Obietnica „baner niepotrzebny”

Narzędzia analityczne skoncentrowane na prywatności często reklamują się jako działające bez plików cookie, a niektóre idą dalej i sugerują, że baner zgody nie jest już potrzebny. Dla wydawcy z odchudzonym stosem to kusząca myśl. Rzeczywistość jest bardziej zniuansowana. To, czy zgoda jest potrzebna, zależy od tego, co narzędzie faktycznie robi na urządzeniu, jakie dane przetwarza, gdzie są Twoi użytkownicy i co jeszcze działa na Twoich stronach.

Ten artykuł wyjaśnia pytania, które warto zadać, zanim usuniesz analitykę z konfiguracji zgody. To ogólne wskazówki, a nie porada prawna.

Pliki cookie nie są jedynym wyzwalaczem

W UE zasada zgody dla urządzeń wynika z art. 5 ust. 3 dyrektywy ePrivacy. Obejmuje ona przechowywanie informacji na urządzeniu użytkownika lub uzyskiwanie do nich dostępu — nie tylko pliki cookie. Może pod nią podpadać pamięć lokalna, pamięć sesji, piksele powodujące odczyt informacji oraz techniki wyprowadzające identyfikatory z cech urządzenia. Europejska Rada Ochrony Danych przedstawiła to szerokie rozumienie w Wytycznych 2/2023 w sprawie zakresu technicznego art. 5 ust. 3.

Dlatego „nie ustawiamy plików cookie” to początek analizy, a nie jej koniec. Musisz wiedzieć, czy narzędzie w ogóle cokolwiek zapisuje lub odczytuje na urządzeniu.

Cztery pytania do zadania każdemu narzędziu analitycznemu

1. Czy zapisuje lub odczytuje cokolwiek na urządzeniu?

Po załadowaniu strony sprawdź panele pamięci przeglądarki: pliki cookie, pamięć lokalną, pamięć sesji, IndexedDB. Sprawdź, czy skrypt nie zawiera kodu zbierającego cechy urządzenia w celu zbudowania identyfikatora. Jeśli na potrzeby analityki cokolwiek jest zapisywane lub odczytywane, zasada ePrivacy ma zastosowanie, chyba że obowiązuje wyjątek.

2. Czy przetwarza dane osobowe?

Nawet bez przechowywania na urządzeniu analityka zwykle przetwarza adresy IP, user agenty i adresy URL stron. Zgodnie z RODO mogą to być dane osobowe. Wymaga to podstawy prawnej — którą może być uzasadniony interes, a nie zgoda — oraz przejrzystości w informacji o prywatności, minimalizacji danych i odpowiedniego okresu przechowywania. „Brak banera” nigdy nie oznacza „braku obowiązków”.

3. Czy w krajach Twoich użytkowników obowiązuje wyjątek?

Niektórzy regulatorzy uznają, że ograniczony pomiar odbiorców może być zwolniony ze zgody, jeśli spełnione są ścisłe warunki. Francuski CNIL opublikował warunki zwolnienia dla trackerów pomiaru odbiorców i prowadzi program wskazujący narzędzia, które można skonfigurować tak, by je spełniały. Warunki zwykle obejmują wyłącznie użycie pierwszej strony, wyłącznie dane zagregowane, brak śledzenia między witrynami i ograniczone przechowywanie. Brytyjska ustawa Data (Use and Access) Act 2025 wprowadziła nowe wyjątki od wymogu zgody PECR, w tym dla pewnych celów statystycznych, z zastrzeżeniem warunków takich jak jasna informacja i możliwość sprzeciwu. Nie każdy kraj zajmuje to samo stanowisko, więc sprawdź sytuację na każdym obsługiwanym rynku i które przepisy obowiązują.

4. Czy dane są komuś przekazywane?

Jeśli narzędzie wysyła dane do dostawcy, który wykorzystuje je do własnych celów lub łączy je między klientami, wyjątki zasadniczo odpadają. Przeczytaj warunki przetwarzania, a nie tylko stronę marketingową.

Co zwykle nadal wymaga zgody

• Tagi reklamowe. Wydawcy utrzymujący się z reklam potrzebują zgody na spersonalizowane reklamy i na przechowywanie na urządzeniu przez dostawców reklam, niezależnie od tego, co robi ich narzędzie analityczne.
• Narzędzia z identyfikatorami między sesjami. Trwałe identyfikatory odwiedzających, nawet pierwszej strony, zwykle wyprowadzają narzędzie poza większość wyjątków.
• Nagrywanie sesji i mapy cieplne. Rejestrują szczegółowe zachowania i rzadko są uznawane za zwolniony pomiar.
• Treści osadzone i widżety społecznościowe. Ustawiają własne pliki cookie i identyfikatory.
• Piksele konwersji i remarketingu. Istnieją, by łączyć zachowanie z reklamą.

W przypadku większości witryn utrzymujących się z reklam baner jest i tak wymagany dla stosu reklamowego. Prawdziwe pytanie brzmi, czy analityka ma być jedną z kategorii objętych bramkowaniem, czy może działać niezależnie na podstawie wąskiego wyjątku.

Praktyczny sposób podjęcia decyzji

1. Wypisz każdy skrypt analityczny i to, co zapisuje, odczytuje i wysyła.
2. Ustal kraje, w których jest większość Twoich użytkowników.
3. Dla każdego narzędzia sprawdź, czy jego konfiguracja spełnia wyjątek uznawany w tych krajach.
4. Skonfiguruj narzędzie w najściślejszej potrzebnej wersji: skrócenie IP, brak trwałych identyfikatorów, krótkie przechowywanie, brak udostępniania danych.
5. Udokumentuj uzasadnienie i tak czy owak zachowaj narzędzie analityczne na liście w polityce plików cookie i informacji o prywatności.
6. Sprawdź ponownie, gdy dostawca zmieni produkt lub zmienią się Twoje rynki.

Działanie zwolnionej analityki obok CMP

Jeśli uznasz, że narzędzie się kwalifikuje, wskaż je w CMP jako ściśle niezbędne lub zwolnione, aby było ujawnione, ale nie objęte bramkowaniem, i dopilnuj, by jego konfiguracja mieściła się w wyjątku. Wielu wydawców utrzymuje także konfigurację analityki zależną od zgody dla bogatszego pomiaru i używa Google Consent Mode v2 lub podobnych sygnałów, aby dostosować ją do wyboru użytkownika. FlexyConsent obsługuje Google Consent Mode v2 obok IAB TCF 2.4 i IAB GPP v1.1.

Najważniejsze wnioski

• „Bez plików cookie” nie oznacza automatycznie „zgoda niepotrzebna”; art. 5 ust. 3 obejmuje wszelkie przechowywanie na urządzeniu lub dostęp do niego.
• Analityka bez przechowywania na urządzeniu może nadal przetwarzać dane osobowe i wymaga podstawy prawnej oraz przejrzystości.
• Wyjątki dla pomiaru odbiorców istnieją w niektórych krajach, ale wiążą się ze ścisłymi warunkami.
• Reklamy, nagrywanie sesji i tagi remarketingowe nadal wymagają zgody.
• Udokumentuj, dlaczego narzędzie jest traktowane jako zwolnione, i regularnie to weryfikuj.