Cookies i polityka prywatności na stronie firmy w UE: czego wymaga prawo

Strona firmowa w UE może zapisać na urządzeniu odwiedzającego tylko to, czego potrzebuje do działania, dopóki ten nie zgodzi się na więcej. Analityka, piksel Meta i tagi reklamowe czekają na zgodę. Odmowa ma być tak samo łatwa jak akceptacja, a polityka prywatności musi informować, kim jesteś, jakie dane zbierasz, którym narzędziom je przekazujesz i jak długo je przechowujesz. Poniżej wyjaśniamy, skąd biorą się te zasady i gdzie strony najczęściej je łamią.

Jakie zasady obowiązują w całej UE

Zasada dotycząca cookies pochodzi z art. 5 ust. 3 dyrektywy ePrivacy, którą każde państwo UE przeniosło do własnego prawa. Przepis mówi o informacjach przechowywanych w urządzeniu użytkownika, a nie wyłącznie o plikach cookie, więc obejmuje też wpisy w localStorage i identyfikatory pikseli. Strona może je zapisać, gdy jasno poinformuje użytkownika i uzyska jego zgodę. Bez zgody wolno zapisać tylko to, co jest niezbędne do usługi zamówionej przez samego użytkownika, na przykład koszyk albo zapamiętany wybór w banerze. Sama zgoda musi spełniać standard RODO: być dobrowolna, konkretna, świadoma i wyrażona wyraźnym działaniem.

Każde państwo egzekwuje te przepisy przez własne organy, więc urząd i wysokość kar zależą od kraju. Gdy zapisane dane pozwalają zidentyfikować osobę, krajowy organ ochrony danych może działać także na podstawie RODO, gdzie kary sięgają 20 mln euro albo 4% światowego obrotu. Jedna z największych niedawnych spraw pochodzi z Francji: 1 września 2025 r. CNIL nałożyła na Shein karę 150 mln euro za narzędzia śledzące zapisywane bez zgody.

Baner: „Odrzuć” na pierwszym ekranie, równie widoczne jak „Akceptuj”

Europejskie organy ochrony danych opisały najczęstsze problemy z banerami w raporcie Europejskiej Rady Ochrony Danych (EROD) z 2023 r.. Większość z nich uznaje za naruszenie baner, w którym na warstwie z przyciskiem zgody nie da się odmówić. Na każdej stronie trzymamy się tych zasad:

• trzy przyciski na pierwszym ekranie: „Akceptuj wszystkie”, „Odrzuć” i „Ustawienia”, w tym samym stylu;
• nic nie jest zaznaczone z góry: od wyroku TSUE w sprawie Planet49 (2019) zaznaczone wcześniej pole nie jest zgodą;
• żadnego „prawnie uzasadnionego interesu” dla cookies analitycznych i reklamowych, bo według EROD nie może on być podstawą ich zapisywania;
• nazwa firmy odpowiedzialnej za dane na pierwszym ekranie, a w ustawieniach pełna lista cookies z dostawcą, celem i okresem przechowywania każdego z nich;
• mały przycisk, który w każdej chwili ponownie otwiera ustawienia, bo wycofanie zgody ma być tak samo łatwe jak jej wyrażenie (art. 7 ust. 3 RODO).

Ten sam CSS nie gwarantuje tego samego rozmiaru na ekranie. W jednym z naszych projektów przyciski „Akceptuj” i „Odrzuć” o jednakowym stylu różniły się powierzchnią o 42% na telefonie o szerokości 390 pikseli, bo szerokość każdego przycisku zależała od długości napisu. Od tamtej pory sprawdzamy tę parę także na telefonie.

Google Consent Mode v2 nie blokuje innych tagów

Consent Mode przekazuje decyzję odwiedzającego tagom Google. Wersja 2, wprowadzona pod koniec 2023 r., dodała dwa sygnały: ad_user_data i ad_personalization. Google wymaga ich od reklamodawców w EOG, którzy chcą korzystać z personalizacji reklam i pomiaru. W podstawowym (Basic) tagi nie ładują się, dopóki odwiedzający nie dokona wyboru. W zaawansowanym (Advanced) ładują się z odmową dla wszystkich kategorii, nie zapisują cookies i wysyłają do Google sygnały bez plików cookie, na podstawie których Google modeluje konwersje, których nie widzi. Te sygnały nadal zawierają dane techniczne, takie jak adres IP i informacje o przeglądarce, a wytyczne EROD 2/2023 uznają takie żądania śledzące za objęte tym samym wymogiem zgody.

