Baner cookies to pierwsza rzecz, którą widzi osoba wchodząca na Twoją stronę. Zanim przeczyta nagłówek albo zobaczy zdjęcia, dostaje pytanie: zgadzasz się czy nie? Od tego, jak to pytanie zadajesz, zależy, czy jej wybór jest naprawdę uszanowany.
Większość banerów, które widuję, wygląda dobrze, a mimo to nie działa tak, jak powinna. Przycisk odmowy jest schowany, Google Analytics uruchamia się, zanim ktokolwiek cokolwiek kliknie, a zgody nie da się później zmienić.
Spis treści:
✦ Czym są cookies i po co ten baner
✦ Czy Twoja strona w ogóle potrzebuje banera
✦ Co mówią przepisy
✦ Jak wygląda dobry baner: 7 cech
✦ Najczęstsze błędy
✦ Test w 2 minuty
✦ Jak to naprawić na WordPressie
✦ Gotowe teksty do banera
✦ Baner i polityka cookies muszą mówić to samo
✦ Co może się zmienić
✦ Najczęstsze pytania
To nie jest porada prawna. Opisuję przepisy i dobre praktyki tak, jak stosuję je przy stronach moich klientek. Jeśli masz nietypową sytuację, na przykład rozbudowany sklep z reklamami w wielu kanałach, warto skonsultować się z prawnikiem.
Czym są cookies i po co ten baner
Cookies to małe pliki, które strona zapisuje w przeglądarce osoby odwiedzającej. Część z nich jest potrzebna, żeby strona w ogóle działała: zapamiętuje zawartość koszyka, utrzymuje zalogowanie albo zapisuje, że ktoś już odpowiedział na baner. Inne służą do czegoś więcej: liczą odwiedziny, śledzą, skąd ktoś przyszedł, albo pozwalają pokazywać mu reklamy.
Baner to po prostu pytanie przed wejściem. Tak jak gość w Twoim domu może sam zdecydować, czy zdejmie buty, tak osoba na Twojej stronie decyduje, czy pozwala zbierać o sobie informacje.
Bez zgody działać mogą tylko cookies niezbędne. Zgody wymagają między innymi:
- Google Analytics i inne narzędzia do statystyk,
- piksele reklamowe (Meta, TikTok, Pinterest),
- osadzone filmy z YouTube i Vimeo,
- mapy Google,
- feed z Instagrama i inne treści wczytywane z zewnętrznych serwisów.
To ostatnie często zaskakuje: sam film z YouTube na Twojej stronie zapisuje cookies Google, nawet jeśli nikt go nie włączy.
Czy Twoja strona w ogóle potrzebuje banera
Jeśli Twoja strona używa wyłącznie cookies niezbędnych, banera zgody nie potrzebujesz. Wystarczy informacja w polityce cookies.
W praktyce takich stron jest niewiele. Wystarczy jedno osadzone wideo, mapa dojazdu albo podpięty Google Analytics, żeby baner był potrzebny. Jeśli nie wiesz, co dokładnie działa na Twojej stronie, punkt 7 pokaże Ci, jak to sprawdzić.
Co mówią przepisy
Od 10 listopada 2024 roku zasady dotyczące cookies w Polsce określa art. 399 Prawa komunikacji elektronicznej. Zastąpił on wcześniejszy przepis z Prawa telekomunikacyjnego. Mówi, że zapisywać informacje na urządzeniu użytkowniczki albo je odczytywać można dopiero wtedy, gdy zostanie poinformowana o celu w sposób jasny i zrozumiały i wyrazi na to zgodę, chyba że chodzi o pliki niezbędne do działania usługi, z której sama chce skorzystać.
Jak ta zgoda ma wyglądać, określa RODO: musi być dobrowolna, konkretna, świadoma i jednoznaczna. Europejska Rada Ochrony Danych w swoich wytycznych i w raporcie dotyczącym banerów cookies wyjaśniła, co to znaczy w praktyce: odmowa ma być tak samo łatwa jak zgoda, a kolory i układ przycisków nie mogą popychać do kliknięcia „Akceptuję”.
Jak wygląda dobry baner: 7 cech
1. „Odrzuć” widać od razu. Przycisk odmowy jest na pierwszym ekranie banera, a nie dopiero po kliknięciu w „Ustawienia”.
