Baner cookies i Consent Mode v2: co musi mieć strona firmy w 2026

Baner cookies bywa traktowany jak wtyczka do zainstalowania i zapomnienia. A potem okazuje się, że Google Analytics ładuje się, zanim ktokolwiek kliknął „akceptuję”, a przycisk odrzucenia jest schowany w ustawieniach. Jak to ustawić, żeby było poprawnie i nie psuło pomiaru?

To porada praktyczna, nie prawna. Opisuję, co sam sprawdzam na stronach firm i jak to skonfigurować. W razie wątpliwości co do przepisów zapytaj prawnika.

Podstawa prawna w skrócie

W Polsce zasady dotyczące zapisywania i odczytu informacji na urządzeniu użytkownika (czyli także cookies) opisuje art. 399 Prawa komunikacji elektronicznej, który obowiązuje od 10.11.2024. Zastąpił dawny art. 173 Prawa telekomunikacyjnego. Jeśli ktoś w Internecie dalej powołuje się na art. 173, to jego tekst jest nieaktualny.

Zasada jest prosta: do zapisu i odczytu rzeczy, które nie są niezbędne do działania strony (analityka, piksele reklamowe, część osadzonych usług), potrzebna jest zgoda odwiedzającego. Pliki niezbędne, na przykład koszyk w sklepie albo sesja logowania, jej nie wymagają.

Co musi mieć dobry baner

To lista, którą stosuję przy wdrożeniach:

• Przycisk „Odrzuć” widoczny od razu, tak samo łatwy do kliknięcia jak „Akceptuję”. Ten sam rozmiar, ta sama warstwa, bez chowania w drugim kroku.
• Brak zaznaczonych z góry zgód. Przełączniki analityki i reklam są domyślnie wyłączone.
• Podział na cele: niezbędne, analityka, reklamy. Ludzie mogą zgodzić się na jedno, a odrzucić drugie.
• Prosty język: co robi dany cel i kto zbiera dane.
• Link do polityki prywatności i do listy używanych cookies.
• Możliwość zmiany decyzji: stały przycisk albo link w stopce („Ustawienia cookies”), który ponownie otwiera baner.
• Zapamiętanie wyboru, żeby baner nie wyskakiwał na każdej podstronie.

To, że baner da się zamknąć krzyżykiem albo przewinięciem strony, nie jest zgodą. Zgoda to wyraźne działanie, czyli kliknięcie.

Skrypty nie mogą startować przed zgodą

Najczęstszy błąd, jaki widzę: baner jest, ale kod Google Analytics 4, piksel Facebooka czy tag Google Ads ładują się od razu po wejściu na stronę. Baner wtedy jest tylko dekoracją.

Poprawnie działa to tak: do czasu zgody skrypty analityczne i reklamowe nie są pobierane ani uruchamiane. Po kliknięciu „Akceptuję” baner uruchamia właściwe tagi. Najwygodniej zarządzać tym przez Google Tag Manager, który odczytuje stan zgód.

Consent Mode v2: o co chodzi

Consent Mode to mechanizm Google, który przekazuje do tagów informację o tym, na co odwiedzający się zgodził. W wersji v2 są cztery parametry:

• ad_storage: zapis danych reklamowych,
• analytics_storage: zapis danych analitycznych,
• ad_user_data: przekazywanie danych użytkownika do Google w celach reklamowych,
• ad_personalization: personalizacja reklam i remarketing.

Google w pomocy do Google Ads pisze, że w Europejskim Obszarze Gospodarczym korzystanie z list odbiorców i pomiaru konwersji wymaga przekazywania tych sygnałów. W praktyce: jeśli prowadzisz Google Ads i nie masz Consent Mode v2, możesz stracić pomiar i remarketing.

Jeśli reklamujesz firmę, warto o tym pamiętać razem z konfiguracją konwersji. Robię to w ramach usługi Analityka i tagi, a sam baner i dane klientów porządkuję przy usłudze Dane klientów w UE.

Tryb podstawowy i zaawansowany

Consent Mode działa w dwóch wariantach:

Dla małej firmy zaczynam zwykle od trybu podstawowego: jest prostszy w obronie i łatwiej wytłumaczyć, że nic nie dzieje się przed zgodą. Tryb zaawansowany ma sens, gdy kampanie są większe i potrzebujesz modelowania. Wybór warto skonsultować z osobą odpowiedzialną za RODO w firmie.

Jak sprawdzić swoją stronę w 5 minutach

To test, który możesz zrobić samodzielnie:

1. Otwórz stronę w oknie incognito, żeby nie mieć zapisanych zgód.
2. Naciśnij F12 i wejdź w kartę Sieć (Network). Odśwież stronę, nie klikając nic w banerze.
3. Wpisz w filtrze google-analytics, googletagmanager, facebook i doubleclick. Jeśli widzisz zapytania do tych adresów przed kliknięciem w baner, skrypty ładują się za wcześnie.
4. Wejdź w kartę Aplikacja (Application), potem Pliki cookie. Przed zgodą nie powinno być plików takich jak _ga czy _fbp.
5. Kliknij „Odrzuć” i sprawdź to samo. Potem kliknij „Akceptuję” i zobacz, czy skrypty startują dopiero wtedy.

Do sprawdzenia, czy tagi Google dostają właściwe sygnały zgód, możesz użyć trybu podglądu w Google Tag Managerze i narzędzia Google Tag Assistant.

Jeśli wolisz szybki przegląd całej strony, uruchom mój darmowy Zbadaj stronę. Sprawdza szybkość, SEO, bezpieczeństwo, dostępność i widoczność w AI, więc złapiesz też inne problemy, które wpływają na zaufanie klientów.

Najczęstsze błędy

• Baner bez blokowania skryptów. Wygląda dobrze, ale nic nie blokuje.
• „Akceptuję” jako jedyny widoczny przycisk, a odrzucenie w podmenu.
• Zaznaczone z góry pola analityki i reklam.
• Brak Consent Mode v2 przy kampaniach Google Ads.
• Osadzone mapy, filmy i czaty, które zapisują dane przed zgodą. Zwykle da się je załadować dopiero po kliknięciu.
• Nieaktualna polityka cookies, w której nie ma narzędzi, które faktycznie działają.
• Brak możliwości zmiany zgody po zamknięciu banera.

Co może się zmienić: Digital Omnibus

Na poziomie UE trwają prace nad pakietem Digital Omnibus, w którym mają się znaleźć także zmiany dotyczące zasad cookies i zgód. Rada UE pracuje nad tym tematem. Na dzień 14.10.2026 traktuję to jako zmianę w toku, a nie obowiązujące prawo. Dopóki nic nie wejdzie w życie, trzymam się obecnych przepisów. Gdy coś się zmieni, zaktualizuję tę poradę.

Podsumowanie

Dobry baner to taki, w którym odrzucenie jest tak łatwe jak akceptacja, nic nie jest zaznaczone z góry, a skrypty ładują się dopiero po zgodzie. Do tego dochodzi Consent Mode v2, jeśli używasz Google Ads. Sprawdzisz to samodzielnie w przeglądarce w kilka minut.

Jeśli wolisz, żebym przejrzał Twoją stronę i ustawił baner, GA4 i konwersje, napisz do mnie. Zajmę się Analityką i tagami i dostosowaniem danych klientów do RODO. Odpowiadam w 24 godziny.