Czy potrzebujesz banera cookies? Zasady zgody w poszczególnych regionach

Przejdź przez te kroki z otwartymi narzędziami deweloperskimi przeglądarki w nowym oknie prywatnym:

1. Spisz każdy plik cookie i element pamięci, który ustawia twoja strona, oraz każde żądanie do podmiotów zewnętrznych wysyłane, zanim cokolwiek klikniesz.
2. Sklasyfikuj każdy z nich: ściśle niezbędne, preferencje, analityka, reklama lub osadzone treści.
3. Sprawdź, gdzie są twoi odwiedzający. Jeśli masz odwiedzających z UE lub Wielkiej Brytanii, zasady zgody dotyczą elementów niezwolnionych. Jeśli obsługujesz wyłącznie USA, skup się na prawach do rezygnacji i informacjach.
4. Uczciwie zastosuj wyjątki. W Wielkiej Brytanii sprawdź warunki wyjątku statystycznego i dotyczącego wyglądu. W krajach UE sprawdź krajowe wytyczne dotyczące analityki.
5. Zdecyduj. Jeśli dla odwiedzających z UE lub Wielkiej Brytanii pozostaje cokolwiek niezwolnionego, potrzebujesz banera zgody, który blokuje to do czasu wyrażenia zgody.
6. Zaktualizuj politykę prywatności, aby opisywała pliki cookie, sposób działania zgody i sposób zmiany wyborów.

Jeśli lista jest krótka, rozważ usunięcie narzędzi zamiast dodawania banera. Samodzielnie hostowane czcionki, osadzenia ładowane po kliknięciu i rezygnacja z nieużywanych pikseli mogą sprawić, że zostaną ci tylko niezbędne pliki cookie. Informacje o samej polityce znajdziesz w artykule jak stworzyć politykę prywatności strony internetowej.

Wyjątek dla plików ściśle niezbędnych jest węższy, niż twierdzi wiele banerów. Zadaj sobie pytanie, czy usługa, o którą poprosił użytkownik, przestałaby działać bez danego pliku cookie, z punktu widzenia użytkownika, a nie firmy.

Zwykle zwolnione:

• Sesyjne pliki cookie, które utrzymują zalogowanie lub zapamiętują koszyk.
• Pliki cookie bezpieczeństwa, które zapobiegają oszustwom lub chronią formularze logowania.
• Pliki cookie równoważenia obciążenia, które kierują żądania.
• Plik cookie zapamiętujący wybór dotyczący zgody.
• Według interpretacji niektórych regulatorów preferencje, które użytkownik aktywnie ustawił dla bieżącej usługi, na przykład język.

Zwykle niezwolnione:

• Piksele reklamowe, retargetingowe i mediów społecznościowych.
• Większość zewnętrznych narzędzi analitycznych.
• Osadzone filmy i posty społecznościowe, które ustawiają własne pliki cookie.
• Narzędzia do testów A/B i personalizacji.

Niektórzy regulatorzy uznają wąski obszar pośredni. Na przykład francuski CNIL akceptuje zwolnienie pomiaru oglądalności, gdy ogranicza się on ściśle do pomiaru strony na potrzeby wydawcy, generuje anonimowe statystyki i nie śledzi ludzi między stronami, z warunkami dotyczącymi okresu ważności plików cookie i przechowywania danych. Zanim oprzesz się na takim zwolnieniu, sprawdź wytyczne w każdym kraju, do którego kierujesz stronę.

Jeśli potrzebujesz zgody, baner musi ją prawidłowo zbierać. Europejscy regulatorzy jasno wskazali typowe błędy. Raport Cookie Banner Taskforce Europejskiej Rady Ochrony Danych ustalił, że większość organów uznaje baner bez opcji odrzucenia na tej samej warstwie co opcja akceptacji za naruszenie, oraz skrytykował wprowadzające w błąd projekty przycisków i pliki cookie błędnie oznaczone jako niezbędne.

Praktyczna lista kontrolna:

• Blokuj przed zgodą: nieniezbędne pliki cookie i skrypty nie mogą się ładować, dopóki odwiedzający się nie zgodzi.
• Odrzucenie tak łatwe jak akceptacja: na pierwszej warstwie zaoferuj przycisk odrzucenia obok przycisku akceptacji.
• Bez wstępnie zaznaczonych pól: kategorie są domyślnie wyłączone.
• Szczegółowe wybory: pozwól zaakceptować analitykę bez akceptowania reklam.
• Jasne informacje: podaj cele i zaangażowane podmioty trzecie oraz podlinkuj politykę prywatności.
• Łatwe wycofanie: stały link, taki jak Ustawienia cookies, pozwala zmienić zdanie równie łatwo, jak wyrazić zgodę.
• Dokumentacja: przechowuj dowody zgody tam, gdzie się na niej opierasz.