2. „Odrzuć” i „Akceptuję” wyglądają tak samo. Ten sam rozmiar, ten sam kształt, podobny kontrast. Jeśli jeden przycisk jest pełny i kolorowy, a drugi szary i mały, wybór przestaje być równy.
3. Żadna kategoria nie jest zaznaczona z góry. W ustawieniach szczegółowych przełączniki dla analityki i marketingu są domyślnie wyłączone. Włączona może być tylko kategoria „niezbędne”.
4. Nic nie ładuje się przed kliknięciem. Dopóki osoba nie zdecyduje, na stronie działają wyłącznie pliki niezbędne. Statystyki, piksele i osadzone treści czekają.
5. Zgodę da się zmienić. Na stronie jest mała ikonka albo link w stopce, na przykład „Ustawienia cookies”, który otwiera baner ponownie. Wycofanie zgody ma być tak samo łatwe jak jej wyrażenie.
6. Baner prowadzi do polityki cookies. Osoba, która chce wiedzieć więcej, znajdzie tam listę narzędzi i ich cel.
7. Zgoda jest zapisywana. Wtyczka zapamiętuje, kto i kiedy wyraził zgodę albo odmówił. Na wypadek pytań masz to czarno na białym.
Najczęstsze błędy
- Tylko przycisk „OK” albo „Rozumiem”. To informacja, a nie pytanie, bo nie ma czego odmówić.
- „Ustawienia” zamiast „Odrzuć”. Żeby odmówić, trzeba wejść w kolejne okno i odznaczać kategorie. To kilka kliknięć zamiast jednego.
- Szary, mały przycisk odmowy obok dużego, kolorowego „Akceptuję wszystkie”.
- „Korzystając ze strony, zgadzasz się na cookies”. Dalsze przewijanie strony nie jest zgodą.
- Blokada strony bez zgody. Treści nie da się zobaczyć, dopóki nie klikniesz „Akceptuję”.
- Google Analytics wczytuje się przed zgodą. Baner jest, ale niczego nie blokuje. To najczęstszy przypadek, a z zewnątrz zupełnie go nie widać.
- Na telefonie baner zasłania cały ekran, a przycisk odmowy jest poza nim i trzeba go szukać.
Otwórz swoją stronę w oknie incognito, na komputerze i na telefonie. Porównaj to, co widzisz, z listą powyżej. Zapisz, co się zgadza, a co nie.
Test w 2 minuty: czy Twój baner naprawdę działa
Ten test pokaże coś, czego nie widać gołym okiem: czy narzędzia Google uruchamiają się przed zgodą.
- Otwórz swoją stronę w oknie incognito (w Chrome: Ctrl + Shift + N, na Macu: Cmd + Shift + N).
- Naciśnij F12. Otworzą się narzędzia dla programistów. Nie przejmuj się ich wyglądem, potrzebujesz jednej zakładki.
- Wejdź w zakładkę Network (Sieć).
- W polu filtra wpisz google.
- Odśwież stronę klawiszem F5. Nie klikaj nic w banerze.
Co oznacza wynik?
Jeśli na liście pojawiły się adresy z google-analytics.com albo googletagmanager.com, Twoja analityka zbiera dane, zanim ktokolwiek wyraził zgodę. Baner jest na stronie, ale nie spełnia swojego zadania.
Jeśli lista jest pusta, a adresy pojawiają się dopiero po kliknięciu „Akceptuję”, wszystko działa tak, jak powinno.
Możesz powtórzyć test z innymi słowami w filtrze: facebook (piksel Meta), youtube, instagram.
Jak to naprawić na WordPressie
Wybierz wtyczkę do zgód
Na WordPressie baner najprościej ustawić wtyczką. Sama korzystam z CookieYes. Ma polski interfejs, skanuje stronę w poszukiwaniu cookies i potrafi blokować skrypty do czasu zgody.
Wersja bezpłatna wystarczy dla wielu małych stron, ale ma swoje granice:
- do 5000 odsłon miesięcznie,
- skanowanie do 100 podstron,
- brak zmiany kolorów banera.
