Nie, nie każda strona internetowa musi mieć baner cookies. Jeżeli witryna korzysta wyłącznie z technologii koniecznych do transmisji albo dostarczenia funkcji, o którą poprosił użytkownik, zgoda na ich użycie może nie być wymagana. Baner staje się potrzebny, gdy strona chce uruchamiać technologie opcjonalne, na przykład analitykę, reklamę, remarketing, nagrywanie sesji albo część zewnętrznych widżetów.
Odpowiedzi nie da się jednak ustalić na podstawie samego typu strony. Mała wizytówka może ładować kilka pikseli reklamowych, a rozbudowany panel klienta może używać wyłącznie sesji i zabezpieczeń niezbędnych do wykonania żądanej usługi. Trzeba sprawdzić, co witryna rzeczywiście zapisuje na urządzeniu użytkownika lub z niego odczytuje, w jakim celu i w którym momencie.
Ten poradnik publikuje CookieStart, dostawca CMP. Część prawna dotyczy Polski i Unii Europejskiej oraz opiera się na źródłach sprawdzonych 16 września 2026 r. Nie zastępuje oceny prawnej konkretnej organizacji.
Najkrótsza reguła decyzyjna
Zadaj trzy pytania:
- Czy strona zapisuje informacje na urządzeniu użytkownika albo odczytuje informacje już tam zapisane?
- Czy takie działanie jest konieczne do transmisji lub dostarczenia usługi wyraźnie żądanej przez użytkownika?
- Jeżeli nie jest konieczne, czy technologia pozostaje wyłączona do czasu uzyskania zgody?
Jeżeli strona nie wykonuje operacji objętych pierwszym pytaniem albo wszystkie mieszczą się w wąskim wyjątku niezbędności, baner służący do uzyskiwania zgody może nie być potrzebny. Jeżeli choć jedna opcjonalna technologia ma się uruchomić, potrzebny jest mechanizm uprzedniej informacji i zgody.
Nie oznacza to, że strona bez banera nie ma żadnych obowiązków. Nadal może przetwarzać dane osobowe, prowadzić logi serwera, obsługiwać formularze lub konta użytkowników. Takie procesy wymagają osobnej oceny i odpowiednich informacji o prywatności.
Co mówi polskie prawo o cookies?
Od 10 listopada 2024 r. podstawowym polskim przepisem dotyczącym zapisywania i odczytywania informacji z urządzenia jest art. 399 Prawa komunikacji elektronicznej. Przepis obejmuje przechowywanie informacji w urządzeniu końcowym użytkownika oraz uzyskiwanie dostępu do informacji już tam zapisanej.
Zgodnie z art. 399 PKE przed takim działaniem użytkownik powinien otrzymać jednoznaczną, łatwą i zrozumiałą informację o celu. Po otrzymaniu informacji wyraża zgodę. Przepis przewiduje wyjątek, gdy zapis lub dostęp jest konieczny do:
- wykonania transmisji komunikatu elektronicznego przez publiczną sieć telekomunikacyjną;
- dostarczenia usługi telekomunikacyjnej lub usługi elektronicznej żądanej przez użytkownika.
Art. 400 PKE odsyła przy uzyskiwaniu zgody do przepisów o ochronie danych osobowych. Zgodnie z RODO zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Administrator musi też móc ją wykazać, a wycofanie powinno być równie łatwe jak udzielenie.
Z tych przepisów nie wynika nakaz instalowania identycznego banera na każdej stronie. Wynika natomiast konieczność uzyskania ważnej zgody przed operacją, która nie mieści się w wyjątku. Baner lub panel CMP jest popularnym sposobem realizacji tego procesu.
Przepisy obejmują więcej niż pliki cookies
Nazwa „baner cookies” może być myląca. Art. 399 PKE mówi o informacji zapisywanej w urządzeniu lub odczytywanej z niego, a nie tylko o pliku z rozszerzeniem cookie.
