Poniższy artykuł omawia kluczowe zagadnienia związane z przetwarzaniem cookies i RODO w e-commerce, koncentrując się na:
- kategorii grup danych zgodnych z przepisami,
- technicznych wymogach dla mechanizmów zgód,
- obsłudze udzielania i wycofywania zgód,
- emitowaniu reklam personalizowanych w zgodzie z prawem.
Kategorie grup danych zgodne z przepisami
RODO wyróżnia dwie główne kategorie danych osobowych:
- Zwykłe dane osobowe, np. imię, e-mail, adres IP, wykorzystywane powszechnie w e-commerce jako cookies śledzące.
- Szczególne kategorie danych („wrażliwe”), np. poglądy polityczne, przekonania religijne, dane dotyczące zdrowia czy orientacji seksualnej, których przetwarzanie wymaga wyraźnej zgody lub innej podstawy prawnej.
W praktyce e-commerce najczęściej stosowane są cookies techniczne, analityczne i marketingowe. Zgodnie z e-Privacy Directive zakres „cookies” może obejmować też inne technologie śledzące. Przy czym:
- Cookies techniczne – nie wymagają zgody (niezbędne do funkcjonowania serwisu).
- Cookies analityczne – wymagają zgody (śledzenie statystyk, np. Google Analytics).
- Cookies marketingowe/targetujące – wymagają zgody i ich użycie podlega dodatkowym ograniczeniom RODO i dyrektywy dotyczącej e-Privacy.
Cookies techniczne
Cookies techniczne, zwane też „ściśle niezbędnymi”, odpowiadają za podstawowe funkcje sklepu internetowego, takie jak zapamiętywanie zawartości koszyka, utrzymywanie sesji użytkownika czy wybór preferowanego języka interfejsu. Choć RODO i dyrektywa e-Privacy wyłączają je spod obowiązku uzyskania zgody, każda instalacja takich plików musi być jasno opisana w polityce prywatności, z uwzględnieniem celu i czasu przechowywania. Wdrożenie transparentnego panelu zarządzania zgodami (CMP) pozwala na automatyczne odrzucanie lub akceptowanie wyłącznie cookies technicznych bez blokowania podstawowych mechanizmów e-sklepu.
Cookies analityczne
Cookies analityczne zbierają zagregowane dane o zachowaniach odwiedzających (np. liczbie odwiedzin, ścieżkach nawigacji czy współczynniku odrzuceń) i choć nie identyfikują konkretnej osoby, to ich użycie wymaga wyraźnej, świadomej zgody użytkownika. Łączą w sobie funkcje profilowania (grupowanie odwiedzających według cech) i statystyki, dlatego przy ich implementacji trzeba stosować zasadę minimalizacji danych – gromadzić tylko to, co niezbędne do analizy trendów sprzedażowych. Technicznie oznacza to dynamiczne opóźnianie załadowania skryptów takich narzędzi jak Google Analytics do momentu, gdy użytkownik wybierze kategorię „analityczne” w bannerze zgód.
Cookies marketingowe / targetujące
Cookies marketingowe umożliwiają tworzenie precyzyjnych profili odbiorców i dostarczanie spersonalizowanych reklam, co znacząco zwiększa skuteczność kampanii e-commerce. Zgodnie z e-Privacy Directive każda inicjacja takich cookies musi być poprzedzona świadomą i szczegółową zgodą – użytkownik powinien wiedzieć, które firmy zewnętrzne (np. sieci reklamowe) będą mogły odczytywać jego dane oraz w jakim celu. W praktyce oznacza to konieczność zapewnienia w CMP odrębnych przełączników dla każdej grupy docelowej oraz mechanizmu natychmiastowego wycofania zgody i usunięcia wcześniej zainstalowanych plików cookie.
Spełnienie wymagań technicznych
Aby wdrożyć zgodny z prawem system zarządzania cookies, sklep internetowymusi:
- Dokumentować i przechowywać udzielone zgody – wszystkie decyzje użytkownika zapisywane w formie audytowalnych logów.
- Precyzyjnie informować o każdej kategorii cookies: nazwa, cel, czas przechowywania – w jasnym, zrozumiałym języku.
- Umożliwić dostęp do usługi nawet przy odmowie cookies niekrytycznych.
-
Zastosować mechanizmy techniczne:
- blokowanie skryptów śledzących przed wyrażeniem zgody,
- dynamiczne wczytywanie kodu tylko po akceptacji poszczególnych kategorii,
- rozróżnienie cookies „first-party” i „third-party” zgodnie z definicjami EDPB.
Dodatkowo, wytyczne EDPB przypominają, że każda technologia śledzenia – nie tylko cookies – podlega ocenie pod kątem obowiązku uzyskania zgody, obejmując m.in. fingerprinting, piksele czy inne mechanizmy dostępu do terminala użytkownika.
