Cookies i zgody na stronie małej firmy: kiedy baner jest potrzebny, a kiedy nie (stan na listopad 2026)

Podstawa prawna: art. 399 Prawa komunikacji elektronicznej

Od 10 listopada 2024 roku zasady dotyczące cookies w Polsce reguluje art. 399 ustawy Prawo komunikacji elektronicznej (PKE). Zastąpił on wcześniejszy art. 173 Prawa telekomunikacyjnego. Przepis wdraża unijną dyrektywę o prywatności i łączności elektronicznej, więc w całej UE zasady są bardzo podobne.

Zgodnie z art. 399 zapisywanie informacji w urządzeniu użytkownika albo odczytywanie informacji już tam zapisanej jest dozwolone, jeśli użytkownik został wcześniej jasno poinformowany o celu, wyraził zgodę, a zapis lub odczyt nie zmienia konfiguracji jego urządzenia ani oprogramowania. Art. 400 PKE odsyła przy zgodzie do przepisów o ochronie danych, czyli do standardu RODO: zgoda ma być dobrowolna, konkretna, świadoma i wyrażona aktywnym działaniem.

Przepis nie mówi tylko o plikach cookies. Obejmuje każdy zapis i odczyt z urządzenia, na przykład pamięć przeglądarki (localStorage). Europejska Rada Ochrony Danych w wytycznych 2/2023 z października 2024 roku wyjaśnia, że unijny odpowiednik tego przepisu może obejmować także piksele śledzące i fingerprinting, czyli rozpoznawanie urządzenia po jego cechach.

Art. 399 ust. 2 nadal pozwala wyrazić zgodę przez ustawienia przeglądarki. W praktyce nie jest to dobra podstawa dla strony firmowej: przeglądarki domyślnie przyjmują cookies, a domyślne ustawienie trudno uznać za aktywną, świadomą zgodę w rozumieniu RODO.

Kiedy baner nie jest potrzebny

Art. 399 ust. 3 zwalnia z obowiązku zgody zapis lub odczyt, który jest konieczny do przesłania komunikatu albo do dostarczenia usługi, której użytkownik sam zażądał. Jeżeli strona używa wyłącznie takich plików, baner zgody nie jest potrzebny. Typowe przykłady:

• koszyk w sklepie internetowym, który pamięta wybrane produkty,
• logowanie do konta klienta i utrzymanie sesji,
• zabezpieczenie formularza przed nadużyciami w trakcie jego wysyłania,
• zapamiętanie decyzji użytkownika o zgodzie lub odmowie, żeby baner nie wracał przy każdym kliknięciu,
• rozkładanie ruchu między serwerami (load balancing).

Zgody wymagają natomiast zwykle: Google Analytics i inne narzędzia statystyk zapisujące identyfikatory, piksel Meta, tagi remarketingowe Google Ads, nagrywanie sesji i mapy kliknięć, a także osadzone filmy YouTube, mapy Google i widżety mediów społecznościowych, jeśli zapisują własne pliki. Strona, która ma tylko pliki niezbędne, i tak powinna opisać je w polityce prywatności, bo RODO wymaga informowania o przetwarzaniu danych osobowych.

Najczęstsze błędy w banerach

W styczniu 2023 roku Europejska Rada Ochrony Danych opublikowała raport grupy zadaniowej, która analizowała skargi na banery cookies. Na raport powołuje się też artykuł w Biuletynie UODO z 2025 roku (biuletyn zaznacza, że nie wszystkie publikowane w nim teksty są oficjalnym stanowiskiem urzędu). Na tej podstawie najczęstsze problemy to:

• brak opcji odmowy na tym samym poziomie, na którym jest „Akceptuję”; zdecydowana większość europejskich urzędów uznała to za naruszenie,
• domyślnie zaznaczone pola przy kategoriach cookies; nie dają ważnej zgody,
• odmowa ukryta jako link w tekście albo poza banerem, bez wyraźnego wyróżnienia, podczas gdy „Akceptuję” jest dużym przyciskiem,
• przycisk odmowy w kolorze tak słabo kontrastującym z tłem, że tekst jest praktycznie nieczytelny,
• powoływanie się na prawnie uzasadniony interes zamiast zgody; według raportu nie może on być podstawą zapisu i odczytu cookies,
• oznaczanie jako „niezbędne” plików analitycznych lub reklamowych,
• blokowanie dostępu do strony bez akceptacji cookies (cookie wall), które artykuł w Biuletynie UODO opisuje jako niezgodne z RODO,
• ładowanie skryptów analitycznych i reklamowych przed kliknięciem w baner; zasada jest taka, że bez zgody nie wolno zapisać żadnego pliku, który jej wymaga,
• brak prostego sposobu na wycofanie zgody; RODO wymaga, żeby było to tak łatwe jak jej udzielenie, na przykład przez stały link „Ustawienia cookies” w stopce.

Google Consent Mode v2: co to jest, a czym nie jest

Google wymaga od reklamodawców, którzy korzystają z pomiaru konwersji, personalizacji reklam i remarketingu, zbierania zgody od użytkowników z Europejskiego Obszaru Gospodarczego i przekazywania sygnałów zgody do Google na przykład przez Consent Mode. Według pomocy Google Ads bez tych sygnałów reklamodawca traci funkcje personalizacji reklam. Według tej samej pomocy wymóg zgody na personalizację reklam obowiązuje od marca 2024 roku.

