Prawo · 7 listopada 2026 · 4 min czytania
Pliki cookie w Austrii: wyjaśnienie § 165 TKG 2021
Czego wymaga § 165 ust. 3 TKG 2021 w sprawie plików cookie i śledzenia: zgoda, wyjątki, współdziałanie z RODO i kto kontroluje w Austrii.
W Austrii nie ma odrębnego paragrafu o plikach cookie w ustawie o ochronie danych. Przepis znajduje się w ustawie telekomunikacyjnej 2021 (TKG 2021) i dlatego łatwo go przeoczyć. Artykuł wyjaśnia, czego wymaga § 165 ust. 3 TKG 2021, jakie obowiązują wyjątki i jak przepis współdziała z RODO.
Co mówi ustawa
Tekst § 165 ust. 3 TKG 2021 znajduje się w Rechtsinformationssystem des Bundes (federalnym systemie informacji prawnej). Zawiera dwa obowiązki dla dostawcy usługi społeczeństwa informacyjnego, a więc także dla operatorów stron internetowych:
- Informacja. Należy poinformować użytkownika, jakie dane osobowe są przetwarzane, na jakiej podstawie prawnej, w jakich celach i jak długo dane są przechowywane.
- Zgoda. Pozyskiwanie tych danych jest dopuszczalne tylko wtedy, gdy użytkownik wyraził zgodę aktywnie i na podstawie jasnych i wyczerpujących informacji.
Przepis wdraża art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej. Dla firm w Niemczech obowiązuje równoległy przepis w § 25 TDDDG.
Jakiej techniki to dotyczy?
Tekst ustawy nie wymienia plików cookie. Urząd ochrony danych (DSB) odczytuje przepis szeroko w swoich FAQ dotyczących plików cookie: według tej wykładni obejmuje on zapisywanie informacji na urządzeniu końcowym i dostęp do nich, nie tylko pliki cookie. Obejmuje to porównywalne techniki, takie jak lokalna pamięć przeglądarki.
Istnieje także węższa wykładnia. Odnosi ona brzmienie („pozyskiwanie tych danych”) do danych osobowych i zawęża w ten sposób zakres stosowania. W praktyce jest to ryzyko, a nie przepustka. Kto opiera się na węższej wykładni, powinien omówić to z doradcą ds. ochrony danych.
Wyjątki
Zgoda nie jest potrzebna, jeśli
- jedynym celem jest przeprowadzenie transmisji wiadomości przez sieć komunikacyjną, lub
- zapisanie albo dostęp jest bezwzględnie niezbędny, aby dostawca mógł zapewnić usługę wyraźnie żądaną przez użytkownika.
Oba wyjątki są wąskie. Według DSB technicznie niezbędne pliki cookie nie wymagają zgody. Ani dyrektywa, ani TKG 2021 nie dostarczają jednak listy, DSB opiera się na kryteriach dawnej Grupy Roboczej Art. 29. Pliki cookie śledzące według jej stanowiska do tego nie należą. Typowe przypadki bez uprzedniej zgody to koszyk, logowanie i zapis decyzji z banera. Narzędzia statystyczne i marketingowe z reguły do nich nie należą.
Współdziałanie z RODO
Obowiązują obok siebie dwa kroki oceny, tak jak w pozostałej części UE:
| Krok oceny | Pytanie | Właściwy przepis |
|---|---|---|
| 1. Urządzenie końcowe | Czy na urządzeniu coś jest zapisywane lub odczytywane? | § 165 ust. 3 TKG 2021 |
| 2. Przetwarzanie | Czy istnieje podstawa prawna dla danych? | Art. 6 RODO |
Pozytywny wynik pierwszego kroku nie zastępuje drugiego. Kto pozyskuje zgodę na skrypt, może ją często wykorzystać także jako podstawę z art. 6 ust. 1 lit. a RODO. Kiedy zamiast tego wystarcza uzasadniony interes, wyjaśnia artykuł Uzasadniony interes według RODO: 3 kroki oceny.
Kto kontroluje i co grozi
Według FAQ DSB egzekwowanie przy naruszeniach § 165 ust. 3 TKG 2021 leży w gestii organów telekomunikacyjnych. DSB może być właściwy, jeśli przy takim zastosowaniu jednocześnie przetwarzane są dane osobowe, na przykład przy tworzeniu profili. Za naruszenia RODO obowiązują kary pieniężne z art. 83 RODO.
Sama TKG 2021 przewiduje w § 188 ust. 4 pkt 24 karę administracyjną do 50 000 euro, jeżeli użytkownicy nie zostali poinformowani wbrew § 165 ust. 3. Na wypadek braku zgody przepis ten nie przewiduje odrębnej kary. Nie znaczy to, że naruszenie pozostaje bez skutków, ponieważ obok obowiązuje RODO.
Lista kontrolna dla Austrii
- Należy wypisać wszystkie skrypty, piksele i dostępy do pamięci na stronie.
- Posortować na „bezwzględnie niezbędne” i „wszystko inne”.
- Wszystko inne ładować dopiero po aktywnej zgodzie.
- Informować w polityce prywatności i na banerze o danych, podstawie, celu i czasie przechowywania.
- Oferować odrzucenie i wycofanie zgody równie łatwo jak wyrażenie zgody.
Najczęstsze pytania
Czy § 165 ust. 3 TKG 2021 obowiązuje także niemieckie firmy? Zależy to od konkretnego przypadku, na przykład od tego, gdzie ma siedzibę firma i do kogo skierowana jest oferta. Należy wyjaśnić to z doradcą ds. ochrony danych. W Niemczech obowiązuje § 25 TDDDG, w obu krajach praktyka brzmi: niepotrzebne skrypty dopiero po zgodzie.
Czy wystarczy informacja „Korzystając ze strony, wyrażają Państwo zgodę”? Nie. Ustawa wymaga aktywnej zgody. Samo dalsze korzystanie ze strony nie jest aktywnym działaniem.
Czy Szwajcaria jest podobnie surowa? Nie, obowiązuje tam inny model z informacją i możliwością odmowy. Wyjaśnia to artykuł Śledzenie stron internetowych w Szwajcarii: revDSG i FMG.
