Szybka odpowiedź: aby legalnie używać plików cookie, potrzebujesz uprzedniej, świadomej, dobrowolnej i jednoznacznej zgody na każdy nieistotny plik cookie (statystyka, reklama, personalizacja). W praktyce: baner, który blokuje nieistotne pliki cookie do czasu decyzji użytkownika, przycisk „Odrzuć” tak samo widoczny jak „Akceptuj”, brak wstępnie zaznaczonych pól, dowód zgody oraz wycofanie równie łatwe jak jej udzielenie. Ściśle niezbędne pliki cookie (logowanie, koszyk, bezpieczeństwo) nie wymagają zgody, ale należy je ujawnić.
Podstawa prawna: RODO i Prawo komunikacji elektronicznej (PKE)
Nakładają się dwa akty. Dyrektywa ePrivacy wymaga zgody przed zapisaniem cookie; RODO definiuje zgodę „dobrowolną, konkretną, świadomą i jednoznaczną”. W Polsce obowiązuje nowe Prawo komunikacji elektronicznej (PKE), które zastąpiło Prawo telekomunikacyjne, a organem nadzorczym jest UODO. TSUE (Planet49, C-673/17) orzekł, że wstępnie zaznaczone pole nie stanowi ważnej zgody.
„Dane osobowe to nowa ropa internetu i nowa waluta cyfrowego świata.”
— Meglena Kuneva, Komisarz UE ds. Konsumentów (2009)
Pięć wymogów zgodnego banera cookie
- Najpierw blokuj. Żaden tracker nie uruchamia się przed zgodą.
- Szczegółowość. Wybór według celu (niezbędne, preferencje, statystyka, marketing).
- Odrzucenie tak łatwe jak akceptacja. Oba przyciski na pierwszej warstwie — wskazówka UODO.
- Bez dark patterns. Bez wstępnie zaznaczonych pól i trików kolorystycznych.
- Odwoływalna i rejestrowana. Stały link „Ustawienia cookie” oraz rejestr zgód.
Google Consent Mode v2 — obowiązkowy od marca 2024
Od marca 2024 każda witryna wysyłająca dane z EOG lub Wielkiej Brytanii do Google Ads, GA4 lub remarketingu musi używać Consent Mode v2, który przekazuje wybór przez cztery sygnały (ad_storage, analytics_storage, ad_user_data, ad_personalization). Bez poprawnego powiązania z banerem pomiar konwersji przestaje działać dla europejskich użytkowników. Certyfikowana platforma CMP zgodna z TCF v2.2 łączy baner i tagi.
Niezbędne vs. wymagające zgody
| Typ | Przykłady | Zgoda? |
|---|---|---|
| Ściśle niezbędne | Logowanie, koszyk, bezpieczeństwo | Nie (ujawnić) |
| Statystyka | Google Analytics 4, Matomo | Tak |
| Marketing | Meta Pixel, Google Ads, LinkedIn | Tak — zawsze |
Ile kosztuje brak zgodności
RODO dopuszcza kary do 20 mln € lub 4% światowego obrotu. Francuski CNIL ukarał Google kwotą 150 mln € właśnie dlatego, że odrzucenie wymagało więcej kliknięć niż akceptacja. Nieważna zgoda sprawia, że każde późniejsze przetwarzanie jest nielegalne.
Najczęstsze pytania
Czy potrzebuję banera tylko przy Google Analytics?
Tak. GA4 zapisuje pliki cookie i przetwarza dane osobowe; uprzednia zgoda jest wymagana.
Czy samo „Akceptuj” jest dozwolone?
Nie. Bez równoważnego „Odrzuć” zgoda nie jest dobrowolna.
Jak długo ważna jest zgoda?
Nie ma jednej wartości; 6–12 miesięcy to powszechnie przyjęte maksimum.
Źródła
- TSUE — Planet49 (C-673/17).
- UODO — PKE / cookie.
- Google for Developers — Consent Mode v2.
- IAB Europe — TCF v2.2.
Potrzebujesz zgodnej i konwertującej strony?
WiseGuyXL tworzy i audytuje zgodne z RODO, wydajne strony w całej Europie — usługi WiseGuyXL. Osiągnęliśmy 341% wzrostu organicznego w ponad 30 projektach na ponad 9 rynkach.