Ten ostatni punkt ma znaczenie przy cesze nr 2. Jeśli w domyślnym wyglądzie „Odrzuć” wyraźnie odstaje od „Akceptuję”, potrzebujesz płatnego planu albo innej wtyczki. Popularną alternatywą jest Complianz, który w bezpłatnej wersji pozwala dopasować wygląd przycisków.
Ustaw CookieYes krok po kroku
- Zainstaluj wtyczkę CookieYes i połącz ją z kontem (wtyczka przeprowadzi Cię przez to sama).
- W ustawieniach banera wybierz szablon RODO (GDPR), czyli zgoda przed uruchomieniem, a nie po.
- Upewnij się, że przycisk „Odrzuć wszystkie” jest włączony i widoczny na pierwszym ekranie.
- Uruchom skanowanie cookies. Wtyczka sama przypisze większość plików do kategorii: niezbędne, funkcjonalne, analityczne, marketingowe.
- Przejrzyj listę i dopisz opisy tam, gdzie ich brakuje.
- Włącz przycisk ponownej zgody (ikonkę), żeby można było wrócić do ustawień.
- Zrób test z punktu 6 jeszcze raz.
Jeśli test nadal pokazuje Google
To zwykle oznacza, że kod Google Analytics jest dodany w kilku miejscach naraz. Wtyczka blokuje jeden, a drugi ładuje się obok.
Sprawdź:
- ustawienia motywu (w Divi: Opcje motywu → Integracja),
- inne wtyczki, na przykład Site Kit by Google, MonsterInsights albo wtyczki SEO z opcją statystyk,
- Google Tag Managera, jeśli go używasz.
Zostaw kod w jednym miejscu, najlepiej przez wtyczkę zgód albo Tag Managera z włączonym Consent Mode v2. To mechanizm, dzięki któremu narzędzia Google wiedzą, na co ktoś się zgodził.
Consent Mode ma dwa tryby. Podstawowy nie wysyła do Google niczego, dopóki nie ma zgody, i wtedy test z punktu 6 wyjdzie czysto. Zaawansowany wysyła przed zgodą sygnały bez cookies, więc w teście zobaczysz połączenia z Google. Przy małej stronie wybrałabym tryb podstawowy. Jest prostszy i nie budzi wątpliwości.
Osadzone filmy, mapy i Instagram
- YouTube: CookieYes potrafi zablokować osadzony film i pokazać w jego miejscu informację „Zaakceptuj cookies, żeby obejrzeć”. Tryb rozszerzonej prywatności YouTube (adres youtube-nocookie.com) ogranicza zbieranie danych, ale nie zwalnia z pytania o zgodę.
- Mapy Google: tak samo jak filmy. Możesz też zamiast mapy dać zwykły link „Zobacz w Mapach Google”.
- Feed z Instagrama: we wtyczce Instagram Feed znajdziesz ustawienia RODO (GDPR). Włącz je, a wtyczka będzie czekała na zgodę albo pokazywała zdjęcia bez łączenia się z Instagramem.
Gotowe teksty do banera
Możesz je skopiować i dopasować do siebie.
Pierwszy ekran:
Zanim wejdziesz dalej
Używam plików cookies, żeby strona działała, a jeśli się zgodzisz, także po to, żeby sprawdzać, które treści są dla Ciebie najbardziej przydatne. Wybór należy do Ciebie i możesz go zmienić w każdej chwili. Więcej przeczytasz w [Polityce cookies].
Przyciski:
- Odrzuć wszystkie
- Ustawienia
- Akceptuję wszystkie
Opisy kategorii:
Niezbędne: Bez nich strona nie działałaby poprawnie. Zapamiętują na przykład Twój wybór w tym banerze. Są zawsze włączone.
Funkcjonalne: Pozwalają wyświetlać treści z innych serwisów, na przykład filmy z YouTube albo zdjęcia z Instagrama.
Analityczne: Pomagają mi zobaczyć, ile osób odwiedza stronę i które treści są czytane najchętniej. Dane są zbiorcze i nie służą do reklam.
Marketingowe: Pozwalają mierzyć skuteczność reklam i pokazywać je osobom, które odwiedziły stronę.
Jeśli nie korzystasz z reklam, kategorię marketingową możesz usunąć. Baner pyta wtedy tylko o to, czego naprawdę używasz.
