RODO a analityka: dwa pytania, które wszyscy mieszają

Rozmowa o legalności analityki niemal zawsze skręca w to samo miejsce: ktoś przywołuje decyzje europejskich organów z 2022 roku, ktoś inny odpowiada, że przecież są nowe ramy transferu danych, i po dziesięciu minutach nikt nie wie, czy baner zgody jest potrzebny, czy nie. Dzieje się tak, bo pod jednym hasłem "RODO a analityka" siedzą dwa niezależne pytania prawne, z dwóch różnych aktów, o różnym zakresie i różnej historii.

Warto je rozdzielić raz a porządnie, bo odpowiedź na jedno nie jest odpowiedzią na drugie, a większość zamieszania bierze się właśnie stąd.

Można naruszyć jedno, spełniając drugie, i odwrotnie. Narzędzie stojące na europejskim serwerze, ale zapisujące ciasteczko bez zgody, ma problem z pierwszym pytaniem, choć z drugim nie ma żadnego. Narzędzie niezapisujące niczego, ale odsyłające dane do dostawcy spoza Europy, ma dokładnie odwrotnie.

Pytanie o transfery: co się wydarzyło i co się zmieniło

Historia zaczyna się od wyroku Trybunału Sprawiedliwości w sprawie Schrems II z 2020 roku, który unieważnił Tarczę Prywatności, czyli ówczesną podstawę przekazywania danych do Stanów Zjednoczonych. Organizacja noyb złożyła następnie sto kilkanaście skarg dotyczących konkretnych wdrożeń Google Analytics.

W 2022 roku posypały się decyzje. Pierwszy był austriacki organ ochrony danych, który uznał przekazywanie danych do Google Analytics za niezgodne z rozdziałem V RODO i odrzucił argument, że anonimizacja adresu IP wystarczy. Kilka tygodni później podobnie orzekł francuski CNIL, wzywając operatorów stron do dostosowania się. W połowie roku dołączył włoski Garante. Wtedy powstała większość tekstów, które do dziś krążą w internecie.

I tu jest rzecz, o której te teksty milczą, bo powstały wcześniej. Podstawa prawna transferów zmieniła się w lipcu 2023 roku. Komisja Europejska przyjęła decyzję o adekwatności dla ram EU-US Data Privacy Framework. Przekazywanie danych do certyfikowanych w tych ramach organizacji amerykańskich ma od tamtej pory podstawę prawną, a Google LLC do nich należy. Argument, na którym opierały się decyzje z 2022 roku, stracił w ten sposób grunt.

Ramy zostały oczywiście zaskarżone. Francuski poseł Philippe Latombe wniósł skargę o stwierdzenie nieważności decyzji o adekwatności. We wrześniu 2025 roku Sąd Unii Europejskiej skargę oddalił, stwierdzając, że w dniu przyjęcia decyzji Stany Zjednoczone zapewniały odpowiedni poziom ochrony. Od wyroku wniesiono odwołanie pod koniec października 2025 roku, więc sprawa nie jest prawomocnie zakończona.

Pytanie o zgodę: to, co się nie zmieniło

Drugie pytanie przez cały ten czas stało nieruszone, a dotyczy znacznie większej liczby stron, bo nie zależy od tego, gdzie stoi serwer.

Artykuł 5 ustęp 3 dyrektywy ePrivacy mówi, w uproszczeniu, że przechowywanie informacji na urządzeniu użytkownika albo uzyskiwanie do nich dostępu wymaga jego zgody. Kluczowe są dwie rzeczy, które łatwo przeoczyć.

Po pierwsze, przepis mówi o informacjach, a nie o danych osobowych. Nie ma znaczenia, czy zapisujesz identyfikator, czy liczbę odwiedzin: liczy się sam fakt zapisu na cudzym urządzeniu. Dlatego argument "przecież to anonimowe ciasteczko" nie działa i nigdy nie działał.

Po drugie, przepis dotyczy zapisu i odczytu, a nie zbierania. Dane, które przeglądarka i tak wysyła przy każdym żądaniu, jak adres IP czy nagłówek przeglądarki, nie są objęte artykułem 5 ust. 3, bo nikt niczego nie zapisuje ani nie odczytuje z urządzenia. Podlegają za to RODO, jeżeli pozwalają zidentyfikować osobę, i tu potrzebna jest podstawa prawna, którą zwykle jest prawnie uzasadniony interes.

Wniosek jest prosty i dla wielu zaskakujący: narzędzie, które nic nie zapisuje na urządzeniu, nie wymaga zgody z tytułu artykułu 5 ust. 3. Nie dlatego, że korzysta z wyjątku, tylko dlatego, że przepis go w ogóle nie obejmuje. Nadal musi spełniać RODO w zakresie danych, które przetwarza, ale to jest inna rozmowa i zwykle znacznie łatwiejsza.

