Zgoda na cookies to jeden z najczęstszych findingów, jakie wpisuję do raportu z audytu sklepu. Baner cookies wisi na każdej stronie, więc właściciel zakłada, że skoro „coś tam wyskakuje”, temat jest załatwiony. Sprawdzam to na żywych sklepach i zwykle jest odwrotnie: baner istnieje, ale zbiera zgodę w sposób, który prawo uznaje za nieważny, albo trackery ładują się jeszcze zanim klient cokolwiek kliknie. Poniżej tłumaczę, kiedy baner cookies łamie prawo, czym są dark patterny w zgodach i jak rozłożyć własny baner na czynniki pierwsze, zanim zrobi to za Ciebie organ nadzorczy.
Cookies niezbędne kontra cała reszta: tu zaczyna się problem
Pierwsze nieporozumienie dotyczy tego, na co w ogóle potrzebujesz zgody. Nie wszystkie pliki cookies są równe i przepisy traktują je inaczej.
Podstawą jest art. 399 ust. 1 Prawa komunikacji elektronicznej (PKE, Dz.U. 2024 poz. 1221). Zapis lub odczyt informacji na urządzeniu użytkownika, czyli między innymi zapisanie pliku cookie, wymaga jego uprzedniej zgody. Słowo „uprzedniej” jest tu kluczowe. Zgoda ma być wcześniej niż zapis, nie po fakcie. To ważna zmiana w numeracji, którą warto znać: podstawą cookies jest dziś art. 399 PKE, a nie dawny art. 173 Prawa telekomunikacyjnego, do którego wciąż odsyła wiele starszych polityk. Pełną treść sprawdzisz w art. 399 PKE w ISAP.
Od tej zasady jest wyjątek. Art. 399 ust. 3 PKE zwalnia z obowiązku zgody cookies niezbędne. Chodzi o pliki konieczne do tego, żeby strona w ogóle działała tak, jak klient sobie życzy: utrzymanie sesji logowania, zawartość koszyka, zapamiętanie wybranej waluty czy języka, podstawowe bezpieczeństwo. Tych cookies nie da się sensownie wyłączyć, bo bez nich sklep przestaje działać, więc prawo nie wymaga na nie pytać.
Cała reszta wymaga zgody przed załadowaniem. Mówię tu o:
- cookies i pikselach reklamowych (Meta Pixel, Google Ads, TikTok i podobne),
- cookies analitycznych, w tym Google Analytics,
- narzędziach remarketingowych i śledzących ścieżkę między stronami,
- mapach ciepła i nagrywaniu sesji.
Granica jest prosta. Jeśli plik służy realizacji usługi, której klient oczekuje, jest niezbędny. Jeśli służy Tobie do marketingu, analizy czy profilowania, jest „inny niż niezbędny” i wymaga zgody z art. 399 ust. 1 PKE. Najczęstszy błąd, jaki widzę, to wrzucanie Google Analytics do worka „niezbędne” i ładowanie go bez pytania. Analityka niezbędna nie jest.
Jak wygląda ważna zgoda na cookies
Sam fakt wyświetlenia banera to za mało. Zgoda musi spełniać warunki jakościowe, a te bierze się z RODO. Art. 4 pkt 11 RODO definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli. Cztery cechy, które trzeba rozłożyć na konkret.
Dobrowolna. Klient ma realny wybór, a odmowa nie może go karać. Jeśli jedyna droga do treści sklepu prowadzi przez kliknięcie „Akceptuj”, a odmowa blokuje stronę albo jest schowana, dobrowolności nie ma.
Konkretna. Zgoda dotyczy określonych celów. Jeden przycisk „Zgadzam się na wszystko” bez możliwości rozdzielenia analityki od marketingu jest słabszy niż zgoda granularna, w której klient zaznacza kategorie.
Świadoma. Zanim klient kliknie, musi wiedzieć, kto przetwarza dane, w jakim celu i jakie cookies wchodzą w grę. To rola polityki cookies podlinkowanej z banera, powiązana z obowiązkiem informacyjnym z art. 13 RODO.
Jednoznaczna. Zgoda wymaga wyraźnego działania potwierdzającego. Domyślnie zaznaczony checkbox, dalsze przeglądanie strony albo samo zamknięcie banera krzyżykiem to nie jest jednoznaczne działanie. Do tej zgody, na mocy art. 400 PKE, stosuje się przepisy o ochronie danych osobowych, więc poprzeczka z RODO obowiązuje wprost.
Z tych czterech cech wynika praktyczny wniosek, wokół którego kręci się większość sporów: na pierwszej warstwie banera odmowa musi być równie dostępna jak zgoda.
„Odrzuć wszystko” na pierwszej warstwie, jednym kliknięciem
To jest serce tematu. Jeśli na pierwszym ekranie banera widać duży, kolorowy przycisk „Akceptuj wszystko”, a żeby odmówić, trzeba wejść w „Ustawienia”, odznaczyć suwaki i zapisać wybór, zgoda przestaje być dobrowolna w rozumieniu art. 4 pkt 11 RODO. Klient idzie po linii najmniejszego oporu i klika to, co jest pod ręką. Nie dlatego, że świadomie zgadza się na marketing, tylko dlatego, że odmowa została utrudniona.