Baner i polityka cookies muszą mówić to samo
Każde narzędzie, które pojawia się w banerze, powinno być opisane w polityce cookies: co to jest, do czego służy i jak długo działa. Działa to też w drugą stronę: w polityce nie powinno być narzędzi, których już nie używasz.
Najprościej po każdym skanowaniu we wtyczce porównać listę z polityką. CookieYes potrafi też wygenerować tabelę cookies, którą wstawisz bezpośrednio do polityki.
Więcej o tym, jakie dokumenty powinny być na Twojej stronie, przeczytasz we wpisie [Jakie dokumenty musi mieć strona internetowa →].
Baner to jeden z 27 punktów do sprawdzenia na Twojej stronie.
W checkliście „Porządki na Twojej stronie www” znajdziesz pozostałe, każdy z podpowiedzią, co zrobić, jeśli coś nie działa.
Co może się zmienić
Unia Europejska pracuje nad zmianą przepisów o cookies w ramach pakietu Digital Omnibus, przedstawionego przez Komisję Europejską w listopadzie 2025 roku. Wśród propozycji jest przeniesienie zasad o cookies do RODO, zwolnienie z obowiązku zgody dla prostych, zbiorczych statystyk prowadzonych przez samą stronę oraz obowiązek honorowania sygnałów zgody wysyłanych przez przeglądarkę, co z czasem mogłoby ograniczyć liczbę banerów.
To na razie propozycja, a nie obowiązujące prawo. Państwa członkowskie i Parlament Europejski wciąż o niej rozmawiają, a pomysł z sygnałami z przeglądarki nie znalazł się w stanowisku Rady z czerwca 2026 roku. Do czasu ewentualnych zmian obowiązują zasady opisane w tym wpisie. Gdy coś się zmieni, zaktualizuję ten tekst i napiszę o tym w Listach z Wierzbowego Gaju.
Najczęstsze pytania
Mam tylko Google Analytics. Czy to wymaga zgody?
Tak. Statystyki nie są niezbędne do działania strony, więc Google Analytics może się uruchomić dopiero po zgodzie.
Czy po poprawieniu banera spadną mi statystyki?
Tak, i to jest normalne. Zobaczysz tylko osoby, które się zgodziły, więc liczby będą niższe niż wcześniej. Nie znaczy to, że odwiedzających jest mniej. Wcześniejsze dane pokazywały po prostu również osoby, które nie wyraziły na to zgody.
Czy wystarczy darmowa wersja CookieYes?
Dla małej strony, do 5000 odsłon miesięcznie, często tak. Sprawdź tylko, czy w domyślnym wyglądzie przyciski „Odrzuć” i „Akceptuję” są równorzędne. Jeśli nie, rozważ płatny plan albo inną wtyczkę.
Czy feed z Instagrama na stronie wymaga zgody?
Tak, jeśli wczytuje zdjęcia bezpośrednio z Instagrama. Włącz ustawienia RODO we wtyczce, a feed poczeka na zgodę.
Jak często sprawdzać baner?
Za każdym razem, gdy dodajesz nową wtyczkę, osadzasz nowy rodzaj treści albo podpinasz nowe narzędzie. Poza tym raz na pół roku, przy większym przeglądzie strony.
Dobry baner nie musi być skomplikowany. Wystarczy, że zadaje uczciwe pytanie i szanuje odpowiedź. Jeśli zrobisz dziś tylko test z punktu 6, będziesz już wiedziała więcej o swojej stronie niż większość osób, które ją prowadzą.
A jeśli wolisz, żeby ktoś sprawdził baner i resztę strony za Ciebie, zajrzyj do Przeglądu technicznego →.
Źródła
- Ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej, art. 399
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), art. 4 pkt 11 i art. 7
- Europejska Rada Ochrony Danych, Wytyczne 05/2020 dotyczące zgody na mocy rozporządzenia 2016/679
- Europejska Rada Ochrony Danych, Raport grupy zadaniowej ds. banerów cookies, styczeń 2023
- CookieYes – cennik i limity planów
- Taylor Wessing – The Digital Omnibus: Cookies
- GDPR Local – Cookie Banner Reform: Where the EU Digital Omnibus Debate Stands
