Grafik spowiedzi na stronie warszawskiego klasztoru Dominikanów na Freta przestał łączyć się z Meta, ale sama podstrona z dyżurami spowiedzi nadal ładuje bibliotekę Facebooka i wysyła do facebook.com swój adres, zanim odwiedzający cokolwiek kliknie. Tak wyszło w naszym teście z 5 listopada 2026 roku. Piksel Meta, o którym klasztor napisał w zawiadomieniu z 20 października, działał w osadzonym grafiku aplikacji InConvento od października 2022 do 26 września 2026 roku. Biblioteka, którą zobaczyliśmy, to inny kod: SDK Facebooka wpięte w szablon samej strony. Zawiadomienie go nie opisuje. Ta sprawa dotyczy każdego właściciela strony, bo kod zewnętrznych firm trafia na witrynę zarówno z osadzonych aplikacji, jak i z szablonu. Stan na 5 listopada 2026 roku, godz. 17:15, według zawiadomienia klasztoru, dokumentacji Meta i naszego testu.
Co klasztor napisał o pikselu Meta w zawiadomieniu
Klasztor Dominikanów na Freta poinformował, że w grafikach spowiedzi i celebransów Mszy, wyświetlanych przez zewnętrzną aplikację InConvento, “działał bez naszej wiedzy kod śledzący firmy Meta (Facebook), tzw. piksel Meta”. Zawiadomienie z 20 października 2026 roku podaje punkt po punkcie:
- okres: od października 2022 roku do 26 września 2026 roku;
- co wysyłał kod: “przy każdym wyświetleniu grafiku” adres IP, informacje o przeglądarce i urządzeniu oraz adres oglądanej strony, do Meta Platforms Ireland Ltd.;
- powiązanie z kontem: jeśli odwiedzający był zalogowany do Facebooka lub Instagrama, “Meta mogła powiązać te informacje z jego kontem”;
- czego nie przekazano: imion, nazwisk, adresów e-mail, numerów telefonów, treści intencji ani danych płatności;
- możliwy skutek: Meta “mogła wykorzystać informację o odwiedzeniu grafiku spowiedzi lub Mszy do dopasowywania reklam. Informacja taka może pośrednio wskazywać na praktyki religijne”.
Dostawca aplikacji usunął kod 26 września i, jak pisze klasztor, zabezpieczył aplikację przed jego ponownym dodaniem. 15 października klasztor wystąpił do Meta o usunięcie zebranych danych, a naruszenie zgłosił Kościelnemu Inspektorowi Ochrony Danych. Zawiadomienie nie mówi, kto i jak dodał piksel do aplikacji. Na stronie InConvento, która deklaruje 16 wspólnot w całej Polsce, nie znaleźliśmy komunikatu o tej sprawie.
{ strony www }Strona firmowa, która zbiera zapytania od klientów
Projektujemy strony dla firm na WordPressie: szybkie, wygodne na telefonie i przygotowane pod Google. Pomożemy też napisać treści, które jasno tłumaczą, co sprzedajesz.
Co pokazał nasz test strony dyżurów spowiedzi
W naszym teście ramka z grafikiem nie wysłała żadnego żądania do domen Meta, za to strona klasztoru wczytała SDK Facebooka. Test uruchomiliśmy 5 listopada 2026 roku o 16:47 w przeglądarce Chromium sterowanej skryptem, bez logowania i bez klikania czegokolwiek. Zapisaliśmy wszystkie żądania wysłane w ciągu kilkunastu sekund od otwarcia strony.
Ramka z grafikiem InConvento pobrała 21 zasobów, wszystkie z serwera inconvento.pl. Nie zarejestrowaliśmy pliku fbevents.js ani zapytań do facebook.com/tr, czyli charakterystycznych śladów działania piksela. To zgadza się z zawiadomieniem.
Sama strona klasztoru wczytała bibliotekę connect.facebook.net/pl_PL/all.js. Kod, który ją ładuje, stoi w szablonie strony zaraz po otwarciu treści. Ten sam kod jest na stronie głównej, gdzie test powtórzyliśmy o 16:48. Po 3,8 sekundy biblioteka wysłała zapytanie do www.facebook.com/x/oauth/status. W jego parametrze redirect_uri był pełny adres podstrony z dyżurami spowiedzi. Nazwa adresu wskazuje na sprawdzenie, czy ktoś jest zalogowany do Facebooka, ale dokumentacja Meta, którą czytaliśmy, tego zapytania nie opisuje.
