Audyt banera cookies w 10 krokach. Przeszliśmy go na własnej stronie

Baner cookies jest zgodny z prawem dopiero wtedy, gdy przed kliknięciem „Akceptuję” strona nie zapisuje cookies analitycznych ani marketingowych i nie uruchamia skryptów, które ich używają. Consent Mode v2 przekazuje decyzję użytkownika tagom Google, ale sam niczego nie blokuje. Test w 10 krokach zajmuje około godziny i nie wymaga żadnych narzędzi poza Chrome. Przeszliśmy go krok po kroku na naszej stronie it360.pl i pokazujemy wyniki, także te, które wymagają decyzji.

Zasady w dwóch akapitach

Od 10 listopada 2024 r. zasady dotyczące cookies są w Prawie komunikacji elektronicznej (art. 399). Zapisywać i odczytywać informacje na urządzeniu użytkownika można po poinformowaniu go o celu i uzyskaniu zgody. Bez zgody wolno tylko to, co niezbędne do usługi, o którą prosi użytkownik: sesja, koszyk, zabezpieczenia. Zgoda musi spełniać wymogi RODO, czyli być dobrowolna, konkretna, świadoma i jednoznaczna. Za naruszenie art. 399 Prezes UKE może nałożyć karę do 3% przychodu. Popularna w omówieniach kwota „do 1 mln zł” dotyczy marketingu bezpośredniego (art. 398), a nie cookies.

Jak oceniać sam baner, podpowiada raport grupy roboczej EROD ds. banerów cookies ze stycznia 2023 r. Większość organów ochrony danych uznała w nim, że brak opcji odrzucenia obok przycisku akceptacji narusza wymogi ważnej zgody. Za problematyczne uznano też zaznaczone z góry pola i przyciski, przy których odmowa jest trudniejsza od akceptacji.

Consent Mode v2 w pigułce

Parametr	Czego dotyczy
analytics_storage	cookies analityczne, np. _ga
ad_storage	cookies reklamowe, np. _gcl_au
ad_user_data (nowy w v2)	przesyłanie danych użytkownika do Google w celach reklamowych
ad_personalization (nowy w v2)	reklamy spersonalizowane i remarketing

Od marca 2024 r. Google wymaga sygnałów zgody od reklamodawców z ruchem z EOG, inaczej pomiar, remarketing i personalizacja nie działają w pełni. Google opisuje dwa tryby. W podstawowym tagi Google w ogóle się nie ładują przed decyzją. W zaawansowanym ładują się od razu ze stanem „denied” i wysyłają pomiary bez cookies, z których Google modeluje konwersje. Część prawników uważa, że także takie sygnały przed zgodą wymagają podstawy prawnej.

Consent Mode steruje wyłącznie tagami Google. Piksel Mety, TikToka, Hotjar, czat czy film z YouTube musi zablokować sam baner albo reguły w Google Tag Managerze.

Jak testowaliśmy

Test zrobiliśmy 28 września 2026 r. na it360.pl. Baner obsługuje tu wtyczka Pressidium Cookie Consent, skrypty uruchamia Google Tag Manager, a Consent Mode v2 działa w wariancie gtag. Każde przejście zaczynaliśmy w czystym profilu Chrome, bez zapisanej zgody. Zapisywaliśmy cookies, zawartość warstwy danych i żądania do Google, a same pomiary blokowaliśmy, żeby test nie trafił do naszych statystyk.