Dla reklam i analityki najważniejsze są cztery parametry Consent Mode: ad_storage i analytics_storage (zapis plików reklamowych i analitycznych) oraz dodane w wersji drugiej ad_user_data i ad_personalization (przekazywanie danych do Google na potrzeby reklam i personalizacja). Google opisuje dwa warianty. W podstawowym tagi Google w ogóle się nie ładują, dopóki użytkownik nie kliknie w baner, a przy odmowie do Google nie trafiają żadne dane. W zaawansowanym tagi ładują się od razu i przed zgodą wysyłają pomiary bez cookies.

Najważniejsze: Consent Mode nie jest banerem i sam nie zbiera zgody. Google pisze wprost, że uzyskanie zgody jest obowiązkiem właściciela strony. Potrzebny jest więc baner albo platforma do zarządzania zgodami, która dopiero przekazuje decyzję do tagów. Moim zdaniem dla małej firmy bezpieczniejszy jest wariant podstawowy, bo przed zgodą nic nie jest wysyłane. Wariant zaawansowany warto skonsultować z osobą zajmującą się ochroną danych.

Strona bez banera: analityka bez cookies

Jeśli nie prowadzisz remarketingu i wystarczą Ci podstawowe statystyki, strona może działać bez baneru. Kroki:

• zastąp Google Analytics narzędziem, które nie zapisuje niczego w urządzeniu; na przykład producent Plausible deklaruje, że nie używa cookies, nie zapisuje danych w pamięci przeglądarki, a odwiedzających liczy na podstawie skrótu z adresu IP i przeglądarki, zmienianego co 24 godziny,
• przed wdrożeniem sprawdź w polityce producenta i w narzędziach przeglądarki, co skrypt faktycznie zapisuje i odczytuje; deklaracja „bez cookies” nie zawsze oznacza brak dostępu do urządzenia,
• filmy YouTube i mapy Google ładuj dopiero po kliknięciu (zamiast nich na start widać obrazek z przyciskiem „Odtwórz” lub „Pokaż mapę”),
• czcionki i biblioteki trzymaj na własnym serwerze zamiast pobierać je z zewnętrznych domen,
• nie instaluj piksela Meta ani tagów remarketingowych; jeśli kiedyś będą potrzebne, wtedy dodaj baner,
• opisz w polityce prywatności narzędzie statystyk i to, jakie dane przetwarza, bo adres IP jest daną osobową.

Kompromis jest jasny: bez baneru nie zbudujesz grup remarketingowych i nie zmierzysz konwersji z reklam w pełnym zakresie. W zamian strona jest szybsza, gość nie widzi wyskakującego okna, a ryzyko błędu w zgodach znika.

Kto sprawdza i jakie są kary

Nad przestrzeganiem art. 399 czuwa Prezes UKE (Urząd Komunikacji Elektronicznej). Za zapis lub odczyt informacji niezgodnie z art. 399 może nałożyć karę do 3% przychodu z poprzedniego roku (art. 444 i 446 PKE). Gdy przychód z poprzedniego roku nie przekracza 500 000 zł, urząd bierze pod uwagę średni przychód z 3 lat, a jeśli i ten nie przekracza 500 000 zł, kara może wynieść najwyżej 15 000 zł (art. 446 ust. 2 i 3 PKE). Stan na listopad 2026.

Prezes UODO (Urząd Ochrony Danych Osobowych) zajmuje się tym, co dzieje się z danymi zebranymi przez cookies, na podstawie RODO, gdzie kary sięgają do 20 mln euro albo 4% światowego obrotu. Według raportu europejskiej grupy zadaniowej, jeśli zapis cookies odbył się bez ważnej zgody, dalsze przetwarzanie zebranych w ten sposób danych też nie może być zgodne z RODO.

Prezes UOKiK nie jest organem od cookies, ale ściga manipulacyjne interfejsy w relacjach z konsumentami, tak zwane dark patterns. W grudniu 2023 roku nałożył na sklep internetowy nieprawomocną karę ponad 1,5 mln zł za automatyczne dodawanie produktów do koszyka. Baner, który wymusza zgodę sztuczkami, to ten sam rodzaj problemu.

Checklista dla strony firmowej

Zanim uznasz, że strona jest w porządku, sprawdź po kolei:

• Wiesz, jakie pliki i skrypty zapisuje strona; sprawdzisz to w narzędziach deweloperskich przeglądarki (zakładka z pamięcią i cookies) w oknie prywatnym.
• Przed kliknięciem w baner nie ładują się analityka, piksele ani tagi reklamowe.
• Na pierwszym ekranie baneru są równorzędne przyciski „Akceptuję” i „Odrzucam”.
• Żadna kategoria poza niezbędnymi nie jest zaznaczona domyślnie.
• W stopce jest stały link do zmiany decyzji.
• Jeśli używasz Google Ads lub GA4, baner przekazuje decyzję przez Consent Mode.
• Polityka prywatności wymienia używane narzędzia, cel i czas przechowywania danych.
• Raz na kwartał sprawdzasz, czy ktoś nie dodał nowego skryptu, na przykład przy okazji kampanii.

Przy budowie stron zaczynam od wersji z samymi plikami niezbędnymi i analityką bez cookies, a baner dodaję wtedy, gdy klient planuje reklamy z remarketingiem. Jeśli chcesz sprawdzić, co naprawdę uruchamia Twoja strona, albo potrzebujesz nowej, na którą zwykle wystarczają około 2 tygodnie, napisz przez formularz kontaktowy.

Najczęstsze pytania