Standard, który przyjmuję w audycie, jest prosty. Na tej samej warstwie banera, w której jest „Akceptuj”, musi być równorzędne „Odrzuć”. Jeden klik akceptuje, jeden klik odrzuca. Bez wchodzenia w drugą warstwę, bez odhaczania suwaków, bez szukania. Dwa przyciski tej samej wagi, tej samej widoczności, tak samo łatwe do trafienia.
To nie jest wymóg wzięty znikąd. Wynika wprost z dobrowolności zgody. Skoro odmowa ma kosztować klienta tyle samo wysiłku co zgoda, oba przyciski muszą stać obok siebie na starcie. Trzecia opcja, „Ustawienia” albo „Dostosuj”, jest jak najbardziej w porządku, ale jako uzupełnienie dla tych, którzy chcą zgodę granularną. Nie może zastępować równorzędnego „Odrzuć”.
Baner cookies: rozbiór na 5 punktów
Dark patterny: kiedy projekt banera staje się naruszeniem
Dark pattern to wzorzec interfejsu, który manipuluje wyborem klienta, żeby skłonić go do decyzji wygodnej dla sklepu, a nie dla niego. Przy zgodach na cookies opisuje je Europejska Rada Ochrony Danych w wytycznych 03/2022 dotyczących zwodniczych wzorców w bannerach. To soft law, czyli autorytatywna wykładnia, a nie odrębny przepis. Dlatego każdy taki zarzut zawsze podpieram twardą podstawą: art. 399 ust. 1 PKE oraz art. 4 pkt 11 i art. 7 ust. 3 RODO. Wytyczne pokazują mechanizm, przepisy dają sankcję.
W audytach najczęściej trafiam na cztery wzorce.
Fałszywa hierarchia przycisków
Najpopularniejszy. „Akceptuj wszystko” jest duże, zielone, wyróżnione. „Odrzuć” jest szare, małe, mniej kontrastowe albo schowane w „Więcej opcji”. Klient widzi jeden oczywisty przycisk i go klika. To narusza dobrowolność zgody z art. 4 pkt 11 RODO, bo wybór został zaprojektowany pod jedną odpowiedź. Lekarstwo jest banalne: dwa przyciski o tej samej wadze wizualnej, obok siebie.
Ukryte albo wielokrokowe „Odrzuć”
Wariant, w którym odmowa formalnie istnieje, ale jest schowana za dwoma kliknięciami i ekranem suwaków. Zgoda jednym kliknięciem, odmowa za trzema. Skoro art. 7 ust. 3 RODO wymaga, by wycofanie zgody było równie łatwe jak jej udzielenie, to ta sama logika dotyczy samej odmowy na wejściu. Odmowa nie może być trudniejsza niż zgoda.
Domyślnie zaznaczone zgody
Baner, który otwiera się z już włączonymi suwakami marketingu i analityki, łamie wymóg jednoznacznego działania potwierdzającego. Klient niczego nie zaznaczył, a system traktuje to jak zgodę. Art. 4 pkt 11 RODO wymaga aktywnego okazania woli, więc domyślny ptaszek zgodą nie jest. To samo dotyczy banera, który „zgodę” odczytuje z dalszego przewijania strony albo z zamknięcia krzyżykiem.
Zmęczenie i nagabywanie
Baner, który wraca na każdej podstronie, mimo że klient już odmówił, albo zasłania całą treść, dopóki nie klikniesz „Akceptuj”. To nacisk, który podkopuje dobrowolność. Odmowa raz wyrażona powinna być uszanowana, a sklep powinien działać także dla kogoś, kto kliknął „Odrzuć”.
Każdy z tych wzorców da się udowodnić z poziomu zwykłej przeglądarki, w kilka minut. Dlatego to wdzięczny finding: organ nadzorczy nie potrzebuje dostępu do Twojej infrastruktury, żeby zobaczyć fałszywą hierarchię przycisków albo Meta Pixel ładowany przed kliknięciem.
Trackery przed zgodą: najczęstszy techniczny błąd
Można mieć poprawny baner z równorzędnym „Odrzuć” i nadal łamać prawo. Wystarczy, że skrypty marketingowe i analityczne ładują się od razu po wejściu na stronę, niezależnie od tego, co klient kliknie w banerze.
To bardzo częste. Właściciel wkleja Meta Pixel i Google Analytics prosto do kodu szablonu, a baner cookies dokłada osobno, „na wierzch”. Efekt: baner pyta o zgodę, ale piksel i tak już wystrzelił przy ładowaniu strony, zanim klient zdążył przeczytać pierwsze zdanie. Z punktu widzenia art. 399 ust. 1 PKE zgoda ma być uprzednia, więc skrypt odpalony przed kliknięciem narusza przepis, nawet jeśli klient za chwilę kliknie „Akceptuj”.
