Brytyjskie zasady cookies po 5 lutego 2026 r.: wyjątek statystyczny wyjaśniony

Co zmieniło się 5 lutego 2026 r.

Privacy and Electronic Communications Regulations (PECR) to brytyjskie prawo cookies i do tego roku wymagały zgody na każde cookie, które nie było ściśle niezbędne, tak samo jak w UE. Data (Use and Access) Act 2025 je zmienił, a przepisy o cookies weszły w życie 5 lutego 2026 r. Ustawa dodała do PECR nowy Schedule A1 z krótką listą celów, dla których przechowywanie i dostęp nie wymagają już zgody, i podniosła maksymalną karę za naruszenia PECR z 500 000 £ do poziomu UK GDPR. ICO sfinalizowało wytyczne dotyczące technologii przechowywania i dostępu 29 kwietnia 2026 r., po dwóch konsultacjach, i te wytyczne są teraz punktem odniesienia dla praktycznego działania wyłączeń.

Wyłączenia i ich warunki

Trzy nowe cele są zwolnione ze zgody. Cookies używane wyłącznie do celów statystycznych, gdy wynikające z nich informacje wykorzystuje tylko operator strony, by ją ulepszać. Cookies używane wyłącznie do dostosowania wyglądu lub działania strony do preferencji odwiedzającego, oczywiste przykłady to ustawienia dostępności i wyświetlania. Oraz cookies potrzebne do zapewnienia pomocy w nagłych wypadkach, jak lokalizacja dla służb ratunkowych. Słowem, które dźwiga cały ciężar, jest wyłącznie: cookie analityczne, które zasila też reklamę, albo cookie preferencji, które służy jednocześnie jako identyfikator dla firmy trzeciej, nie kwalifikuje się.

Do wyłączeń statystycznych i wyglądu stosują się dwa warunki i oba łatwo przeoczyć. Po pierwsze, odwiedzający nadal musi otrzymać jasną informację o tym, co jest przechowywane i dlaczego. Po drugie, musi dostać prosty sposób sprzeciwu, a sprzeciw musi być uszanowany. Baner więc nie znika; zmienia kształt. Dla zwolnionego cookie statystycznego wystarczy informacja z możliwością rezygnacji. Dla wszystkiego innego zasada zgody pozostaje bez zmian.

Co nadal wymaga zgody

• Cookies i piksele reklamowe oraz retargetingowe, każdy z nich.
• Osadzenia mediów społecznościowych i przyciski udostępniania ustawiające cookies.
• Analityka udostępniana komukolwiek innemu niż operator strony lub przez niego używana.
• Śledzenie między stronami dowolnego rodzaju, w tym „statystyki” identyfikujące osobę na wielu stronach.
• Wszystko, co wytyczne ICO nazywają inwazyjnym: fingerprinting, nagrywanie sesji z danymi osobowymi, narzędzia A/B, które profilują.

Czy GA4 się kwalifikuje?

To pytanie, które zadaje każda brytyjska strona, a uczciwa odpowiedź brzmi: nie w standardowej konfiguracji. Wyłączenie dotyczy statystyk używanych tylko przez operatora strony. Standardowa usługa GA4 wysyła dane do Google, gdzie są przetwarzane na warunkach Google i, o ile nie wyłączysz każdego ustawienia udostępniania, wykorzystywane także do własnych celów Google. To nie jest „używane tylko przez operatora”. Samodzielnie hostowane lub first-party narzędzie analityczne, które nigdy nie udostępnia danych, to jasny przypadek; GA4 z wyłączonym udostępnianiem danych jest dyskusyjne i ICO tego nie pobłogosławiło. CookieCrumbs dostarcza brytyjski zestaw reguł z zamodelowanymi wyłączeniami i traktuje GA4 jako wymagające zgody, o ile nie wskażesz inaczej, co jest ostrożną interpretacją i tą, której byśmy bronili.

Kary dorównują teraz UK GDPR

Druga połowa ustawy to część, którą strony zwykle pomijają. Kary PECR były ograniczone do 500 000 £; teraz górna granica to 17,5 miliona funtów lub cztery procent globalnego rocznego obrotu, w zależności od tego, co wyższe, czyli pułap UK GDPR. ICO zapowiedziało, że będzie korzystać z nowych uprawnień. Innymi słowy, Wielka Brytania poluzowała zasadę dla najmniej inwazyjnych cookies i uczyniła karę za inwazyjne trzydzieści pięć razy większą.

Co zrobić na swojej stronie

1. Przeskanuj stronę i posortuj każde cookie według celu. Wyłączenia są per cel, nie per dostawca.
2. Zdecyduj, czy Twoja analityka jest „używana tylko przez Ciebie”. Jeśli to GA4 w domyślnej postaci, nie jest. Zostaw ją za zgodą.
3. Dla cookies, które klasyfikujesz jako zwolnione statystyki lub wygląd, zachowaj informację i dodaj drogę sprzeciwu. Link „zarządzaj cookies” pozwalający je wyłączyć wystarczy.
4. Zachowaj opt-in dla reklamy, mediów społecznościowych i analityki firm trzecich, z Odrzuć równie łatwym jak Akceptuj.
5. Zachowaj rekordy. Ciężar dowodu się nie przesunął.

Przewodnik po regionach pokazuje, jak brytyjski zestaw reguł jest stosowany per odwiedzający, obok reguł UE, Szwajcarii, Brazylii, Kanady i USA, z jednego banera.

Źródła

1. Practical Law (Thomson Reuters), „Changes to UK cookie rules: Data (Use and Access) Act 2025”
2. Stevens & Bolton, „The Data (Use and Access) Act 2025: cookies, what is changing and what you need to know”
3. Womble Bond Dickinson, „New exceptions for non-intrusive cookies: the ICO’s updated guidance has landed”, 2026
4. Clifford Chance, „Key aspects of the Data (Use and Access) Act take effect”, luty 2026
5. Monitoring regulacji CookieCrumbs, „UK PECR Schedule A1”, wytyczne ICO sfinalizowane 29 kwietnia 2026

Napisane przez zespół CookieCrumbs, opublikowane 5 września 2026 r. Fakty mają swoje daty; jeśli któryś się zdezaktualizował, daj nam znać, a poprawimy.