RODO w reklamie online: podstawy prawne, profilowanie i zgody w 2026

Kiedy RODO ma zastosowanie w reklamie internetowej

RODO obejmuje kampanię, gdy przetwarza się informacje o osobie zidentyfikowanej lub możliwej do zidentyfikowania – a w reklamie online jest tak niemal zawsze. Definicja danych osobowych jest szeroka: wystarczy identyfikator internetowy, który pozwala wyodrębnić użytkownika spośród innych.

Druga kwestia to role. W sprawie Fashion ID z 2019 r., dotyczącej wtyczki Facebooka, TSUE uznał, że strona osadzająca narzędzie platformy jest współadministratorem w zakresie zbierania danych i przekazania ich dalej. Tę samą logikę stosuje się do pikseli reklamowych, a za dalsze wykorzystanie danych odpowiada już platforma. Google przyjmuje różne role w zależności od produktu – zakres opisują warunki ochrony danych Google Ads, które warto przeczytać i odnotować w rejestrze czynności przetwarzania. Agencja z dostępem do list klientów zwykle działa jako podmiot przetwarzający, więc potrzebujesz z nią umowy powierzenia.

Dwa reżimy prawne: zgoda na cookies i podstawa z RODO

W reklamie online działają równolegle dwa zestawy przepisów. Prawo komunikacji elektronicznej (art. 399, który zastąpił art. 173 Prawa telekomunikacyjnego) wymaga zgody na przechowywanie informacji w urządzeniu użytkownika lub dostęp do nich, chyba że jest to niezbędne do świadczenia usługi. RODO wymaga podstawy prawnej dla dalszego przetwarzania zebranych danych.

Dlaczego tak często pojawia się zgoda? W lipcu 2023 r. TSUE orzekł w sprawie Meta (C-252/21), że platforma nie może opierać reklamy spersonalizowanej na umowie z użytkownikiem, a uzasadniony interes w takiej skali przetwarzania nie przeważa nad prawami osób, których dane dotyczą. Meta przeszła w UE na model zgody: najpierw z subskrypcją bez reklam (listopad 2023 r.), później z opcją mniej spersonalizowanych reklam (listopad 2024 r.). Z kolei w październiku 2024 r. TSUE (C-446/21) podkreślił, że zasada minimalizacji ogranicza wykorzystywanie do reklam wszystkich zebranych danych bez ograniczeń czasowych i bez rozróżnienia ich rodzaju.

Profilowanie, czyli automatyczna ocena cech lub zachowań osoby, jest w reklamie dozwolone, ale z dwoma zastrzeżeniami. Prawo sprzeciwu wobec marketingu bezpośredniego, w tym profilowania, jest bezwzględne – po sprzeciwie musisz przestać. Profilowanie danymi wrażliwymi jest dodatkowo zakazane na platformach przez DSA, o czym piszemy w tekście o przejrzystości reklam według DSA. W kategoriach specjalnych (mieszkania, zatrudnienie, finanse) platformy same ograniczają kierowanie – w Meta od 27 października 2026 r. zestawy reklam w tych kategoriach wymagają ustawienia advantage_audience.

Consent Mode, CMP i TCF: jak zgoda przekłada się na tagi

Zgoda zebrana w banerze ma znaczenie tylko wtedy, gdy realnie steruje tagami. Platforma zarządzania zgodami (CMP) przekazuje decyzję użytkownika do Consent Mode, a tagi Google i innych dostawców dostosowują swoje działanie. Domyślny stan zgód musi być ustawiony przed załadowaniem jakichkolwiek tagów:

// Domyślny stan zgód – przed kontenerem GTM i tagami reklamowymi
window.dataLayer = window.dataLayer || [];
function gtag(){dataLayer.push(arguments);}
gtag('consent', 'default', {
  ad_storage: 'denied',
  ad_user_data: 'denied',
  ad_personalization: 'denied',
  analytics_storage: 'denied',
  wait_for_update: 500
});

// Po akceptacji zgód reklamowych w banerze (zwykle wysyła to CMP)
gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Parametr ad_user_data decyduje, czy dane użytkownika mogą trafić do Google w celach reklamowych, a ad_personalization – czy można je wykorzystać do remarketingu. Od 15 czerwca 2026 r. o przepływie danych reklamowych z tagu GA4 do Google Ads decyduje wyłącznie ad_storage, a Google Signals sterują już tylko raportami behawioralnymi; szczegóły opisujemy w tekście o oddzieleniu Google Signals od ad_storage. Wydawcy korzystający z frameworku TCF musieli przejść na wersję 2.3 do 28 lutego 2026 r.

Wybór między trybem podstawowym a zaawansowanym Consent Mode to także decyzja prawna. Tryb zaawansowany wysyła przed zgodą pingi bez cookies, które zasilają modelowanie, ale nadal są żądaniami z urządzenia użytkownika. Porównanie skutków obu trybów znajdziesz w artykule o Consent Mode w trybie podstawowym i zaawansowanym, a pełną procedurę wdrożenia w checkliście Consent Mode v2.

Listy klientów, CAPI i server-side: haszowanie to nie anonimizacja

Przesyłanie e-maili lub telefonów klientów do Google i Meta jest przetwarzaniem danych osobowych, nawet jeśli dane są zahaszowane. Hasz SHA-256 tego samego adresu jest zawsze taki sam, więc platforma może dopasować go do konta – i właśnie po to się go wysyła.

Od 16 listopada 2026 r. Data Manager w Google nie będzie wymagał danych zahaszowanych po stronie reklamodawcy, a od września 2026 r. Customer Match przyjmuje także adres IP i znacznik czasu. Prawnie niczego to nie zmienia: nadal potrzebujesz podstawy prawnej, informacji w polityce prywatności i sygnałów zgody dla użytkowników z EOG. Praktyczną konfigurację opisujemy w tekście o Customer Match i Data Manager po zmianach z 2026 r..