Sprawdzam to wprost: otwieram sklep w trybie incognito, podglądam ruch sieciowy i patrzę, czy zanim cokolwiek kliknę, lecą już żądania do domen reklamowych i analitycznych. Jeśli tak, baner jest dekoracją, a nie mechanizmem zgody. Cookies marketingowe i analityczne mają być zablokowane do momentu zgody, a po odmowie nie mogą się załadować w ogóle.
Poprawne wdrożenie wymaga, żeby baner faktycznie sterował skryptami, a nie tylko je opisywał. Trackery startują dopiero po kliknięciu „Akceptuj” i tylko w zakresie, na który klient się zgodził. To jest różnica między banerem, który zbiera zgodę, a banerem, który udaje, że ją zbiera.
Consent Mode: techniczny sposób, żeby zrobić to dobrze
Skoro skrypty Google mają ruszać dopiero po zgodzie, potrzebujesz mechanizmu, który tym steruje. Jednym z rozwiązań jest tryb zgody (Consent Mode). To technika, w której narzędzia Google czytają stan zgody klienta i dopasowują swoje działanie: dopóki nie ma zgody na cookies marketingowe, nie zapisują ich i nie odpalają pełnego śledzenia.
Sens jest taki, że łączysz baner cookies z faktycznym zachowaniem skryptów. Klient klika „Odrzuć”, a narzędzia analityczne i reklamowe dostają sygnał, że zgody nie ma, i wstrzymują zapis cookies. Klient klika „Akceptuj”, sygnał się zmienia i dopiero wtedy ruszają pełne pomiary. To domyka lukę z poprzedniej sekcji: zgoda jest uprzednia, bo nic marketingowego nie startuje przed kliknięciem.
Nie wskazuję tu konkretnego dostawcy banera ani wtyczki, bo nie o narzędzie chodzi, tylko o efekt. Mechanizm zgody, niezależnie od marki, ma robić trzy rzeczy: blokować cookies inne niż niezbędne do czasu zgody, respektować odmowę i zapisywać, na co klient się zgodził. Consent Mode jest jedną z dróg, żeby to osiągnąć w ekosystemie Google. Sam wybór technologii to decyzja wdrożeniowa, nie prawna. Prawo patrzy na rezultat: czy przed zgodą leciał tracker, czy nie.
Wycofanie zgody musi być równie łatwe jak jej udzielenie
Ostatni element, o którym wielu właścicieli zapomina. Zgoda nie jest dana raz na zawsze. Art. 7 ust. 3 RODO daje klientowi prawo wycofać ją w każdej chwili, a wycofanie ma być równie łatwe jak jej wyrażenie.
W praktyce oznacza to, że klient musi mieć stały, łatwy dostęp do zmiany decyzji. Najczęściej robi się to małym, dyskretnym przyciskiem albo linkiem w stopce, który ponownie otwiera ustawienia cookies. Jeśli zgodę zebrałeś jednym kliknięciem przy wejściu, a jej wycofanie wymaga napisania maila i czekania trzech dni, ta sama asymetria, która psuje baner, psuje też mechanizm wycofania.
Sprawdzam ten punkt zawsze, bo łatwo go przeoczyć przy projektowaniu. Baner świetnie zaprojektowany na wejściu bywa ślepą uliczką: klient zgodził się na wszystko, a potem nie ma jak tego cofnąć poza grzebaniem w ustawieniach przeglądarki. To nie spełnia art. 7 ust. 3 RODO. Wycofanie ma być po stronie sklepu, widoczne i jednokrokowe.
Czego zgoda na cookies nie załatwia: granica regulaminu
Na koniec jedno rozróżnienie, które porządkuje cały temat. Cookies i zgody marketingowe to nie jest materia regulaminu sklepu. Regulamin, zgodnie z art. 8 ust. 3 ustawy o świadczeniu usług drogą elektroniczną, określa zasady świadczenia usług drogą elektroniczną: rodzaj usług, warunki zawierania umowy, tryb reklamacji. Zgody na cookies i marketing mieszkają gdzie indziej: w polityce prywatności, polityce cookies i w samym banerze.
Widzę czasem sklepy, które „zgodę na cookies” chowają w regulaminie i każą ją akceptować razem z warunkami zakupu. To podwójny błąd. Po pierwsze, miesza dwie różne podstawy: regulamin to art. 8 ustawy o świadczeniu usług drogą elektroniczną, a zgoda na cookies to art. 399 PKE i RODO. Po drugie, zgoda wymuszona razem z akceptacją regulaminu przestaje być dobrowolna, bo bez niej klient nie złoży zamówienia. Dwie sprawy, dwa miejsca, dwa różne mechanizmy. Mieszanie ich to gotowy finding.
Zgoda na cookies wygląda na drobiazg, a jest jednym z najłatwiejszych do udowodnienia naruszeń w całym sklepie, bo widać je z poziomu przeglądarki w kilka minut. Jeśli chcesz mieć pewność, że Twój baner zbiera zgodę zgodnie z prawem, a trackery nie ładują się przed kliknięciem, sprawdzę to w ramach audytu prawnego sklepu internetowego, z dowodem z Twojej strony przy każdym punkcie. Jak taki raport wygląda w praktyce, zobaczysz na przykładowym raporcie audytu, a sporne ustawienia banera poprawię i wdrożę w sklepie.