W zależności od sposobu działania oceny mogą wymagać między innymi:
- local storage i session storage;
- identyfikatory reklamowe;
- piksele śledzące;
- unikalne i trwałe identyfikatory;
- pamięć podręczna wykorzystywana do rozpoznawania urządzenia;
- fingerprinting;
- skrypty wykonujące lokalne operacje w celu śledzenia;
- informacje przekazywane w adresach URL.
Wytyczne EROD 2/2023, w wersji 2.0 przyjętej 7 października 2024 r., analizują między innymi śledzenie przez URL i piksele, przetwarzanie lokalne oraz unikalne identyfikatory.
Dlatego komunikat „nasza strona nie używa cookies” nie kończy audytu. Trzeba sprawdzić także skrypty, pamięć przeglądarki i żądania sieciowe.
Jednocześnie samo połączenie z zewnętrznym serwerem nie przesądza automatycznie o obowiązku banera. Może jednak wiązać się z przetwarzaniem adresu IP lub innych danych osobowych i wymagać odrębnej podstawy oraz informacji. Ocena PKE i ocena RODO są powiązane, ale nie są tym samym testem.
Kiedy baner cookies może nie być potrzebny?
Baner służący do zbierania zgód może nie być potrzebny, jeśli wszystkie operacje na urządzeniu mieszczą się w wyjątku z art. 399 ust. 3 PKE. Wyjątek należy interpretować wąsko. Technologia ma być potrzebna użytkownikowi do żądanej funkcji, a nie tylko przydatna właścicielowi strony.
Przykładowe mechanizmy, które w konkretnej konfiguracji mogą być niezbędne:
- utrzymanie sesji po zalogowaniu;
- zapamiętanie produktów w koszyku w czasie zakupów;
- zabezpieczenie formularza lub sesji przed nadużyciem;
- równoważenie obciążenia konieczne do dostarczenia strony;
- zapis wybranej przez użytkownika preferencji potrzebnej do wykonania funkcji;
- cookie przechowujące decyzję o zgodach;
- uwierzytelnianie i utrzymanie dostępu do konta;
- realizacja procesu płatności, jeśli dany mechanizm jest rzeczywiście konieczny do zakupów.
To przykłady, nie automatyczna klasyfikacja. Nazwa cookie, opis producenta ani etykieta „necessary” w panelu nie rozstrzygają sprawy.
Test niezbędności
Dla każdej technologii odpowiedz:
- Jaką dokładnie funkcję uruchomił użytkownik?
- Czy bez tej technologii da się dostarczyć tę funkcję w oczekiwany sposób?
- Czy cel służy użytkownikowi, czy głównie analityce, reklamie lub wygodzie administratora?
- Czy technologia działa tylko przez czas i w zakresie koniecznym do funkcji?
- Czy dostawca nie realizuje dodatkowych, opcjonalnych celów?
Jeżeli strona mogłaby normalnie dostarczyć żądaną funkcję bez danej technologii, trudno uzasadniać wyjątek wyłącznie tym, że rozwiązanie jest wygodne lub poprawia wyniki marketingu.
Kiedy baner cookies jest zwykle potrzebny?
Mechanizm zgody jest zwykle potrzebny, gdy strona przed wyborem użytkownika chciałaby uruchomić technologie służące celom opcjonalnym.