10 kroków i nasze wyniki

1. Cookies przed zgodą. Otwórz stronę, nie klikaj w baner, sprawdź zakładkę Application, sekcja Cookies. Nie powinno być _ga, _gid, _gcl_au, _fbp, _ttp ani _hjSession. Przejdź na drugą i trzecią podstronę, bo część skryptów ładuje się z opóźnieniem.
   U nas: żadnego cookie analitycznego ani reklamowego. Jedyne cookie to cf_clearance, które Cloudflare zapisuje po weryfikacji przeglądarki.
2. Żądania przed zgodą. W zakładce Network filtruj kolejno: google-analytics, googleadservices, facebook, tiktok, hotjar. W trybie podstawowym nie powinno być nic. W zaawansowanym mogą pojawić się żądania Google z parametrem gcs=G100, czyli „brak zgód”.
   U nas: jedno żądanie page_view do Google Analytics z gcs=G100. To tryb zaawansowany: pomiar bez cookies, z którego Google modeluje dane. Żadnych żądań do innych platform. Wybór trybu to decyzja prawna, a nie techniczna, i warto ją świadomie podjąć razem z osobą odpowiedzialną za ochronę danych.
3. Odrzucenie tak łatwe jak akceptacja. „Odrzuć” albo „Tylko niezbędne” na pierwszej warstwie, obok „Akceptuj”, podobnej wielkości. Zamknięcie banera krzyżykiem nie jest zgodą.
   U nas: „Akceptuję” i „Tylko niezbędne” stoją obok siebie i mają ten sam rozmiar.
4. Kategorie bez domyślnych zaznaczeń. W ustawieniach szczegółowych analityka i marketing są wyłączone, a analitykę da się włączyć bez marketingu.
   U nas: w „Ustawieniach” są dwie kategorie: niezbędne (zawsze włączone) i analityczne (domyślnie wyłączone), plus „Akceptuję wszystkie”, „Odrzuć wszystkie” i „Zapisz wybór”.
5. Domyślny stan przed pierwszym tagiem. W podglądzie GTM albo Tag Assistant przy pierwszym zdarzeniu wszystkie cztery parametry mają „denied”, a polecenie consent default jest przed pierwszym tagiem Google.
   U nas: consent default ze wszystkimi zgodami „denied” jest pierwszym wpisem w warstwie danych, przed zdarzeniem gtm.js, z 500 ms na odczytanie zapisanej decyzji.
6. Aktualizacja po decyzji. Po zgodzie na samą analitykę pojawia się consent update z analytics_storage: granted i resztą „denied”. Dopiero teraz zapisuje się _ga.
   U nas: po „Akceptuję” analytics_storage zmienia się na „granted”, parametry reklamowe zostają „denied”, pojawiają się _ga i _ga_BPTP4RE4M0, a żądania do Analytics mają gcs=G101. Po „Tylko niezbędne” zapisuje się tylko cookie z decyzją (pressidium_cookie_consent), a pomiary zostają w trybie bez cookies.
7. Skrypty poza GTM. Najczęstsze źródło przecieków: piksel dodany przez wtyczkę do WooCommerce, czat wklejony w motyw, mapa albo film osadzony w treści. Każdy musi czekać na zgodę albo działać bez cookies, np. filmy z youtube-nocookie.com uruchamiane po kliknięciu.
   U nas: poza GTM i bibliotekami Google Analytics na stronie nie ładuje się żaden skrypt śledzący.
8. Wycofanie zgody. Zmiana decyzji ma być równie łatwa jak jej wyrażenie: ikona banera albo link w stopce.
   U nas: po decyzji w lewym dolnym rogu zostaje ikona, która otwiera ustawienia. Jest też dostępna z klawiatury.
9. Dokumentacja zgodna z rzeczywistością. Porównaj listę cookies w polityce prywatności z tym, co widać po pełnej akceptacji, i sprawdź, czy baner zapisuje dowód zgody.
   U nas: polityka wymienia pressidium_cookie_consent (6 miesięcy) oraz _ga i _ga_* (do 2 lat), zgodnie z tym, co zapisuje strona. Brakuje w niej cf_clearance z kroku 1. To cookie bezpieczeństwa, które nie wymaga zgody, ale opis powinien je uwzględniać.
10. Kontrola po stronie Google i po każdej zmianie. W GA4 i Google Ads sprawdź diagnostykę Consent Mode. Kroki 1, 2 i 6 powtarzaj po każdej nowej wtyczce, zmianie motywu i nowym tagu. Baner, który działał w dniu wdrożenia, przestaje wystarczać po pierwszym „szybkim” doklejeniu piksela.

Czego szukać, jeśli coś nie przechodzi

Najczęstsze przyczyny są zawsze te same: baner tylko informuje, a skrypty ładują się niezależnie od kliknięcia; Consent Mode jest włączony, ale piksele innych platform działają bez blokady; domyślny stan zgód ustawia się w GTM za późno, po tagu Google; kod GA4 jest wpięty dwa razy, w GTM i przez wtyczkę SEO. Osobna sprawa to dostępność: baner, który zasłania przyciski na telefonie albo nie działa z klawiatury, jest też barierą w rozumieniu wymagań WCAG.

Co może się zmienić

W listopadzie 2025 r. Komisja Europejska zaproponowała w pakiecie Digital Omnibus przeniesienie zasad dotyczących cookies do RODO, z odrzuceniem jednym kliknięciem, zakazem ponownego pytania o zgodę przez pół roku po odmowie i uznaniem sygnałów zgody z przeglądarki. To nadal projekt, a według omówień, m.in. Taylor Wessing, może się jeszcze zmienić. Do tego czasu obowiązuje art. 399. Baner, który przechodzi te 10 kroków, będzie dobrym punktem wyjścia także po zmianach.

Ten sam test robimy w ramach audytu strony, razem z pomiarem konwersji. Ten wpis nie jest poradą prawną: treść banera, polityki prywatności i wybór trybu Consent Mode warto potwierdzić z prawnikiem lub inspektorem ochrony danych.