Europejskie wytyczne mówią też, że ściany cookies (cookie walls), które blokują dostęp, jeśli ludzie nie zaakceptują plików, zasadniczo nie prowadzą do ważnej zgody. Baner, który mówi tylko „korzystając z tej strony, akceptujesz pliki cookie”, nie spełnia niemal żadnego punktu tej listy.

Zasada unijna wynika z art. 5 ust. 3 dyrektywy o prywatności i łączności elektronicznej (ePrivacy), a nie z samego RODO. Stanowi ona, że przechowywanie informacji na urządzeniu użytkownika lub uzyskiwanie dostępu do informacji już tam przechowywanych jest dozwolone tylko wtedy, gdy użytkownik wyraził zgodę po otrzymaniu jasnych i wyczerpujących informacji. Każdy kraj UE wdraża dyrektywę we własnym prawie, więc szczegóły nieco się różnią.

Istnieją dwa wyjątki:

1. Przechowywanie lub dostęp wyłącznie w celu przesłania komunikatu za pośrednictwem sieci.
2. Przechowywanie lub dostęp ściśle niezbędne, aby dostawca mógł świadczyć usługę, o którą użytkownik wyraźnie poprosił.

Trzy kwestie zaskakują wielu właścicieli stron:

• Nie chodzi tylko o pliki cookie. Zasada może obejmować pamięć lokalną, piksele, SDK i techniki fingerprintingu urządzeń.
• Ma zastosowanie niezależnie od tego, czy dane są osobowe. Przesłanką jest dostęp do urządzenia.
• Zgoda musi spełniać standard RODO. Musi być dobrowolna, konkretna, świadoma i jednoznaczna oraz wyrażona wyraźnym działaniem potwierdzającym. W sprawie Planet49 Trybunał Sprawiedliwości UE orzekł, że wstępnie zaznaczone pole wyboru nie tworzy ważnej zgody.

Często tak, ale brytyjskie zasady się zmieniły. Brytyjskim odpowiednikiem zasady ePrivacy jest regulation 6 Privacy and Electronic Communications Regulations. Data (Use and Access) Act 2025 ją zmienił, a odpowiednie przepisy weszły w życie 5 lutego 2026 r.

Wytyczne ICO opisują obecnie pięć wyjątków od wymogu zgody:

1. Komunikacja: wyłącznie w celu przesłania komunikatu.
2. Ścisła niezbędność: niezbędne do świadczenia usługi, o którą prosi użytkownik.
3. Cele statystyczne: wyłącznie w celu zbierania informacji statystycznych o sposobie korzystania z usługi, z myślą o jej ulepszeniu.
4. Wygląd: wyłącznie w celu dostosowania wyglądu lub funkcjonalności usługi do preferencji użytkownika.
5. Pomoc w nagłych wypadkach: wyłącznie w celu zlokalizowania urządzenia, aby udzielić pomocy w sytuacji nagłej.

Wyjątki statystyczny i dotyczący wyglądu są obwarowane warunkami. Musisz przekazać jasne i wyczerpujące informacje oraz zapewnić prosty, bezpłatny sposób wyrażenia sprzeciwu. W przypadku analityki ICO wskazuje, że dane muszą być zagregowane, nie mogą służyć do śledzenia lub profilowania ludzi ani do reklamy, a ewentualny zewnętrzny dostawca może działać wyłącznie w twoim imieniu i nie może wykorzystywać danych do własnych celów. Reklama internetowa nigdy się nie kwalifikuje. Brytyjska strona korzystająca wyłącznie z własnej, zagregowanej analityki może więc uniknąć prośby o zgodę, ale większość konfiguracji reklamowych nadal jej wymaga.

W USA nie ma ogólnego przepisu wymagającego uprzedniej zgody przed ustawieniem plików cookie. Model amerykański skupia się na informacji i rezygnacji, więc baner w stylu europejskim często nie jest prawnie wymagany, choć wiele amerykańskich firm używa go do zarządzania wyborami.