| Cel lub narzędzie | Typowa ocena | Co sprawdzić |
|---|---|---|
| analityka ruchu | zwykle poza wyjątkiem niezbędności | cookies, identyfikatory, tryb działania i moment startu |
| piksele reklamowe | zwykle wymagają wcześniejszej zgody | żądania, identyfikatory i zdarzenia |
| remarketing | cel marketingowy | listy odbiorców i tagi platform reklamowych |
| nagrywanie sesji i mapy ciepła | funkcja opcjonalna | skrypt, identyfikatory i maskowanie danych |
| testy A/B i personalizacja | zależy od celu i techniki | pamięć przeglądarki oraz profilowanie |
| widżety społecznościowe | zależy od rzeczywistego działania | żądania przed interakcją i technologie dostawcy |
| osadzone filmy i mapy | zależy od konfiguracji | czy zasób i pamięć dostawcy ładują się przed wyborem |
| czat zewnętrzny | zależy od funkcji i integracji | cookies, storage i odbiorcy danych |
| pomiar konwersji | cel analityczny lub reklamowy | tagi przeglądarkowe i serwerowe |
Nie wystarczy przyjąć kategorii na podstawie nazwy wtyczki. Jedno narzędzie może mieć kilka trybów, a aktualizacja producenta może zmienić jego zachowanie.
Czy konkretna strona potrzebuje banera? Przykłady
| Rodzaj strony | Technologie | Wstępny wniosek |
|---|---|---|
| statyczna wizytówka | brak analityki, reklam, pamięci przeglądarki i widżetów | baner zgody może nie być potrzebny |
| strona firmowa z GA4 | analityka oparta na technologii wymagającej zgody | zwykle potrzebny mechanizm zgody i blokowanie do wyboru |
| blog z reklamami | tagi reklamowe i pomiar odbiorców | baner zwykle potrzebny |
| WordPress bez dodatków śledzących | funkcje techniczne, cookies głównie dla administratora | wynik zależy od faktycznej konfiguracji anonimowego użytkownika |
| sklep WooCommerce | koszyk, sesja, analityka i reklamy | koszyk może być niezbędny, lecz analityka oraz marketing wymagają osobnej decyzji |
| panel klienta | logowanie, sesja i bezpieczeństwo | baner może nie być potrzebny, jeśli nie ma funkcji opcjonalnych |
| landing page kampanii | piksele reklamowe i pomiar konwersji | zgoda zwykle potrzebna przed tagami |
| strona z formularzem | formularz bez dodatkowego śledzenia | sam formularz nie przesądza o banerze |
| strona z filmem lub mapą | zewnętrzny embed ładowany od razu | trzeba sprawdzić zapis, odczyt i dane przekazywane dostawcy |
| serwis z podstawowymi logami serwera | logi po stronie serwera | sam log nie oznacza automatycznie potrzeby banera, ale wymaga oceny RODO |
Tabela jest punktem wyjścia, nie opinią prawną o konkretnej stronie.
WordPress
Sam WordPress nie przesądza, że publiczny użytkownik musi zobaczyć baner. Znaczenie mają aktywne wtyczki, motyw, komentarze, logowanie, analityka, reklamy, osadzone treści oraz skrypty wklejone przez GTM lub builder.
Test wykonuj jako osoba niezalogowana. Cookie administratora, edytora albo testowe cookie ekranu logowania nie opisuje zachowania zwykłego odwiedzającego.
WooCommerce
Cookies odpowiedzialne za utrzymanie koszyka lub sesji zakupowej mogą być potrzebne do funkcji wyraźnie żądanej przez klienta. Nie oznacza to, że wszystkie technologie dodane do sklepu są niezbędne.
Osobno sklasyfikuj:
- GA4 i pomiar e-commerce;
- Google Ads i inne systemy reklamowe;
- Meta Pixel oraz Conversions API;
- odzyskiwanie porzuconych koszyków;
- rekomendacje i personalizację;
- czat, mapy, filmy i widżety opinii;
- zabezpieczenia oraz mechanizmy płatnicze.
Odmowa technologii opcjonalnych nie powinna opróżniać koszyka ani blokować funkcji niezbędnych do zakupu.
Formularz kontaktowy
Sam formularz nie tworzy automatycznie obowiązku banera. Wymaga natomiast informacji o przetwarzaniu danych przesłanych przez użytkownika.
