Czy muszę mieć baner cookies na stronie firmy

Czy muszę mieć baner cookies? Jeśli Twoja strona używa analityki, takiej jak Google Analytics, piksela Facebooka, tagów reklamowych Google, osadzonych filmów z YouTube czy map, to najczęściej tak. Przepisy wymagają zgody użytkownika na zapisywanie i odczytywanie informacji na jego urządzeniu, poza tym, co jest niezbędne do działania strony. Baner nie jest potrzebny tylko wtedy, gdy strona używa wyłącznie plików niezbędnych, na przykład do koszyka czy logowania, i nie ładuje narzędzi firm trzecich.

Drugi powód jest praktyczny: Google od marca 2024 roku wymaga od reklamodawców z Europejskiego Obszaru Gospodarczego przekazywania informacji o zgodzie, jeśli chcą korzystać z pełnego pomiaru i remarketingu. Nie jestem prawnikiem, więc opisuję tu zasady i praktykę techniczną. Przy wątpliwościach co do Twojej strony skonsultuj się z prawnikiem od ochrony danych.

Skąd ten obowiązek i czego dotyczy

W Polsce zasady dotyczące plików cookies i podobnych technologii wynikają z przepisów o komunikacji elektronicznej, które wdrażają unijną dyrektywę o prywatności. Od listopada 2024 roku obowiązuje ustawa Prawo komunikacji elektronicznej, która zastąpiła wcześniejsze przepisy prawa telekomunikacyjnego w tym zakresie. Jeśli przy okazji przetwarzasz dane osobowe, a identyfikatory w plikach cookies często za nie uchodzą, stosuje się też RODO.

Sedno jest proste: na pliki, które nie są niezbędne do działania usługi, potrzebna jest uprzednia, świadoma zgoda. Uprzednia oznacza, że narzędzia ruszają dopiero po zgodzie, a nie w chwili wejścia na stronę.

Które pliki wymagają zgody

Analityka bywa w różnych krajach traktowana różnie, ale bezpieczne podejście w Polsce to pytać o zgodę także na nią. Osadzony film z YouTube czy mapa Google też mogą zapisywać pliki, więc warto je ładować dopiero po zgodzie albo w trybie o ograniczonej prywatności.

Jak powinien wyglądać baner

Zasady, które warto spełnić

• Przyciski „Akceptuję” i „Odrzucam” na tym samym poziomie. Odmowa nie może być schowana w trzecim oknie ustawień, gdy zgoda wymaga jednego kliknięcia.
• Żadnych zaznaczonych z góry kategorii. Zgoda musi być aktywnym działaniem.
• Krótka, zrozumiała informacja, do czego służą pliki i kto je dostaje, z linkiem do polityki cookies.
• Możliwość zmiany decyzji w każdej chwili, na przykład przez ikonę lub link w stopce.
• Narzędzia uruchamiane dopiero po zgodzie na odpowiednią kategorię.
• Zapisywanie zgód, żeby w razie pytań móc pokazać, kiedy i na co użytkownik się zgodził.

Najczęstsze ciemne wzorce

Baner, który mówi „korzystając ze strony, akceptujesz cookies”, nie zbiera zgody, tylko informuje. Tak samo krzyżyk zamykający okno nie oznacza zgody. Kolorowy, duży przycisk akceptacji obok szarego, małego linku do odmowy to wzorzec, który organy nadzorcze w Europie wielokrotnie krytykowały.

Baner a analityka i reklama

Consent Mode v2

Tryb zgody Google przekazuje do GA4 i Google Ads informację o decyzji użytkownika. W wersji podstawowej tagi Google nie ładują się bez zgody. W wersji zaawansowanej ładują się, ale bez zgody wysyłają tylko anonimowe sygnały, z których Google modeluje część brakujących danych. Bez trybu zgody reklamodawca w Europie traci możliwość budowania list remarketingowych i części pomiaru konwersji. Szczegóły wdrożenia opisuję przy usłudze Consent Mode, a ustawienie GA4 w tekście jak skonfigurować GA4.

