Zgodność25 maja 2026 | FlexyConsent

Przewodnik po zgodzie na pliki cookie w ramach EU-US Data Privacy Framework (DPF) dla wydawców w 2026 roku

EU-US Data Privacy Framework (DPF) to ramy prawne umożliwiające przepływ europejskich danych osobowych — w tym identyfikatorów plików cookie, adresów IP, zahaszowanych adresów e-mail i ładunków zapytań reklamowych — do dostawców z siedzibą w USA bez konieczności negocjowania przez każdego wydawcę własnych Standardowych Klauzul Umownych. Przyjęty przez Komisję Europejską w lipcu 2023 roku i będący od kilku lat w realnym użyciu, DPF jest trzecią próbą zastąpienia unieważnionej Tarczy Prywatności (Privacy Shield) i ponownie jest kwestionowany przed Trybunałem Sprawiedliwości Unii Europejskiej. Dla wydawców kierujących ruch z UE przez SSP, DSP, narzędzia analityczne i CMP z siedzibą w USA rozumienie DPF — i warstwy zgody, która się na nim opiera — nie jest już opcjonalne. Niniejszy przewodnik wyjaśnia, co DPF faktycznie autoryzuje, jak wpisuje się w to zgoda na pliki cookie oraz jakie kroki operacyjne utrzymują Twoje transfery w stanie możliwym do obrony, jeśli ramy zostaną ponownie unieważnione.

Co DPF Faktycznie Robi

DPF to decyzja stwierdzająca odpowiedni stopień ochrony wydana przez Komisję Europejską na podstawie art. 45 RODO. Taka decyzja stwierdza, że państwo trzecie — w tym przypadku Stany Zjednoczone — zapewnia poziom ochrony danych osobowych zasadniczo równoważny z poziomem UE, ale wyłącznie dla organizacji, które przystępują do określonych ram. DPF jest mechanizmem opt-in. Firmy z USA samocertyfikują się w Departamencie Handlu, zobowiązują się do przestrzegania zestawu Zasad Prywatności i podlegają egzekwowaniu FTC lub DOT w zakresie tych zobowiązań.

Dla wydawcy z UE praktyczny skutek jest taki, że dane osobowe mogą być przekazywane certyfikowanemu przez DPF dostawcy z USA bez odrębnych Standardowych Klauzul Umownych (SCCs), ocen skutków transferu dostosowanych do danego dostawcy ani środków uzupełniających, jakie były wymagane po wyroku Schrems II. DPF wykonuje ciężką pracę na poziomie podstawy prawnej.

Trzy rzeczy, których DPF nie robi i których wydawcy konsekwentnie nie rozumieją:

Zgoda na Pliki Cookie Nadal Jest Głównymi Drzwiami

DPF rozwiązuje etap transferu tej podróży. Nie robi nic w kwestii momentu, w którym plik cookie jest ustawiany, identyfikator reklamy jest odczytywany lub zdarzenie jest wysyłane do tagu. Ten moment reguluje dyrektywa ePrivacy (art. 5(3)) oraz RODO (art. 6 i 7). Oba wymagają uprzedniej, świadomej, konkretnej i dobrowolnie udzielonej zgody na jakikolwiek dostęp do pamięci urządzenia końcowego, który nie jest ściśle konieczny.

Innymi słowy, nawet jeśli każdy dostawca w Twoim stosie jest certyfikowany przez DPF, nadal potrzebujesz Platformy Zarządzania Zgodami, która:

DPF zastępuje podstawę prawną transferu; CMP dostarcza podstawy prawnej zbierania. Pominięcie którejkolwiek strony naraża Cię na ryzyko.

Jak Weryfikować Status DPF Dostawcy

Departament Handlu USA prowadzi oficjalną listę DPF pod adresem dataprivacyframework.gov. Przed poleganiem na twierdzeniu dostawcy o statusie DPF sprawdź trzy rzeczy w jego wpisie.

