Kary za brak zgody na cookies w Polsce - ile naprawdę grozi
„Grozi Ci kara 20 milionów euro" - tak zaczyna się większość tekstów o cookies. Rzeczywistość jest bardziej złożona i warto ją znać, zanim podejmiesz decyzję o wdrożeniu. Poniżej to, co da się ustalić ze źródeł, i to, co krąży po sieci bez pokrycia.
Dwa organy, dwie podstawy
W Polsce baner cookie podlega dwóm reżimom naraz:
- Prezes UKE - na gruncie Prawa komunikacji elektronicznej. Katalog naruszeń to art. 444 PKE, a wysokość kary określa art. 446: do 3% przychodu osiągniętego w poprzednim roku obrotowym, a gdy przychodu nie było - do 15 000 zł. Kary są fakultatywne.
- Prezes UODO - na gruncie RODO, jeśli dane z cookies są danymi osobowymi. Tu widełki to klasyczne 20 mln EUR albo 4% światowego obrotu, zależnie od tego, co wyższe.
To drugie ryzyko jest finansowo poważniejsze, ale też trudniejsze do uruchomienia: wymaga wykazania, że przetwarzasz dane osobowe.
Jak to wygląda w praktyce
Według stanu na połowę 2026 roku nie znamy prawomocnej polskiej kary nałożonej za sam baner cookie. Istotny jest natomiast wyrok WSA w Warszawie z 11 lipca 2022 r. (II SA/Wa 3993/21), który uchylił upomnienie UODO: sąd uznał, że nie każda informacja pochodząca z cookies jest automatycznie daną osobową. Ten wyrok podniósł próg dowodowy po stronie organu.
UODO nie wydał też wytycznych dotyczących banerów o randze porównywalnej z francuskim CNIL - praktyczny standard wyznacza dziś Europejska Rada Ochrony Danych (EDPB).
Ostrożnie z tym, co czytasz
W polskim internecie krążą twierdzenia, których nie udało nam się potwierdzić w żadnym źródle pierwotnym: rzekomy „poradnik UODO dla e-commerce z marca 2025", „kara 420 tys. EUR za brak przycisku Odrzuć" czy reguła, że „baner może zajmować maksymalnie 20% ekranu i musi zwinąć się po 5 sekundach". Traktuj je jak plotkę, dopóki nie zobaczysz decyzji z sygnaturą.
Jeśli budujesz zgodność na cudzym blogu zamiast na tekście przepisu, budujesz ją na piasku.
Co z tego wynika dla Ciebie
Realne ryzyko nie polega na spektakularnej karze, tylko na tym, że przy kontroli nie udowodnisz zgody, którą rzekomo zebrałeś. Dlatego liczy się nie sam baner, lecz to, czy skrypty są faktycznie blokowane przed zgodą i czy masz rejestr decyzji użytkowników.
CookieFox blokuje trackery do momentu zgody i zapisuje każdą decyzję w rejestrze, który wyeksportujesz do CSV. Sprawdź to na własnej stronie albo zacznij od przewodnika po zgodzie zgodnej z RODO.