Strona wczytała też Google Analytics, statystyki Gemiusa i Cloudflare Insights. Po załadowaniu w przeglądarce leżały pliki cookie Google Analytics i Gemiusa. Okna zgody na pliki cookie nie zauważyliśmy, a w kodzie strony nie znaleźliśmy żadnej z popularnych wtyczek do zbierania zgód. Nie widzieliśmy też żadnego przycisku ani ramki Facebooka poza linkiem do profilu klasztoru.
Ten test nie pokazuje, co Meta robi z takim zapytaniem. Nie wiemy też, czy wiąże je z kontem zalogowanej osoby, bo test był bez sesji Facebooka. Test z tej samej maszyny powtórzyliśmy o 17:13 i dał ten sam obraz, choć liczba żądań do Gemiusa była inna. Nie oceniamy też, czy strona spełnia przepisy.
Piksel Meta a SDK Facebooka: czym się różnią
Piksel Meta to kod do mierzenia skutków reklam, a SDK Facebooka to biblioteka do przycisków, logowania i innych funkcji Facebooka na stronie. Oba łączą przeglądarkę odwiedzającego z serwerami Meta, ale służą do czego innego.
Dokumentacja Meta dla programistów opisuje piksel reklamowy Meta jako fragment JavaScriptu do śledzenia aktywności odwiedzających, którzy przyszli z reklam na Facebooku. Według Meta piksel domyślnie rejestruje odwiedzane adresy, domeny i urządzenia. Ta sama strona dokumentacji pisze, że piksel korzysta z plików cookie Facebooka, które pozwalają Meta dopasować odwiedzających do ich kont na Facebooku. Rozpoznasz go po pliku fbevents.js i zapytaniach do www.facebook.com/tr.
SDK Facebooka dla JavaScriptu według tej samej dokumentacji daje stronie przycisk “Lubię to” i inne wtyczki społecznościowe, logowanie przez Facebooka, dostęp do Graph API i okna udostępniania. Meta każe wkleić je zaraz po otwarciu treści strony, na każdej podstronie, na której ma działać. Dokumentacja podaje dziś adres connect.facebook.net/.../sdk.js, a strona klasztoru wczytuje all.js z tego samego serwera.
Na obu sprawdzonych przez nas stronach klasztoru SDK ładowało się z szablonu. Przycisku Facebooka nie widzieliśmy na żadnej z nich. Usunięcie piksela z jednej osadzonej aplikacji nie odcina strony od Meta, jeśli biblioteka zostaje w szablonie.
Dlaczego adres strony z grafikiem może ujawniać informacje o religii
Sam adres podstrony nie zawsze jest daną osobową. Jeśli jednak da się go powiązać z konkretną osobą, może pośrednio ujawniać jej praktyki religijne. Artykuł 9 ust. 1 RODO zakazuje przetwarzania danych osobowych ujawniających m.in. “przekonania religijne lub światopoglądowe”, z wyjątkami wymienionymi w ust. 2 (tekst RODO w EUR-Lex). Klasztor sam napisał w zawiadomieniu, że informacja o odwiedzeniu grafiku spowiedzi lub Mszy “może pośrednio wskazywać na praktyki religijne”.
Nadzór nad danymi w Kościele katolickim w Polsce sprawuje Kościelny Inspektor Ochrony Danych. Pozwala na to art. 91 RODO: kościoły stosujące własne zasady ochrony danych podlegają nadzorowi niezależnego organu, “który może być organem odrębnym”. Do KIOD klasztor zgłosił naruszenie i do niego odsyła osoby, które chcą złożyć skargę. Czy wczytywanie SDK Facebooka na tej podstronie jest zgodne z przepisami, może ocenić KIOD. My opisujemy tylko to, co zobaczyliśmy w teście.
Podobne ryzyko dotyczy adresów podstron apteki, poradni albo grupy wsparcia, jeśli nazwa podstrony zdradza temat wizyty i da się ją powiązać z osobą.