Ile danych tracisz przez baner

Część osób kliknie „Odrzucam”, więc GA4 i panele reklamowe pokażą mniej wizyt i konwersji niż wcześniej. Odsetek zgód zależy od branży, wyglądu banera i odbiorców, a różnice między stronami bywają duże. To normalne i trzeba to uwzględnić przy porównywaniu danych sprzed i po wdrożeniu banera. Piksel Meta też powinien czekać na zgodę, o czym piszę w tekście jak zainstalować piksel Facebooka.

Baner to nie wszystko: polityka cookies

Baner zbiera decyzję, ale szczegóły muszą być gdzieś opisane. Do tego służy polityka cookies albo odpowiedni rozdział polityki prywatności. Powinna wymieniać kategorie plików, konkretne narzędzia, które działają na stronie, ich dostawców, cel i czas przechowywania oraz sposób zmiany zgody. Lista musi odpowiadać rzeczywistości: jeśli dodajesz nowe narzędzie, na przykład czat albo mapę cieplną, aktualizujesz też dokument. Co jeszcze powinno znaleźć się w polityce prywatności, opisuję w tekście polityka prywatności: wzór i zawartość.

A co, jeśli zignoruję temat

Za naruszenia przepisów o danych i komunikacji elektronicznej mogą grozić kary nakładane przez organy nadzorcze, a wysokość zależy od przepisu i skali naruszenia. W małej firmie bardziej realne niż kontrola są skarga niezadowolonego klienta i utrata danych w kampaniach, bo bez trybu zgody Google ogranicza remarketing. Oba powody wystarczą, żeby baner wdrożyć porządnie.

Jak wdrożyć baner w małej firmie

Masz trzy drogi:

1. Gotowa platforma zgód (CMP). Skanuje stronę, tworzy listę plików, zapisuje zgody i współpracuje z trybem zgody Google. Ceny zwykle zaczynają się od darmowych planów dla małych stron, a płatne plany kosztują najczęściej od kilkudziesięciu złotych miesięcznie w górę, zależnie od liczby podstron i ruchu.
2. Wbudowany baner platformy strony. Popularne kreatory stron, systemy sklepów czy WordPress z wtyczką mają proste banery. Sprawdź, czy naprawdę blokują narzędzia przed zgodą, a nie tylko wyświetlają komunikat.
3. Własne rozwiązanie w Menedżerze tagów. Daje pełną kontrolę, ale wymaga wiedzy technicznej i dbałości o zapisywanie zgód.

Dla małej strony najczęściej wybieram pierwszą opcję, bo łączy wygodę z poprawnym przekazywaniem zgód do Google.

Przykład: strona salonu kosmetycznego

Przykład umowny. Salon ma stronę z GA4, pikselem Meta, osadzoną mapą Google i widżetem rezerwacji. Przed wdrożeniem wszystkie narzędzia ładowały się od razu, a na dole wisiał pasek „Ta strona używa cookies”. Po zmianach baner ma dwa równorzędne przyciski i ustawienia kategorii, GA4 i tag Google Ads działają w trybie zgody, piksel czeka na zgodę marketingową, a mapa ładuje się po kliknięciu. Polityka prywatności i polityka cookies zostały zaktualizowane o listę narzędzi. W GA4 widać mniej wizyt niż wcześniej, ale dane, które zostały, są zebrane zgodnie z zasadami.

Typowe błędy

• Baner, który informuje, ale niczego nie blokuje.
• Brak przycisku odmowy na pierwszym ekranie.
• Narzędzia dodane później przez kogoś innego, z pominięciem banera.
• Polityka cookies skopiowana z innej strony, z narzędziami, których nie używasz.
• Brak trybu zgody przy prowadzeniu kampanii Google Ads.

Co jeszcze powinno być na stronie w związku z danymi osobowymi, opisuję w tekście RODO na stronie internetowej, a tu zobaczysz przykład dokumentu tej strony: polityka cookies.

Lista kontrolna

• Wiesz, jakie narzędzia ładuje Twoja strona.
• Narzędzia analityczne i marketingowe ruszają dopiero po zgodzie.
• Odmowa jest tak samo łatwa jak zgoda.
• Użytkownik może zmienić decyzję w każdej chwili.
• Tryb zgody Google działa, jeśli prowadzisz reklamy.
• Polityka cookies opisuje narzędzia, których naprawdę używasz.