Aktywny Status Certyfikacji

Certyfikacje muszą być odnawiane co roku. Dostawca, którego status wskazuje Nieaktywny, Wycofany lub Wygasły, nie może być traktowany jako mechanizm transferu, nawet jeśli jego strony marketingowe nadal wyświetlają plakietkę DPF. Wpisz wpis do swojego rejestru dostawców i sprawdzaj go ponownie co kwartał.

Objęte Podmioty i Jednostki Stowarzyszone

Wiele spółek holdingowych certyfikuje niektóre podmioty stowarzyszone, a innych nie. Podmiot umowny w Twojej DPA musi odpowiadać certyfikowanemu podmiotowi. Częstym błędem jest podpisywanie z Acme Marketing UK Ltd, gdy certyfikację DPF posiada Acme Inc. w Delaware — przepływ danych wykracza wtedy poza certyfikowany zakres.

Objęte Kategorie Danych

DPF dopuszcza certyfikacje ograniczone do wyłącznie danych HR, wyłącznie danych nieHR lub obu. Certyfikacja nieHR obejmuje Twoje dane reklamowe i analityczne; certyfikacja wyłącznie HR tego nie obejmuje. Dokładnie przeczytaj wpis.

Co Zrobić, gdy Dostawca Nie Jest Certyfikowany przez DPF

Wielu użytecznych dostawców z USA — zwłaszcza mniejszych graczy ad-tech i niszowych narzędzi analitycznych — nigdy się nie certyfikowało lub pozwoliło na wygaśnięcie certyfikacji. Dla nich DPF jest nieistotny i wracasz do zestawu narzędzi sprzed 2023 roku:

Prowadź rejestr wymieniający każdego dostawcę z USA w Twoim stosie, podstawę prawną stosowaną dla każdego (DPF, SCCs, odstępstwo) oraz datę ostatniego przeglądu. Regulatorzy i audytorzy poproszą o ten rejestr; jego brak sam w sobie jest ustaleniem.

Ryzyko Schrems III i Zabezpieczenie na Przyszłość

Obrońca prywatności Max Schrems i jego organizacja NOYB wnieśli sprawę przeciwko DPF wkrótce po jego przyjęciu, argumentując, że reforma nadzoru w USA na mocy Executive Order 14086 nadal nie spełnia standardów praw podstawowych UE. Powszechnie oczekiwane jest skierowanie sprawy do CJEU, a ramy mają nietrywialną szansę na unieważnienie — trzecią w ciągu dwudziestu lat.

Wydawcy, którzy w 2020 roku traktowali Privacy Shield jako jedyny mechanizm transferu, musieli działać w pośpiechu z dnia na dzień, gdy Schrems II go unieważnił. Tego samego pośpiechu można uniknąć tym razem, traktując DPF jako mechanizm główny z gotową do uruchomienia kopią zapasową.

Zachowaj SCCs w Każdej DPA

Upieraj się, aby Twoje DPA zawierały SCCs z 2021 roku jako klauzulę zapasową, która uruchamia się automatycznie w przypadku unieważnienia decyzji o adekwatności DPF lub wygaśnięcia certyfikacji dostawcy. Jest to teraz standardowe sformułowanie; jeśli dostawca odmawia, to żółta flaga.

Przeprowadź TIA Niezależnie

DPF usuwa wymóg prawny dotyczący TIA, ale przeprowadzenie lekkiej TIA — szczególnie dla dostawców obsługujących wrażliwe sygnały reklamowe lub duże populacje z UE — daje Ci możliwą do obrony dokumentację, jeśli ramy się załamią. Używaj tego samego szablonu dla wszystkich dostawców, aby utrzymać niskie koszty.

Lokalizuj Tam, gdzie Rachunek się Opłaca

W przypadku kilku zastosowań — analityki własnej, danych behawioralnych zalogowanych użytkowników lub witryn z wrażliwymi treściami — przejście na dostawcę hostowanego i kontrolowanego przez UE całkowicie eliminuje kwestię transferu. Analiza kosztów i korzyści sprawdza się tylko w przypadku przepływów wysokiego ryzyka lub dużego wolumenu, ale powinna znajdować się na mapie drogowej jako opcja.