Sytuacja może się zmienić, jeśli formularz używa zewnętrznego mechanizmu ochrony, analityki, nagrywania zachowania, automatyzacji marketingowej albo identyfikatora zapisywanego w przeglądarce. Sprawdź rzeczywiste działanie przed wysłaniem i po wysłaniu formularza.
YouTube, Google Maps i inne osadzone treści
Nie oceniaj embedu wyłącznie na podstawie logo dostawcy. Sprawdź, czy po otwarciu strony przeglądarka łączy się z dostawcą, zapisuje lub odczytuje informacje oraz uruchamia identyfikatory przed wyborem.
Jeżeli technologia wymaga zgody, można wyświetlić zastępczą grafikę lub komunikat i załadować właściwą treść dopiero po akceptacji odpowiedniej kategorii.
Baner cookies a polityka prywatności to nie to samo
Baner służy do przekazania informacji i zebrania decyzji przed uruchomieniem opcjonalnych technologii. Polityka prywatności lub cookies opisuje proces szerzej i pozostaje dostępna po zamknięciu banera.
Strona, która nie potrzebuje banera zgody, nadal może potrzebować informacji o:
- administratorze danych;
- formularzach i kontaktach;
- kontach użytkowników;
- zamówieniach oraz płatnościach;
- logach serwera i bezpieczeństwie;
- odbiorcach danych;
- okresach przechowywania;
- prawach użytkownika;
- technologiach niezbędnych działających bez zgody.
Dlatego wniosek „nie potrzebujemy banera” nie powinien prowadzić automatycznie do usunięcia polityki prywatności. Najpierw trzeba rozdzielić obowiązek uzyskania zgody od obowiązku przekazania informacji.
Jak sprawdzić, czy strona musi mieć baner cookies?
Krok 1. Otwórz czystą sesję
Użyj nowego profilu przeglądarki albo okna incognito. Wyloguj się z WordPressa i innych kont. Otwórz DevTools przed wejściem na stronę.
Krok 2. Sprawdź pamięć przeglądarki
W zakładce Application sprawdź:
- cookies własnej domeny i domen zewnętrznych;
- local storage;
- session storage;
- IndexedDB;
- service workers oraz cache storage, jeśli są używane.
Zapisz nazwę, domenę, czas ważności i moment utworzenia każdego elementu. Sama nazwa nie wystarcza do ustalenia celu.
Krok 3. Przeanalizuj Network
Przeładuj stronę z otwartą zakładką Network. Zwróć uwagę na:
- domeny analityczne i reklamowe;
- piksele oraz endpointy zdarzeń;
- skrypty map, filmów, czatu i opinii;
- kolumnę Initiator pokazującą źródło żądania;
- żądania wykonywane jeszcze przed wyborem;
- elementy ładowane dopiero po kliknięciu lub przewinięciu.
Żądanie sieciowe nie zawsze jest równoznaczne z operacją objętą art. 399, ale wskazuje technologię, którą trzeba sklasyfikować. Może też ujawniać odrębne przetwarzanie danych osobowych.
Krok 4. Sprawdź wszystkie punkty instalacji
Przejrzyj:
- wtyczki WordPress i WooCommerce;
- Google Tag Manager;
- kod motywu i motywu potomnego;
- Elementor Custom Code lub inny builder;
- dodatki do nagłówka i stopki;
- integracje formularzy, płatności i newslettera;
- tagowanie serwerowe oraz zdarzenia backendowe;
- drugi kontener GTM;
- cache i CDN.
Krok 5. Ustal cel i konieczność
Dla każdej technologii zapisz:
- nazwę i dostawcę;
- miejsce instalacji;
- moment uruchomienia;
- informacje zapisywane lub odczytywane;
- cel;
- kategorię;
- uzasadnienie niezbędności albo wymóg zgody;
- sposób zablokowania przed zgodą;
- sposób wycofania decyzji.
Krok 6. Wykonaj test decyzji
Jeżeli strona używa banera, wykonaj osobne czyste sesje dla:
- Braku interakcji.
- Odrzucenia technologii opcjonalnych.
