Digital Omnibus, cookies i RODO: co zmieni się na stronie firmowej w 2027

Przez lata każda strona w Europie wyświetlała ten sam baner: zaakceptuj, odrzuć albo „dostosuj”. Komisja Europejska uznała, że ten model się wyczerpał, i w pakiecie uproszczeń zwanym Digital Omnibus zaproponowała zmiany w RODO, zasadach plików cookies i kilku innych aktach. W polskich mediach branżowych pojawiają się nagłówki w stylu „koniec banerów cookies” albo „koniec RODO”. Rzeczywistość jest spokojniejsza: to projekt w procesie legislacyjnym, a na dziś obowiązują przepisy dotychczasowe. Ten artykuł rozdziela jedno od drugiego i podpowiada, co można zrobić na stronie już teraz, bez zgadywania, jak zakończą się prace w Brukseli.

Zastrzeżenie: nie jestem prawnikiem, to materiał informacyjny na dzień 5 listopada 2026 r., oparty na publicznych opracowaniach kancelarii i komunikatach instytucji. Dotyczy projektu, który może się jeszcze zmienić, a w jednym punkcie (stanowisko Rady UE z 21 października 2026 r.) opieram się na pojedynczym źródle wtórnym. W sprawach spornych skonsultuj się z prawnikiem lub inspektorem ochrony danych.

Co to jest Digital Omnibus, w trzech zdaniach

To pakiet projektów Komisji Europejskiej, który ma uprościć i uspójnić część unijnych przepisów cyfrowych. Obejmuje między innymi zmiany w RODO, w przepisach dotyczących urządzeń końcowych (czyli cookies) oraz opóźnienie części obowiązków z AI Act. Dla właściciela strony najważniejsze są dwa wątki: definicja danych osobowych i podstawy przetwarzania oraz nowe reguły zgód na cookies, w tym zapowiedź sygnałów ustawianych w przeglądarce zamiast banera na każdej stronie.

Gdzie jest projekt w listopadzie 2026

Z dostępnych mi źródeł wynika, że propozycja Komisji jest przedmiotem prac w Parlamencie Europejskim i w Radzie UE. Według jednego z opracowań wtórnych Rada miała przyjąć swoje stanowisko 21 października 2026 r., ale nie udało mi się potwierdzić tego w pierwotnym dokumencie, więc traktuję tę informację ostrożnie. Dopóki nie zostaną uzgodnione i opublikowane ostateczne teksty, a następnie nie upłynie okres przejściowy, nic w Twoich obowiązkach nie zmienia się automatycznie. Przepisy mogą też wejść w życie w innej formie niż w propozycji, z innymi terminami, a niektóre wątki mogą zostać wycofane.

Praktyczny wniosek: nie przebudowuj strony pod projekt, ale przygotuj ją tak, żeby zmiany były tanie, gdy projekt stanie się prawem.

Co obowiązuje dziś w Polsce: art. 399 PKE

W Polsce zasady dotyczące plików cookies wynikają z ustawy Prawo komunikacji elektronicznej (PKE), a konkretnie z jej art. 399. Zgodnie z ogólną zasadą zapisywanie informacji na urządzeniu użytkownika i uzyskiwanie do niej dostępu wymaga jego zgody, z wyjątkiem sytuacji, gdy jest to niezbędne do świadczenia usługi, o którą użytkownik prosi (na przykład zapamiętanie koszyka albo sesji logowania). Nadzór nad tym obszarem sprawuje Prezes UKE, a zagrożone sankcje to kary do 3 procent przychodu. Z dostępnych mi opracowań wtórnych wynika, że do połowy października 2026 roku nie były znane publiczne kary UKE za cookies, ale to nie znaczy, że ryzyka nie ma, tylko że egzekucja była dotąd ostrożna.

Do tego dochodzi RODO, które stosuje się wszędzie tam, gdzie cookies służą do identyfikowania osoby, a także obowiązki informacyjne w polityce prywatności. Podstawy opisaliśmy w artykule RODO i cookies na stronie. Dziś ta wiedza jest nadal aktualna i warto ją traktować jako punkt wyjścia.

Co proponuje Komisja w sprawie cookies

Z dostępnych opracowań (między innymi kancelarii Heuking i Acompli) wynika, że propozycja zmierza w kilku kierunkach. Reguły dotyczące dostępu do urządzenia użytkownika miałyby zostać uporządkowane razem z RODO, zamiast żyć w osobnej dyrektywie. Rozszerzyłaby się lista sytuacji, w których zgoda nie jest potrzebna (na przykład pomiar odbiorców w ograniczonym zakresie czy bezpieczeństwo). Pojawiłyby się wymogi, by po odmowie nie pytać użytkownika ponownie od razu, a także by przeglądarki i systemy umożliwiały ustawienie preferencji raz, w sposób odczytywany maszynowo.