Konkretna lista warunków, a nie ogólne rozważania

Francuski CNIL jako jedyny organ opublikował sprawdzalną listę warunków, przy których pomiar oglądalności jest zwolniony z obowiązku uzyskania zgody, wraz z narzędziem do samooceny dla dostawców. Nie jest to prawo obowiązujące w całej Unii, ale jest to najbardziej konkretny materiał, jaki w tej sprawie istnieje, i dobry punkt odniesienia przy ocenie dowolnego narzędzia.

Warunki zwolnienia sprowadzają się do tego, że narzędzie:

• służy wyłącznie pomiarowi oglądalności na rzecz operatora strony i wytwarza statystyki zagregowane, a nie raporty o pojedynczych osobach,
• nie przekazuje danych stronom trzecim ani nie łączy ich z danymi z innych witryn,
• nie śledzi użytkownika między różnymi serwisami,
• nie służy do targetowania, personalizacji treści ani budowania segmentów odbiorców,
• ogranicza dokładność geolokalizacji, na przykład przez skrócenie adresu IP,
• nie korzysta z identyfikatorów użytkownika przenoszonych z innych systemów,
• ma ograniczony czas życia znaczników, przy czym CNIL wskazuje trzynaście miesięcy,
• udostępnia mechanizm sprzeciwu działający w każdej przeglądarce.

Rzuca się w oczy, że lista nie mówi ani słowa o technologii. Nie chodzi o to, czy używasz ciasteczka, czy nie. Chodzi o to, do czego dane służą i czy da się z nich odtworzyć pojedynczego człowieka wędrującego po sieci. Narzędzie zapisujące ciasteczko może warunki spełniać, a narzędzie bez ciasteczek może ich nie spełniać, jeśli buduje profile.

Praktyczna kolejność pytań

Zamiast pytać "czy to narzędzie jest zgodne z RODO", co jest pytaniem źle postawionym, warto przejść cztery pytania po kolei. Odpowiedź na każde jest sprawdzalna, a nie uznaniowa.

1. Czy narzędzie zapisuje cokolwiek na urządzeniu? Otwórz narzędzia deweloperskie, zakładka Application, i sprawdź ciasteczka oraz local storage dla swojej domeny. Jeśli po wizycie jest tam pusto, artykuł 5 ust. 3 nie ma zastosowania i baner z tego tytułu nie jest potrzebny.
2. Czy dane opuszczają Europejski Obszar Gospodarczy? To pytanie do dostawcy o lokalizację serwerów i podwykonawców. Odpowiedź powinna być w umowie powierzenia, a nie w treści strony marketingowej.
3. Czy narzędzie tworzy profile albo śledzi między serwisami? Jeżeli tak, żadne zwolnienie nie wchodzi w grę, niezależnie od użytej technologii, i potrzebna jest zgoda.
4. Ile danych naprawdę potrzebujesz? Minimalizacja to obowiązek z RODO, nie dobra praktyka. Jeżeli nie potrafisz wskazać decyzji, którą podejmiesz na podstawie danego pola, nie ma podstawy, żeby je zbierać.

Trzy rzeczy, które warto zrobić w tym tygodniu

• Sprawdź, co twoje obecne narzędzie zapisuje na urządzeniu. Zajmuje to dwie minuty i bardzo często kończy się zaskoczeniem, bo skrypty analityczne bywają dokładane przez wtyczki i menedżery tagów bez wiedzy właściciela strony.
• Zajrzyj do umowy powierzenia przetwarzania. Powinna wymieniać podwykonawców i kraje przetwarzania. Jeżeli dostawca jej nie ma albo nie chce jej pokazać, to jest odpowiedź sama w sobie.
• Zapisz uzasadnienie swojej decyzji. Rozliczalność z RODO polega na tym, że musisz umieć wykazać, dlaczego uznałeś swoje rozwiązanie za zgodne. Notatka na jedną stronę, spisana teraz, jest warta więcej niż odtwarzanie toku rozumowania za dwa lata.

Na koniec zastrzeżenie, które w tym tekście nie jest rytualne. To nie jest porada prawna. Dyrektywa ePrivacy jest dyrektywą, więc każdy kraj wdrożył ją własną ustawą i szczegóły potrafią się różnić, podobnie jak praktyka krajowych organów. Powyższe ma pomóc zadać właściwe pytania i odróżnić dwie sprawy, które w rozmowach ciągle się zlewają w jedną. Odpowiedzi na te pytania dla konkretnej firmy udziela prawnik, który widział jej wdrożenie.