Jak sprawdzić, z kim łączy się twoja strona
W Chrome zrobisz to w dwie minuty w panelu Sieć narzędzi dla programistów. Kroki pochodzą z dokumentacji Chrome DevTools. Polska wersja tej dokumentacji jest tłumaczeniem maszynowym Google, więc w przeglądarce nazwy mogą się trochę różnić.
- Otwórz swoją stronę w oknie incognito, żeby nie przeszkadzały zapisane zgody i zalogowane konta.
- Naciśnij Ctrl+Shift+J (na Macu Command+Option+J). Otworzą się narzędzia dla programistów z panelem Konsola.
- Kliknij kartę Sieć (w angielskiej wersji Network). Panel jest pusty, bo rejestruje ruch tylko wtedy, gdy jest otwarty.
- Odśwież stronę i niczego nie klikaj.
- W polu Filtr wpisz kolejno
facebook,fbevents,google-analytics,gemius,tiktoki nazwy innych usług, które podejrzewasz. - Najedź kursorem na kolumnę Inicjator przy znalezionym żądaniu. Zobaczysz, który plik je wysłał: szablon strony, wtyczka czy osadzona ramka.
Jeśli znajdziesz fbevents.js albo facebook.com/tr, na stronie działa piksel reklamowy Meta. Wpis connect.facebook.net/.../sdk.js albo all.js oznacza SDK Facebooka. Zaznaczenie opcji Zachowaj dziennik (Preserve log) zachowa listę po przejściu na kolejną podstronę.
Naszym zdaniem warto przejść tak każdą podstronę z osadzoną cudzą aplikacją: rezerwacje, grafiki, formularze, mapy i czaty. Zdarza się, że SDK zostaje w szablonie po dawnym przycisku “Lubię to”. Jeśli na stronie nie ma już żadnej funkcji Facebooka, najprościej je usunąć. Więcej o tym, co zapisują pliki cookie, piszemy w tekście czym są pliki cookies. Spór o to, czy okna zgody mają zniknąć, opisaliśmy w tekście o banerach cookie.
Co może zrobić osoba, która oglądała grafik
Zawiadomienie klasztoru zaleca trzy kroki osobom z kontem na Facebooku lub Instagramie:
- W Centrum kont Meta otwórz “Twoje informacje i uprawnienia”, potem “Twoja aktywność poza technologiami Meta”. Usuń historię i odłącz przyszłą aktywność.
- W ustawieniach reklam ogranicz wykorzystywanie danych od partnerów.
- Usuń pliki cookie w swojej przeglądarce.
Osoby, które uważają, że ich dane przetworzono niezgodnie z prawem, mogą złożyć skargę do Kościelnego Inspektora Ochrony Danych. Adres podaje zawiadomienie: Skwer kard. Stefana Wyszyńskiego 6, 01-015 Warszawa. W sprawie samego zdarzenia klasztor wskazuje adres freta[at]dominikanie.pl i inspektora ochrony danych Polskiej Prowincji Dominikanów, ochronadanych[at]dominikanie.pl.
Zdjęcie kościoła św. Jacka przy ul. Freta w Warszawie na górze tekstu wykonał Sławomir Milejski: oryginał w Wikimedia Commons, licencja CC BY-SA 4.0. Przycięliśmy je do formatu 16:9 i zmienioną wersję udostępniamy na tej samej licencji.
Podsumowanie
Piksel Meta działał w osadzonym grafiku spowiedzi i Mszy klasztoru Dominikanów na Freta od października 2022 do 26 września 2026 roku. Według zawiadomienia z 20 października wysyłał do Meta adres IP, dane przeglądarki i urządzenia oraz adres oglądanej strony. W naszym teście z 5 listopada ramka InConvento łączyła się już tylko z własnym serwerem. Sama strona klasztoru wczytywała jednak SDK Facebooka z szablonu i wysłała do facebook.com adres podstrony z dyżurami spowiedzi, zanim cokolwiek kliknęliśmy. Ładowała też Google Analytics i Gemiusa. Zawiadomienie tego kodu nie opisuje, a jego ocenę prawną zostawiamy Kościelnemu Inspektorowi Ochrony Danych. Jeśli prowadzisz stronę parafii, gabinetu albo firmy, otwórz ją w oknie incognito, włącz panel Sieć, odśwież stronę i wpisz w filtrze facebook.
.jpg){kind=link}