Integracja DPF z Twoją CMP

Nowoczesna CMP nie egzekwuje DPF bezpośrednio — nie ma pola GPP ani TCF, które mówiłoby „ten transfer jest objęty DPF". CMP musi zbierać zgodę od każdego dostawcy w sposób wspierający dokumentację, o którą regulator w końcu poprosi.

Granularność Per Dostawca

Grupowanie wszystkich dostawców ad-tech z USA w jeden przełącznik „Marketing" nie jest już możliwe do obrony. Lista dostawców TCF v2.3, z którą synchronizuje się większość certyfikowanych CMP, zapewnia cele i podstawy prawne dla każdego dostawcy. Korzystaj z niej. Gdy regulator zapyta „na jakiej podstawie dane osobowe przepłynęły do Dostawcy X w dniu Y", powinieneś być w stanie wskazać ciąg TCF, zapis certyfikacji DPF i DPA.

Odzwierciedlaj Politykę Prywatności w Banerze

Lista odbiorców w Twojej polityce prywatności powinna dokładnie odpowiadać liście dostawców ładowanych po udzieleniu zgody. Niezgodności są najłatwiejszym celem egzekwowania — hiszpańska AEPD i francuska CNIL ukarały grzywną wydawców w 2024 roku za listy dostawców pomijające aktywnych partnerów.

Rejestruj Stan Dostawcy w Momencie Zgody

Dla każdego zdarzenia zgody przechowuj migawkę tego, którzy dostawcy znajdowali się na TCF GVL, którzy byli certyfikowani przez DPF oraz na jakiej podstawie prawnej każdy z nich polegał. To jest ścieżka audytu, która przekształca stresujący list regulatora w rutynową odpowiedź. FlexyConsent i inne CMP certyfikowane przez Google oferują tę funkcję rejestrowania od razu po instalacji; wiele starszych banerów tego nie robi.

Praktyczna Lista Kontrolna Migracji

Jeśli przenosisz istniejącą witrynę z konfiguracji sprzed DPF lub częściowej DPF do czystej konfiguracji 2026, przejdź przez tę listę:

Typowe Nieporozumienia

Kilka błędów powtarza się w audytach wydawców i wymaga jednoznacznej korekty.

„Certyfikacja DPF oznacza, że nie potrzebujemy zgody." Nie. DPF jest mechanizmem transferu. Zgoda jest wymogiem zbierania. Funkcjonują na różnych warstwach prawnych.

„Nasz CDN jest zlokalizowany w USA, więc DPF go obejmuje." Tylko jeśli sam CDN jest certyfikowany przez DPF dla odpowiednich kategorii danych. Wielu dostawców infrastruktury oferuje regiony w UE, które całkowicie eliminują to pytanie.

„Dostawca X twierdzi, że jest gotowy na DPF." Język marketingowy. Sprawdź oficjalną listę, nazwę certyfikowanego podmiotu i kategorie danych.

„DPF zastępuje baner cookie." Nie. Zasada uprzedniej zgody z dyrektywy ePrivacy jest niezależna od zasad transferu w RODO. Obie mają zastosowanie.

Konkluzja

DPF sprawia, że transatlantyczny ad-tech w 2026 roku jest operacyjnie prostszy niż w 2021 roku, ale nie zwalnia wydawców z obowiązku uzyskania zgody na pliki cookie, zachowania należytej staranności wobec dostawców ani dokumentowania transferów. Traktuj DPF jako jeden z kilku ważnych mechanizmów transferu, zachowaj SCCs jako zabezpieczenie umowne, korzystaj z CMP, która rejestruje zgodę per dostawca w odniesieniu do prowadzonego rejestru dostawców i zakładaj, że stabilność prawna ram jest warunkowa. Wydawcy, którzy teraz budują tę odporność, nie będą musieli przebudowywać architektury z dnia na dzień, jeśli wyrok Schrems III wypadnie tak jak dwa poprzednie. Ci, którzy traktują DPF jako trwałą odpowiedź, przygotowują się na ten sam pośpiech, który nastąpił po unieważnieniu Privacy Shield — z tą różnicą, że regulatorzy są tym razem mniej cierpliwi, a grzywny są wyższe.

← Blog Czytaj wszystko →