Czego oczekują przepisy USA:

• Kalifornijska CCPA: przedsiębiorstwa, które spełniają jej progi i sprzedają lub udostępniają dane osobowe, w tym na potrzeby reklamy behawioralnej opartej na różnych kontekstach, muszą oferować możliwość rezygnacji, zwykle link Do Not Sell or Share My Personal Information, i muszą respektować sygnały preferencji rezygnacji, takie jak Global Privacy Control.
• Inne stanowe ustawy o prywatności: wiele z nich daje konsumentom prawo do rezygnacji z reklamy ukierunkowanej, a kilka wymaga respektowania uniwersalnych mechanizmów rezygnacji. Niektóre wymagają uprzedniej zgody na przetwarzanie danych wrażliwych.
• CalOPPA: wymaga, aby polityka prywatności mówiła, jak reagujesz na sygnały Do Not Track i czy podmioty trzecie mogą zbierać informacje o aktywności odwiedzających w internecie na różnych stronach w czasie.
• COPPA: strony skierowane do dzieci poniżej 13 lat zasadniczo potrzebują weryfikowalnej zgody rodzica przed zbieraniem trwałych identyfikatorów na potrzeby reklamy behawioralnej.

Zobacz przegląd stanowych przepisów o prywatności w USA, aby sprawdzić, które stany mają zastosowanie i czym różnią się ich zasady rezygnacji.

Google dokłada do przepisów wymagania umowne. Jego polityka dotycząca zgody użytkowników z UE obejmuje użytkowników końcowych w Europejskim Obszarze Gospodarczym, Wielkiej Brytanii i Szwajcarii. Jeśli korzystasz z produktów Google, takich jak Google Analytics, Google Ads lub AdSense, musisz uzyskać prawnie ważną zgodę na pliki cookie lub inne lokalne przechowywanie tam, gdzie wymaga tego prawo, oraz na zbieranie, udostępnianie i wykorzystywanie danych osobowych do personalizacji reklam. Musisz też przechowywać dokumentację zgód, podać jasne instrukcje ich wycofania i wskazać każdą stronę, która może zbierać, otrzymywać lub wykorzystywać dane osobowe.

Dwie praktyczne konsekwencje:

• Wydawcy: Google wymaga od wydawców korzystających z AdSense, Ad Manager lub AdMob używania platformy do zarządzania zgodami certyfikowanej przez Google przy wyświetlaniu reklam użytkownikom w EOG i Wielkiej Brytanii.
• Reklamodawcy i użytkownicy analityki: tryb zgody Google (consent mode) pozwala banerowi przekazywać tagom Google stany zgody dotyczące przechowywania, danych użytkowników na potrzeby reklam i personalizacji reklam, a tagi odpowiednio dostosowują swoje działanie.

Opisz w polityce prywatności wszystko, co wdrażasz. Poradnik o polityce prywatności dla Google Analytics i informacje o analityce w polityce prywatności wyjaśniają odpowiednie sformułowania.

W większości przypadków tak, bo pełnią różne funkcje. Baner zbiera lub rejestruje wybory w momencie, gdy ktoś trafia na stronę. Polityka prywatności w pełni wyjaśnia przetwarzanie: co zbiera każde narzędzie, w jakim celu, kto otrzymuje dane, jak długo są przechowywane i jak ludzie mogą zmienić zdanie.

Oba elementy muszą być spójne. Jeśli polityka mówi, że analityka działa dopiero po wyrażeniu zgody, baner musi ją faktycznie do tego czasu blokować. Jeśli tagi uruchamiają się przed dokonaniem wyboru, polityka nie powinna twierdzić inaczej.

Legal Policy Generator przygotowuje politykę, a nie baner. Nie zapewnia banera cookies ani narzędzia do zarządzania zgodami. Jego kwestionariusz pyta, jakich technologii śledzących używasz, czy nieniezbędne śledzenie rozpoczyna się dopiero po zgodzie, czy przed nią z możliwością rezygnacji, oraz jak ludzie mogą zmienić preferencje, a następnie dobiera pasujące klauzule dla obsługiwanych regionów. Możesz zacząć od generatora polityki prywatności i połączyć wynik z wybranym narzędziem do zgód.

Jeśli chcesz też mieć osobny dokument o cookies, przeczytaj polityka prywatności a polityka cookies, aby ocenić, czy przyda się on twojej stronie.