- Zgody tylko na analitykę.
- Zgody tylko na marketing, jeśli interfejs to umożliwia.
- Akceptacji wszystkiego.
- Późniejszego wycofania zgody.
- Przejścia na kolejną podstronę.
- Ponownej wizyty.
Porównaj cookies, storage i Network. Tekst na banerze nie jest dowodem, że skrypty rzeczywiście zachowują się zgodnie z wyborem.
Automatyczny skaner CookieStart może pomóc znaleźć dostępne podstrony, cookies i skrypty oraz wskazać możliwe działanie przed zgodą. Wynik trzeba uzupełnić ręcznym testem funkcji wymagających logowania, produktu w koszyku, wysłania formularza albo wykonania płatności.
Drzewo decyzji: czy potrzebujesz banera?
| Pytanie | Jeżeli tak | Jeżeli nie |
|---|---|---|
| Czy strona zapisuje lub odczytuje informacje z urządzenia? | przejdź do oceny celu | baner zgody na te operacje może nie być potrzebny |
| Czy operacja jest konieczna do transmisji? | może podlegać wyjątkowi | sprawdź usługę żądaną przez użytkownika |
| Czy jest konieczna do konkretnej funkcji żądanej przez użytkownika? | udokumentuj uzasadnienie niezbędności | potrzebna jest uprzednia zgoda |
| Czy istnieją różne cele opcjonalne? | zapewnij odpowiednio szczegółowy wybór | prostszy wybór może wystarczyć |
| Czy technologia jest zablokowana przed zgodą? | wykonaj test aktualizacji po wyborze | popraw wdrożenie przed publikacją |
| Czy użytkownik może równie łatwo odmówić i wycofać zgodę? | sprawdź zapis decyzji | popraw interfejs i mechanizm |
Jeżeli nie potrafisz uzasadnić niezbędności albo nie wiesz, co wykonuje skrypt, nie przypisuj go automatycznie do kategorii niezbędnej. Wstrzymaj uruchomienie do wyjaśnienia.
Jak powinien działać baner, jeżeli jest potrzebny?
Poprawny mechanizm nie może być wyłącznie komunikatem „korzystając ze strony, zgadzasz się na cookies”. Powinien realnie sterować technologiami.
Sprawdź, czy:
- opcjonalne skrypty są zablokowane przed decyzją;
- zgoda wymaga aktywnego działania;
- pola opcjonalne nie są zaznaczone domyślnie;
- użytkownik może odrzucić opcjonalne cele;
- cele są opisane jasno i odpowiednio szczegółowo;
- wybór jest zapisywany oraz odtwarzany;
- istnieje dostępny sposób ponownego otwarcia ustawień;
- wycofanie jest równie łatwe jak udzielenie;
- zmiana decyzji wpływa na dalsze działanie skryptów;
- baner działa klawiaturą i na urządzeniu mobilnym.
Raport grupy zadaniowej EROD do spraw banerów cookies wskazuje między innymi problemy z brakiem odmowy, domyślnie zaznaczonymi polami i interfejsami nakłaniającymi do akceptacji. CookieStart udostępnia osobną stronę opisującą konfigurację banera cookies, ale każdą konfigurację trzeba sprawdzić na konkretnej witrynie.
Najczęstsze błędne założenia
„Każdy WordPress musi mieć baner”
Nie. CMS nie rozstrzyga obowiązku. Decydują funkcje, wtyczki, skrypty i zachowanie anonimowego użytkownika.
„Jeżeli nie ma cookies, nie ma problemu”
Nie zawsze. Strona może używać local storage, pikseli, unikalnych identyfikatorów albo innych technik objętych oceną.
„Wystarczy nazwać narzędzie niezbędnym”
Nie. Kategoria w CMP powinna wynikać z celu i faktycznej konieczności dostarczenia żądanej usługi.