Ostatni punkt jest najciekawszy dla właścicieli stron. Gdyby zadziałał, użytkownik ustawiłby swoją decyzję raz w przeglądarce, a strony miałyby ją respektować, bez własnego okna. Szczegóły, terminy przejściowe i to, które przeglądarki będą to obsługiwać, pozostają otwarte, więc nie usuwaj dziś baneru. Dopóki prawo się nie zmieni, brak mechanizmu zgody tam, gdzie jest wymagana, to ryzyko, a nie oszczędność.

Co proponuje Komisja w sprawie RODO

W części dotyczącej RODO najczęściej cytowane są trzy wątki: doprecyzowanie, kiedy dane uznaje się za osobowe (z perspektywy podmiotu, który realnie może zidentyfikować osobę), ułatwienia w przetwarzaniu danych do trenowania i działania systemów AI w oparciu o uzasadniony interes oraz zmiany w rejestrach i zgłaszaniu naruszeń. Wątki te budzą spory, a organizacje zajmujące się ochroną prywatności ostrzegają przed osłabieniem standardu. Z punktu widzenia małej firmy najważniejsze jest to, że podstawowe obowiązki (informowanie, podstawa prawna, prawa osób, bezpieczeństwo) nie znikają. Zmiany mają raczej przesunąć akcenty i procedury.

Przesunięcie AI Act: powiązany wątek

Pakiet obejmuje także propozycję opóźnienia części obowiązków wysokiego ryzyka z AI Act. Dla typowej strony firmowej najważniejsze obowiązki dotyczą jednak nie systemów wysokiego ryzyka, tylko przejrzystości: informowania, że klient rozmawia z AI, i oznaczania niektórych treści. Jak to wygląda dla chatbota i treści generowanych na stronie, opisaliśmy w artykule AI Act dla strony firmowej. Jeśli zmiany w pakiecie zostaną przyjęte, wróć do tego tekstu, bo terminy mogą się przesunąć.

Co możesz zrobić już dziś: pięć niezależnych od projektu kroków

• Zrób spis wszystkiego, co strona zapisuje i wysyła. Cookies, piksele, skrypty zewnętrzne, czcionki, mapy, wideo. Bez tego spisu nie da się uczciwie ustawić baneru ani napisać polityki prywatności.
• Ogranicz liczbę narzędzi. Każdy skrypt marketingowy to dodatkowy zapis, dodatkowa zgoda i dodatkowe ryzyko. Usuń te, z których nikt nie korzysta.
• Blokuj skrypty do czasu zgody. Baner, który tylko informuje, a skrypty uruchamiają się od razu, nie spełnia swojego celu. Narzędzia analityczne i reklamowe powinny ruszać dopiero po akceptacji.
• Zrównaj „odrzuć” z „akceptuj”. Przycisk odmowy powinien być równie widoczny i równie łatwy do kliknięcia. Utrudnianie odmowy to jedna z najczęściej krytykowanych praktyk.
• Zapisuj zgody i miej prosty sposób ich zmiany. Użytkownik powinien móc wycofać zgodę tak łatwo, jak ją udzielił, na przykład przez stały link w stopce.

Analityka bez ciasteczek: realna alternatywa

Wiele małych firm potrzebuje tylko podstawowych liczb: ile osób odwiedza stronę, skąd przychodzą i które podstrony działają. Do tego służą narzędzia, które nie zapisują identyfikatorów na urządzeniu i działają bez baneru, przynajmniej w zakresie, w którym nie wymagają zgody. Czy konkretne narzędzie rzeczywiście mieści się w wyjątkach, zależy od jego konfiguracji i interpretacji organu, więc sprawdź to z prawnikiem. Jeśli korzystasz z Google Analytics, przeczytaj nasz tekst Google Analytics po ludzku, a następnie zdecyduj, czy naprawdę potrzebujesz całego zestawu danych, który on zbiera.