Consent Mode działa tylko na tagi Google. Piksel Meta albo Microsoft Clarity dodane do Google Tag Managera jako własny kod HTML uruchamiają się bez względu na wybór odwiedzającego, chyba że mają ustawiony osobny warunek zgody. Sprawdziliśmy to na własnej stronie 13 sierpnia 2026 r.: piksel Meta zapisał cookie _fbp, zanim odwiedzający cokolwiek kliknął. Przenieśliśmy piksel z Tag Managera do kodu, który ładuje go dopiero po zgodzie na marketing.

Tryb podstawowy ma swój mierzalny koszt. Na naszej stronie w ciągu 30 dni przed 21 września 2026 r. Google Ads zarejestrował 122 kliknięcia, a GA4 pokazał 36 sesji z płatnych wyników wyszukiwania, więc większości płatnych wizyt nie dało się powiązać z reklamami, które je przyniosły. Dlatego wielu reklamodawców wybiera tryb zaawansowany. Ze względu na wytyczne EROD to decyzja tak samo prawna jak biznesowa: opisz ten tryb w polityce prywatności i podejmij decyzję razem z osobą odpowiedzialną w firmie za ochronę danych.

Co musi zawierać polityka prywatności

Art. 13 RODO wymienia, czego osoba musi się dowiedzieć, gdy zbierasz jej dane. Nawet prosta wizytówka z formularzem kontaktowym zbiera dane, choćby w logach serwera. W praktyce polityka powinna zawierać:

• administratora jako podmiot prawny: pełną nazwę firmy, numer rejestrowy i adres, nie samą markę;
• jakie dane zbierasz, w jakim celu i na jakiej podstawie prawnej;
• kto je otrzymuje, w tym dostawca hostingu, Google, Meta i Microsoft, oraz na jakiej podstawie dane trafiają do USA (EU-US Data Privacy Framework albo standardowe klauzule umowne);
• jak długo przechowujesz każdy rodzaj danych;
• prawa odwiedzającego, sposób wycofania zgody i prawo do wniesienia skargi do organu ochrony danych;
• listę cookies i innych zapisywanych danych z rzeczywistym okresem przechowywania.

Okres przechowywania sprawdź na swojej stronie, zamiast przepisywać go z dokumentacji dostawcy. Google podaje dla cookie _ga dwa lata, ale Chrome ogranicza każde cookie do 400 dni, a Safari przechowuje cookies zapisane przez skrypty przez 7 dni. Link do polityki umieść w stopce każdej podstrony, w banerze i przy każdym formularzu z polem zgody. Gdy ktoś doda nowe narzędzie, na przykład mapę kliknięć albo czat, polityka i lista cookies też muszą się zmienić. Polityka skopiowana od innej firmy opisuje przepływ danych tamtej firmy.

Po wycofaniu zgody cookies mają zniknąć

Gdy odwiedzający wycofa zgodę, strona powinna usunąć cookies analityczne i reklamowe, a potem się przeładować. Na jednej z testowanych stron _ga i _fbp przetrwały „wycofanie” z identycznymi wartościami, bo usuwanie nie obejmowało domeny, w której je zapisano. Piksel Meta zapisuje też w localStorage wpisy lastExternalReferrer i lastExternalReferrerTime. Na jednej działającej stronie oba pozostały po wycofaniu zgody. Cookies zapisanych w domenach Mety czy Microsoftu twoja strona w ogóle nie usunie i polityka powinna o tym uczciwie informować.

Sprawdź swoją stronę w pięć minut

1. Otwórz stronę w oknie prywatnym i nie klikaj banera.
2. Otwórz narzędzia deweloperskie (F12), zakładkę Application, i zajrzyj do Cookies oraz Local Storage. Przed zgodą powinno tam być tylko to, czego strona potrzebuje, na przykład zapis wyboru.
3. Kliknij „Odrzuć” i odśwież stronę. _ga, _fbp, _clck i podobne wpisy nie powinny się pojawić.
4. Kliknij „Akceptuj”, potem wycofaj zgodę przyciskiem ustawień i sprawdź, czy cookies zniknęły.
5. Porównaj to, co widzisz, z listą w polityce prywatności.

Jeśli coś pojawia się przed zgodą, szukaj tagu, który ignoruje baner: własnego tagu w Tag Managerze bez osobnego warunku zgody, wtyczki WordPressa, widżetu czatu albo kodu zostawionego przez poprzedniego wykonawcę. Baner i Consent Mode konfigurujemy, a politykę prywatności przygotowujemy na każdej stronie, którą tworzymy, a istniejącą stronę też możemy sprawdzić. Adres wyślij przez stronę kontaktową.