„Google Tag Manager wymaga banera”
Sam kontener nie przesądza wyniku. Trzeba ocenić tagi, które uruchamia, oraz sposób ich działania. Kod może też działać poza GTM.
„Consent Mode v2 zastępuje baner”
Nie. Consent Mode przekazuje stan do obsługiwanych usług Google. Nie uzyskuje samodzielnie ważnej zgody i nie steruje automatycznie wszystkimi skryptami zewnętrznymi.
„Analityka bez cookies zawsze działa bez zgody”
Nie można przyjąć tego wyłącznie na podstawie nazwy produktu. Sprawdź fingerprinting, identyfikatory, local storage, informacje wysyłane z urządzenia, dalsze cele i przetwarzanie danych osobowych.
„Server-side tagging usuwa obowiązek zgody”
Przeniesienie części przetwarzania na serwer nie zmienia automatycznie celu ani operacji wykonywanych w przeglądarce. Trzeba ocenić kanał klienta i serwera oraz dane przekazywane do odbiorców.
„Baner automatycznie zapewnia zgodność”
Nie. Baner może wyglądać poprawnie, a trackery nadal działać przed wyborem. Zgodność zależy także od informacji, klasyfikacji, konfiguracji, możliwości wycofania oraz procesów organizacji.
Najczęstsze pytania
Czy prosta strona wizytówka musi mieć baner cookies?
Nie zawsze. Jeśli nie używa technologii opcjonalnych, analityki, reklamy, zewnętrznych widżetów ani innych mechanizmów zapisu lub odczytu wymagających zgody, baner może nie być potrzebny. Trzeba to potwierdzić technicznie.
Czy Google Analytics wymaga banera?
Jeżeli wdrożenie korzysta z technologii wymagających uprzedniej zgody, GA4 nie powinno rozpoczynać pełnego pomiaru za zgodą przed jej uzyskaniem. Oceniaj konkretną konfigurację, tryb Consent Mode, cookies, żądania i cele, a nie samą nazwę usługi.
Czy sklep internetowy zawsze potrzebuje banera?
Koszyk i sesja zakupowa mogą mieścić się w wyjątku niezbędności. Większość sklepów używa jednak także analityki, reklamy, remarketingu, czatu lub narzędzi personalizacji. Te elementy trzeba ocenić osobno.
Czy formularz kontaktowy wymaga zgody cookies?
Sam formularz nie przesądza o banerze. Potrzebna jest natomiast informacja o przetwarzaniu przesłanych danych. Dodatkowe technologie formularza mogą wymagać osobnej zgody lub innej oceny.
Czy polityka cookies wystarczy zamiast banera?
Nie, jeżeli strona uruchamia technologie wymagające uprzedniej zgody. Dokument dostępny w stopce nie zastępuje decyzji podjętej przed zapisem lub odczytem.
Czy można mieć baner, mimo że zgoda nie jest potrzebna?
Technicznie można wyświetlić informację, ale nie warto prosić o zgodę na działania, które jej nie wymagają, ani sugerować, że użytkownik kontroluje technologię, której wybór faktycznie nie zmienia. Niepotrzebny baner pogarsza UX i komplikuje dokumentację.
Czy brak banera oznacza brak polityki prywatności?
Nie. Strona może przetwarzać dane z formularzy, kont, zamówień lub logów serwera bez korzystania z opcjonalnych cookies. Obowiązki informacyjne trzeba oceniać niezależnie.
Jak często powtarzać kontrolę?
Po każdej zmianie wtyczki, GTM, narzędzia reklamowego, formularza, płatności, mapy, filmu, czatu, motywu lub sposobu ładowania skryptów. Warto także prowadzić okresowe skany, ponieważ aktualizacje mogą zmienić zachowanie bez dodania nowej wtyczki.
Nie zgaduj na podstawie wyglądu strony – zeskanuj witrynę z CookieStart i sprawdź, jakie cookies oraz skrypty rzeczywiście działają przed wyborem użytkownika.