środka”.
• Krótsze czekanie. Po odmowie nie wolno ponownie prosić o zgodę w tym samym celu przez „co najmniej cztery miesiące”, wobec sześciu w tekście Komisji.
• Dwa pomysły Komisji przetrwały: 96-godzinny termin zgłaszania naruszeń ochrony danych i względna definicja danych osobowych.

To stanowisko negocjacyjne, nie prawo, a Parlament swojego jeszcze nie przyjął.

Harmonogram i dlaczego jeszcze nie warto na nim planować

Realistyczny obraz na 10 października 2026:

• Trilogi się nie rozpoczęły. Zaplanowane na 7 października głosowanie ambasadorów UE nad mandatem Rady przełożono; według doniesień nowy termin to 11 października 2026.
• W Parlamencie komisje LIBE i ITRE opublikowały projekt sprawozdania 22 czerwca 2026 i otrzymały ponad 1750 poprawek. Głosowania w komisji jeszcze nie było.
• W tekście Komisji artykuł 88a obowiązywałby mniej więcej sześć miesięcy po wejściu w życie. Tekst Rady daje państwom członkowskim 24 miesiące na transpozycję nowego art. 5 ust. 3, choć jego przepisy końcowe wciąż zawierają termin sześciomiesięczny; tę sprzeczność negocjatorzy będą musieli rozstrzygnąć.
• W tekście Komisji artykuł 88b obowiązywałby w ciągu około 24 miesięcy. Tekst Rady go usuwa.

Najwcześniejsza wiarygodna data dla zasad jednego kliknięcia i wyciszenia to zatem 2027 według harmonogramu Komisji, a później, jeśli utrzymają się 24 miesiące Rady. Obowiązki dotyczące sygnałów przeglądarki mogą w ogóle nie nadejść. Kto mówi, że baner cookie umiera w tym roku, coś ci sprzedaje.

Co zmienilibyśmy teraz, a czego nie

Reforma nie jest prawem, ale kierunek jest wystarczająco stabilny, by wpływać na architekturę. Tak doradzamy klientom.

Zrób to teraz

Napraw mechanikę. Odmowa równie łatwa jak akceptacja, nic nieodpalane przed interakcją, granularne kategorie, działające wycofanie. To obowiązujące prawo i tam są kary.

Oddziel stan zgody od interfejsu zgody. Utrzymuj usługę zgód, która posiada stan, udostępnia go aplikacji i zapisuje dowód z odniesieniem do wersji. Wtedy baner staje się wymienialną warstwą prezentacji. Gdy zmieniają się przepisy, wymieniasz interfejs i zostawiasz instalację.

Zapisuj zgody porządnie. Znacznik czasu, stan każdej kategorii, identyfikator wersji tekstu banera, użyty mechanizm i źródło decyzji. Bez wersji tekstu nie udowodnisz, na co użytkownik faktycznie się zgodził.

Zacznij słuchać sygnałów. Global Privacy Control jest już prawnie istotny w kilku jurysdykcjach i kosztuje niewiele, by go uszanować. Odczyt teraz zamienia artykuł 88b, jeśli wejdzie, w zmianę konfiguracji, a nie projekt.

Sprawdź swoje tagi naprawdę. Nie w interfejsie tag managera, tylko w przeglądarce, na prawdziwej stronie, w czystym profilu. Policz żądania przed zgodą. Zwykle jest ich więcej, niż zespół sądzi.

Tego jeszcze nie rób

Nie usuwaj granularnej zgody przy założeniu, że wyłączenia się poszerzą. Jeśli tekst końcowy znów się zawęzi, będziesz to odbudowywać.

Nie przepisuj informacji o prywatności wokół projektowych numerów artykułów.

Nie usuwaj banera dla pomiaru oglądalności. Poszerzone wyłączenie to propozycja, nie zezwolenie.

Nie zobowiązuj się do procesu 96 godzin. Działaj dalej na 72.

Szersze pytanie projektowe

Jest szersza zmiana, którą warto nazwać. Organy przeszły od pytania, czy masz zgodę, do pytania, jak ją uzyskałeś. Mechanika interfejsu jest dziś powierzchnią egzekwowania. Dlatego sprawy o banery obracają się wokół rozmieszczenia przycisków i liczby kliknięć, a nie brzmienia polityki.

Ten trend biegnie dalej niż Digital Omnibus. Digital Fairness Act, oczekiwany jako propozycja pod koniec 2026, celuje wprost w ciemne wzorce, manipulacyjne interfejsy, ceny personalizowane i projektowanie uzależniające. Zastosowanie to realistycznie 2028 lub później, ale pokazuje, które wzorce mają datę ważności.

Jeśli twoje wyniki wzrostu zależą od mylącego interfejsu, to teraz ryzyko zgodności z datą, a nie sprytna optymalizacja.

Uwaga o analityce

Duża część problemu z banerem jest samozadana. Zespoły ładują zewnętrzną platformę analityczną wymagającą zgody, potem tracą jedną trzecią danych przez odmowy, a potem próbują to obejść projektowaniem.

Analityka hostowana u siebie i szanująca prywatność może zmienić rachunek, bo pomiar pozostający na twojej infrastrukturze i nietworzący profili między witrynami ma dużo mocniejszy argument za wyłączeniem i wygodnie zmieściłby się w poszerzonych wyłączeniach proponowanych przez Omnibus. Opisaliśmy jedną opcję w naszym przewodniku po wdrożeniu Matomo, a ta sama logika dotyczy samodzielnie hostowanej automatyzacji marketingu.

To nie sztuczka zgodnościowa. To realne zmniejszenie tego, co musisz uzasadniać.

Gdzie to jest w szerszym obrazie

Zgoda na cookies to jeden element znacznie większej konstrukcji regulacyjnej. Pełna mapa zgodności cyfrowej UE 2026 obejmuje resztę, a inżynierski przewodnik po RODO warstwę pod spodem.

Jeśli chcesz, byśmy przejrzeli twoją implementację zgód pod kątem tego, co organy faktycznie egzekwują, albo przebudowali ją tak, by kolejna zmiana przepisów była konfiguracją, a nie przepisaniem, napisz na office@c9group.dev.

Budujemy systemy, nie udzielamy porad prawnych, a ostatnie słowo w interpretacji należy do twoich prawników.