Audyt i dokumentacja zgód
Wdrożenie zgodnego z RODO systemu zarządzania cookies wymaga utrzymywania szczegółowych logów wszystkich decyzji użytkownika – od momentu wyświetlenia baneru, przez selekcję kategorii, aż po ewentualne wycofanie zgody. Każdy wpis w logu powinien zawierać identyfikator sesji, metadane o wybranych opcjach oraz dokładny znacznik czasu, co umożliwia audytowalność i odtwarzanie historii zgód w razie kontroli organów nadzorczych.
Transparentne informowanie o cookies
Każda kategoria cookies musi być opisana jasnym językiem, precyzując nazwę, cel przetwarzania oraz czas przechowywania danych – najlepiej w formie tabelarycznej w polityce cookies. Taka dokumentacja powinna być dostępna przed uzyskaniem zgody i stale aktualizowana, by obejmować nowe skrypty lub technologie śledzenia.
Techniczne blokowanie i dynamiczne wczytywanie
Kluczowym wymaganiem jest wstrzymywanie ładowania wszystkich skryptów analitycznych i marketingowych do momentu wyraźnej akceptacji danej kategorii. W praktyce implementuje się to poprzez warunkowe wczytywanie zasobów – np. Google Analytics lub sieci reklamowych – dopiero po otrzymaniu zgody, co całkowicie uniemożliwia transmisję danych bez podstawy prawnej.
Rozróżnienie cookies „first-party” i „third-party”
Cookies first-party to te ustawiane przez odwiedzaną domenę, które może odczytać wyłącznie ona sama, podczas gdy third-party cookies pochodzą od zewnętrznych dostawców (np. reklamowych) i służą profilowaniu. Zgodnie z wytycznymi art. 5 ust. 3 dyrektywy e-Privacy każde rozwiązanie śledzące – nie tylko cookies – wymaga indywidualnej oceny pod kątem obowiązku uzyskania zgody.
Reakcja na zapis i wycofanie zgody
System musi:
- Otwierać ustawienia cookies w dowolnym momencie (np. link „Zarządzaj zgodami” w stopce lub bannerze).
- Przetwarzać wycofanie zgody tak prosto, jak jej udzielenie (jedno kliknięcie, bez dodatkowych kroków).
- Precyzyjnie identyfikować kategorię, której dotyczy wycofanie, i automatycznie blokować dalsze wczytywanie skryptów z tej grupy.
- Logować zdarzenie wycofania z dokładnym znacznikiem czasu i kategorią zgody.
Dzięki temu e-commerce zachowuje pełną zgodność proceduralną z RODO, a użytkownik ma realną kontrolę nad swoimi danymi.
Dokumentacja i audytowalność wycofania zgody
System zarządzania zgodami musi rejestrować każde zdarzenie związane z udzieleniem i wycofaniem zgody w formie audytowalnych logów, zawierających identyfikator sesji, szczegóły wybranych kategorii oraz dokładny znacznik czasu. Po wycofaniu zgody należy niezwłocznie usunąć dane osobowe z systemów przetwarzania i przechować potwierdzenie realizacji tego procesu. Każde żądanie wycofania generuje automatyczny wpis w wewnętrznym rejestrze, który można przedstawić organom nadzorczym.
Techniczne blokowanie i „uśpienie” ciasteczek
Choć RODO nie wymusza fizycznego usuwania plików cookie, zaleca się, by po wycofaniu zgody wszystkie skrypty analityczne i reklamowe zostały natychmiast zablokowane lub wstrzymane, co powoduje, że istniejące ciasteczka przestają być aktywne. Proces wycofania nie musi być retroaktywny – wystarczy powstrzymanie dalszego przetwarzania oraz „uśpienie” ciasteczek, by przestały gromadzić i przesyłać dane. Dzięki temu sklep internetowypozostaje transparentny i spełnia wymóg natychmiastowego efektu wycofania zgody.
Łatwy dostęp do zarządzania zgodami
Strona powinna udostępniać użytkownikowi przycisk lub link „Zarządzaj zgodami” w miejscu widocznym na każdej podstronie (np. w stopce), aby wycofanie zgody było równie łatwe jak jej udzielenie. Panel ustawień powinien pozwalać na granularne włączanie i wyłączanie poszczególnych kategorii cookies bez konieczności ponownego ładowania strony czy dodatkowych okien dialogowych. Użytkownik może jednym kliknięciem zmienić swoje preferencje bez utraty funkcjonalności serwisu.
Powiadamianie podmiotów trzecich
Aby uniknąć nielegalnego przetwarzania danych przez sieci reklamowe, system zgód powinien automatycznie wysyłać komunikaty (webhooki lub API calls) do wszystkich integracji marketingowych i analitycznych, informując je o zmianie statusu zgody i zlecając zaprzestanie dalszego przetwarzania danych.
Potwierdzenie wycofania i prawo do sprzeciwu
Na mocy art. 7 ust. 3 RODO użytkownikowi należy dostarczyć potwierdzenie wycofania zgody (np. komunikat e-mail lub alert w interfejsie), a także poinformować go o dalszych możliwościach przetwarzania danych na innych podstawach prawnych. Potwierdzenie powinno zawierać opis usuniętych danych oraz informacje o prawie do sprzeciwu czy dostępu do pozostałych zasobów, co wzmacnia transparentność procesów i buduje zaufanie klientów.