Podobnie jest z Conversions API i tagowaniem po stronie serwera. Serwer pozwala kontrolować, jakie pola trafiają do platform, ale nie zastępuje zgody. Kontener serwerowy musi znać stan zgody użytkownika i nie wysyłać zdarzeń osób, które jej odmówiły – jak to ustawić, pokazujemy w poradniku o Meta Conversions API przez server-side GTM. Ta sama zasada dotyczy identyfikatorów alternatywnych opartych na e-mailu, które omawiamy w tekście o UID2, ID5 i RampID.

Zasada minimalizacji w praktyce oznacza trzy rzeczy: wysyłaj tylko pola potrzebne do dopasowania, regularnie usuwaj z list osoby, które wycofały zgodę lub zgłosiły sprzeciw, i nie przechowuj eksportów list w przypadkowych miejscach, np. w prywatnych arkuszach. Jeśli analizujesz dane klientów z pomocą narzędzi AI, przeczytaj też nasz poradnik o bezpiecznym przetwarzaniu danych klientów w AI.

Obowiązki informacyjne, dokumentacja i transfery poza EOG

Zgodność z RODO to także dokumenty, które musisz pokazać na żądanie UODO. Kary sięgają 20 mln euro lub 4% rocznego światowego obrotu, a kontrola zaczyna się zwykle od pytania o rejestr czynności i podstawy prawne.

Procedura przeglądu marketingu pod kątem RODO:

1. Zrób inwentaryzację narzędzi. Spisz wszystkie tagi z kontenera GTM i serwera, piksele, integracje CRM i narzędzia do e-mail marketingu.
2. Przypisz każdemu narzędziu cel i podstawę prawną. Jedno narzędzie może mieć kilka celów, np. analityka i remarketing.
3. Sprawdź, czy tagi czekają na zgodę. W DevTools nie powinno być żądań do platform reklamowych przed decyzją użytkownika, a w żądaniach Google parametr gcs powinien odzwierciedlać stan zgód. Metodę opisujemy w tekście o testowaniu Consent Mode przez parametry gcs i gcd.
4. Zaktualizuj politykę prywatności. Wymień odbiorców (Google, Meta, TikTok, a przy kampaniach w ChatGPT także OpenAI – zob. OpenAI Pixel i Conversions API), cele, okresy przechowywania, profilowanie i prawo sprzeciwu.
5. Uporządkuj umowy. Zaakceptuj warunki przetwarzania danych platform, a z agencją podpisz umowę powierzenia.
6. Oceń transfery poza EOG. Dla firm z USA podstawą jest EU-US Data Privacy Framework – decyzja Komisji z lipca 2023 r., którą Sąd UE utrzymał we wrześniu 2025 r. Sprawdź, czy dostawca ma certyfikację.
7. Rozważ ocenę skutków (DPIA). Profilowanie na dużą skalę, łączenie zbiorów danych i nowe technologie to kryteria, które według wykazu UODO mogą jej wymagać.

Co się zmienia: Digital Omnibus i przyszłość zgód na cookies

Komisja Europejska zaproponowała 19 listopada 2025 r. pakiet Digital Omnibus, który m.in. zmienia zasady dotyczące cookies. Na koniec października 2026 r. przepisy nie są przyjęte: Rada UE ustaliła stanowisko 21 października 2026 r., Parlament Europejski jeszcze nie, a wejścia w życie nie należy się spodziewać przed 2027 r.

Kierunek zmian jest jednak widoczny. Propozycje przewidują wyjątki od zgody dla zagregowanego pomiaru oglądalności, a w wersji Rady także dla reklamy kontekstowej z limitem częstotliwości. Użytkownik ma móc odmówić jednym kliknięciem, a po odmowie strona nie powinna pytać ponownie przez określony czas – Komisja proponowała 6 miesięcy, Rada 4 miesiące. Komisja chciała przenieść przepisy o cookies do RODO (art. 88a), Rada woli zmienić dyrektywę o prywatności i łączności elektronicznej. Do czasu wejścia nowych przepisów obowiązują obecne wymogi, więc nie przebudowuj banera na zapas.

Najczęstsze błędy w kampaniach i jak je wykryć

W praktyce najwięcej problemów wynika nie z braku wiedzy o RODO, ale z rozjazdu między dokumentacją a tym, co faktycznie robią tagi.

• Tagi odpalane przed zgodą. Wykryjesz je w trybie podglądu GTM i w zakładce Network – filtruj żądania po nazwach domen platform reklamowych.
• CAPI wysyła zdarzenia osób bez zgody. Porównaj liczbę zdarzeń z serwera z liczbą sesji ze zgodą reklamową; duża przewaga zdarzeń serwerowych to sygnał ostrzegawczy.
• Uzasadniony interes jako podstawa remarketingu. Po orzecznictwie TSUE to słaba linia obrony.
• Dane osobowe w adresach URL. E-mail w parametrze adresu po zapisie do newslettera trafia do GA4 i platform reklamowych.
• Nieaktualne listy klientów. Osoby po sprzeciwie wciąż widzą reklamy, bo nikt nie zsynchronizował listy.
• Brak informacji o nowych źródłach personalizacji. Zmiany po stronie platform, jak opisana w artykule o Personal Intelligence w Google, nie zwalniają Cię z własnych obowiązków informacyjnych.

Każda konfiguracja jest inna, dlatego w razie wątpliwości skonsultuj ją z inspektorem ochrony danych lub prawnikiem. Pozostałe teksty o prawie reklamy znajdziesz w podtemacie Regulacje i prywatność.