Formularze, czaty i osadzone treści

Cookies to tylko część obrazu. Formularz kontaktowy zbiera dane osobowe, więc potrzebuje klauzuli informacyjnej i jasnego celu, o czym piszemy w tekście o formularzu kontaktowym, który działa. Osadzone mapy, wideo i czaty zewnętrzne często ładują własne skrypty i zapisują dane po stronie dostawcy. Rozważ ładowanie ich dopiero po kliknięciu użytkownika (tzw. dwuklik), co zmniejsza liczbę zapisów bez zgody. Przy okazji sprawdź, czy strona jest bezpieczna: przestarzała wtyczka to zagrożenie nie tylko dla danych klientów, ale i dla Twojej odpowiedzialności, o czym piszemy w artykule o bezpieczeństwie strony.

Dostępność i prawo: nie zapomnij o drugiej połowie

Przy okazji przeglądu zgodności warto spojrzeć także na dostępność. Od czerwca 2025 r. obowiązuje ustawa o dostępności cyfrowej produktów i usług, która obejmuje część serwisów, w tym sklepy internetowe. Baner cookies bywa jednym z najmniej dostępnych elementów: nie da się go obsłużyć klawiaturą albo zasłania treść. Szczegóły znajdziesz w artykułach o dostępności i WCAG oraz o ustawie o dostępności. Dobrze zrobiony baner spełnia obie funkcje: jest zrozumiały i dostępny.

Plan na dwanaście miesięcy

Jeśli nie chcesz sam pilnować tych terminów, to dokładnie ten rodzaj pracy, który obejmuje stała opieka nad stroną: przegląd skryptów, aktualizacje i dostosowanie baneru, gdy prawo się zmienia.

Przykład ilustracyjny: sklep z pikselami i newsletterem

To wymyślony przykład. Mały sklep z ceramiką ma na stronie piksel reklamowy, Google Analytics, osadzoną mapę, wtyczkę czatu i formularz zapisu na newsletter. Baner wyświetla jedno duże „Akceptuję”, a odmowa jest schowana w ustawieniach, tymczasem piksel i analityka ładują się od razu. Przegląd zajmuje godzinę i daje konkretną listę: skrypty reklamowe i analityczne ruszają dopiero po zgodzie, mapa i czat ładują się po kliknięciu, przycisk „Odrzuć” dostaje to samo miejsce co „Akceptuję”, w stopce pojawia się link do zmiany ustawień, a polityka prywatności opisuje faktycznie używane narzędzia i okresy zapisu.

Zwróć uwagę, że żaden z tych kroków nie zależy od Digital Omnibus. Każdy z nich jest zgodny z tym, co obowiązuje dziś, i każdy zostanie w mocy także po ewentualnych zmianach. Dlatego warto je zrobić teraz, a nie czekać na ostateczne teksty.

Kto odpowiada: Ty, agencja i dostawca narzędzi

Odpowiedzialność za zgodność strony ponosi zwykle jej właściciel, czyli administrator danych, niezależnie od tego, kto stronę zbudował. Wykonawca może przygotować baner i skrypty, ale to Ty decydujesz, jakie narzędzia stosujesz i do czego. Jeśli dostawca narzędzia (analityka, czat, newsletter) przetwarza dane w Twoim imieniu, zwykle potrzebna jest umowa powierzenia. Zapytaj więc dostawców o ich dokumenty i zachowaj je razem z polityką prywatności.

Najczęstsze pytania

Czy mogę już teraz usunąć baner cookies?

Tylko jeśli strona nie zapisuje niczego, co wymaga zgody. Jeśli używasz analityki reklamowej, pikseli, osadzonych narzędzi zewnętrznych, baner nadal jest potrzebny, bo zmiany są dopiero w projekcie.

Kiedy zmiany wejdą w życie?

Nie ma jeszcze ostatecznej daty. Projekt musi przejść przez Parlament Europejski i Radę, a potem zwykle obowiązuje okres przejściowy. Nie planuj niczego na konkretny dzień, dopóki akt nie zostanie opublikowany.

Kto sprawdza strony pod kątem cookies w Polsce?

Za przepisy o cookies odpowiada Prezes UKE, a za RODO Prezes UODO. Skargi użytkowników i konkurencji są jednym z najczęstszych punktów wyjścia postępowań.

Czy strona bez reklam i analityki potrzebuje baneru?

Jeśli używa wyłącznie plików niezbędnych do działania strony, zgoda nie jest wymagana, ale nadal musisz informować o nich w polityce prywatności. Prosta strona wizytówkowa często mieści się w tej kategorii.

Czy zmiana RODO oznacza, że mogę zbierać więcej danych?

Nie warto na to liczyć. Zasady minimalizacji, celu i przejrzystości są sercem RODO i według dostępnych opracowań nie są w propozycji usuwane. Zbieraj tylko to, co jest ci potrzebne.