Emitowanie reklam personalizowanych zgodnie z prawem
Personalizacja reklam wymaga prawidłowo uzyskanej i odnotowanej zgody marketingowej (cookies marketingowych). Kluczowe zasady:
- Zgoda świadoma i dobrowolna – nie może być wymuszana przez ograniczenie dostępu do podstawowej funkcjonalności serwisu.
- Minimalizacja danych – wykorzystywanie tylko niezbędnych informacji (np. ID produktu, segmenty zainteresowań), bez danych wrażliwych.
- Okres przechowywania – reklamy powinny korzystać tylko z danych nie starszych niż konieczne do celów marketingu behawioralnego.
- Prawo do sprzeciwu – użytkownik może w każdej chwili wycofać zgodę i zrezygnować z personalizacji.
Przykłady orzecznictwa
- Sprawa Schrems vs. Meta – CJEU zabronił Facebookowi używania danych wrażliwych (np. orientacja seksualna) do targetowania reklam bez wyraźnego ujawnienia tej informacji przez użytkownika na platformie.
- Grzywna 390 mln € dla Meta – za niedozwolone wymuszenie zgody i brak jasnych alternatyw dla reklam personalizowanych.
Dalszą część artykułu przeczytasz poniżej - pod formularzem.
Podsumowanie
Zarządzanie cookies i reklamami personalizowanymi w e-commerce podlega skomplikowanemu reżimowi RODO i dyrektywy e-Privacy. Aby spełnić wymogi, należy:
- Dokładnie sklasyfikować typy danych i cookies.
- Stworzyć transparentne i technicznie solidne mechanizmy zgód.
- Zapewnić łatwe udzielanie i wycofywanie zgód.
- Prowadzić ewidencję zdarzeń.
- Ograniczyć dane do niezbędnego minimum i respektować prawo do sprzeciwu.
Tylko w ten sposób sklep internetowymoże legalnie oferować zaawansowane funkcje analityczne i personalizowane kampanie reklamowe, nie narażając się na wysokie kary i utratę zaufania klientów.
Jak w RODO e-commerce pomaga ICEberg CMS 5?
Poniżej znajdziesz przegląd kluczowych funkcjonalności ICEberg CMS 5, które wspierają zgodność sklepu internetowego z RODO i dyrektywą e-Privacy w obszarze cookies oraz reklam personalizowanych.
Wbudowany Consent Management Platform (CMP)
ICEberg CMS 5 dostarcza natywny moduł do zarządzania zgodami (CMP), który pozwala na:
- Definiowanie kategorii cookies (techniczne, analityczne, marketingowe) w panelu administracyjnym, bez konieczności dodatkowej integracji z zewnętrznym narzędziem.
- Automatyczne blokowanie i warunkowe wczytywanie skryptów (Google Analytics, piksele reklamowe) do momentu udzielenia konkretnej kategorii zgody przez użytkownika.
- Konfigurowalne teksty informacyjne i linki do polityki cookies wyświetlane w banerze, co ułatwia spełnienie wymogu jasnego i zrozumiałego informowania o celu i czasie przechowywania ciasteczek.
Logowanie zgód i wycofań
Aby zachować pełną audytowalność zgodnie z art. 7 RODO, system może:
- Rejestrować każde udzielenie i wycofanie zgody wraz z dokładnym znacznikiem czasu oraz identyfikatorem sesji.
- Pozwolić na eksport logów (CSV/JSON) w celu przedstawienia dowodu organom nadzorczym lub wewnętrznego audytu.
O szczegóły zapytaj na konsultacji z ekspertem z Krakweb.
Zarządzanie kategoriami danych
W panelu ICEberg CMS 5 można:
- Tworzyć i modyfikować dowolne grupy cookies (np. “funkcjonalne”, “analityczne”, “profilujące”) oraz przypisywać im opis i okres przechowywania.
- Dostosować uprawnienia ładowania – np. zezwolić na cookies techniczne bez zgody, a blokować marketingowe do momentu akceptacji.
Automatyczne usypianie ciasteczek
Wdrażając ICEberg CMS 5 możemy zaimplementować w Twoim sklepie mechanizm „uśpienia” cookie’ów – po wycofaniu zgody wszystkie dotychczas zapisane skrypty i ciasteczka przestają być aktywne, chociaż fizycznie mogą pozostać w przeglądarce. Zapewni to efekt wycofania zgody bez konieczności ręcznego usuwania plików przez użytkownika.
Dzięki tym funkcjom ICEberg CMS 5 pomaga e-sklepom w pełni zautomatyzować i zabezpieczyć proces zarządzania cookies, zachowując tym samym pełną zgodność z wymogami RODO oraz dyrektywą e-Privacy.
