Pliki cookie, integracje i zgody

Moduł 7: Prywatność i przepisy · Czas czytania: 11 min

Cel lekcji: Po tej lekcji potrafią Państwo wyjaśnić, kiedy na pliki cookie i kod pomiarowy potrzebna jest zgoda, ustawić baner cookie na swojej stronie z AI Builder, podłączyć usługi pomiarowe tak, aby ładowały się dopiero po wyrażeniu zgody, oraz sprawdzić w przeglądarce, że przed wyborem odwiedzającego nic nie jest mierzone.

Kluczowe pojęcia: plik cookie, urządzenie końcowe, zgoda, niezbędne pliki cookie, ograniczone analityczne pliki cookie, śledzące pliki cookie, baner cookie, integracja, identyfikator pomiaru, własny kod, Ustawienia plików cookie

Ta lekcja opisuje przepisy w brzmieniu obowiązującym 10 listopada 2026. Nie jest to porada prawna. Jeśli mają Państwo wątpliwości co do swojej sytuacji, prosimy zwrócić się do prawnika lub do swojej organizacji branżowej.

Co mówią przepisy

Plik cookie to mały plik, który strona internetowa zapisuje w przeglądarce odwiedzającego. Zasada dotyczy również innych sposobów zapisu danych w przeglądarce, a także pikseli i skryptów, które rozpoznają urządzenie.

W UE podstawą jest dyrektywa ePrivacy (2002/58/WE), art. 5 ust. 3: zapisywanie informacji na urządzeniu użytkownika lub odczytywanie z niego informacji jest dozwolone tylko wtedy, gdy użytkownik otrzymał jasne i pełne informacje oraz wyraził zgodę. Wyjątek dotyczy tego, co jest technicznie konieczne do przesłania komunikatu lub ściśle niezbędne do świadczenia usługi, o którą odwiedzający sam prosi.

Każdy kraj UE wprowadził tę zasadę do własnego prawa. W Polsce jest to ustawa Prawo komunikacji elektronicznej, a w Holandii art. 11.7a Telecommunicatiewet. Holandia przewiduje dodatkowy wyjątek: zgoda nie jest tam potrzebna także na pliki cookie zbierające informacje o jakości lub skuteczności strony, o ile nie mają one żadnego lub mają tylko nieznaczny wpływ na prywatność. Holenderski organ nadzorczy Autoriteit Persoonsgegevens (AP) nazywa je ograniczonymi analitycznymi plikami cookie (beperkt analytische cookies): liczą odwiedzających i popularne podstrony, nie śledzą odwiedzających między stronami i nie tworzą profili. To przykład holenderski. To, czy lekkie analityczne pliki cookie są dozwolone bez zgody, zależy od tego, jak dany kraj stosuje te przepisy. Najbezpieczniej jest prosić o zgodę lub mierzyć ruch bez plików cookie; w Polsce informacji udziela Prezes Urzędu Ochrony Danych Osobowych (UODO), https://uodo.gov.pl/. Prosimy pamiętać o dwóch rzeczach:

• Nawet bez obowiązku uzyskania zgody często przetwarzają Państwo dane osobowe (adres IP). Wtedy obowiązuje RODO: potrzebna jest podstawa prawna, a przetwarzanie należy opisać w polityce prywatności (lekcja 7.1).
• Inne kraje bywają surowsze. Jeśli mają Państwo wielu odwiedzających z zagranicy, warto sprawdzić, co mówi tamtejszy organ nadzorczy.

Śledzące pliki cookie i wszystko, co śledzi odwiedzających, tworzy profile lub służy do reklam, zawsze wymagają wcześniejszej zgody. Zgoda musi być dobrowolna i konkretna: brak działania ani dalsze klikanie nie są zgodą. Holenderski organ AP podaje cztery praktyczne zasady przejrzystego banera: należy wyjaśnić, do czego służą pliki cookie, sprawić, aby odmowa była równie łatwa jak akceptacja, aby późniejsza zmiana wyboru była równie łatwa, oraz oddzielić zgodę od sprzeciwu.

Jak rozwiązuje to AI Builder

Kreator dzieli wszystko, co działa na Państwa stronie, a pochodzi od innych dostawców, na cztery rodzaje, z objaśnieniem, które widzą również odwiedzający:

Jeśli działa coś, co nie należy do kategorii Niezbędne, kreator automatycznie włącza baner cookie. W ustawieniach widać wtedy komunikat Baner cookie włączył się automatycznie wraz z usługami, które tego wymagają, a przełącznika nie można wyłączyć, dopóki te usługi działają. Wszystko poza kategorią Niezbędne ładuje się dopiero wtedy, gdy odwiedzający wyrazi zgodę na dany rodzaj:

• Integracja (np. Google Analytics) jest umieszczona na stronie jako nieaktywny skrypt. Strona uruchamia go dopiero po zgodzie na Statystyki.
• Widżet (mapa, system rezerwacji, film) najpierw pokazuje pole z tekstem "Ten element pochodzi z Google Maps i załaduje się dopiero po zezwoleniu na kategorię Funkcjonalne." oraz przycisk Zezwól i pokaż. Film YouTube do momentu odtworzenia korzysta z wersji bez plików cookie; on również czeka na zgodę.
• Jeśli odwiedzający wycofa zgodę, strona usuwa znane pliki cookie danego rodzaju. Jeśli później dojdzie nowa usługa, baner ponownie zapyta o zgodę.

Na dole każdej podstrony pojawia się wtedy przycisk Ustawienia plików cookie, za pomocą którego odwiedzający może w każdej chwili zmienić swój wybór.

Ustawienia > Pliki cookie i zgody

Na górze widać aktualny stan: jakie usługi działają i do jakiego rodzaju należą. Poniżej można ustawić:

• Pokazuj baner cookie: włączone lub wyłączone. Jeśli nie działa nic od innych dostawców, kreator wyświetla "Brak plików cookie innych dostawców" i baner nie jest wymagany.
• Wygląd: Pasek na dole lub Karta w prawym dolnym rogu. Baner od razu widać w podglądzie.
• Odwiedzający może wybierać według rodzaju: po włączeniu odwiedzający oprócz przycisków Akceptuj wszystkie i Tylko niezbędne widzi także Wybór zgód. Po wyłączeniu widoczne są tylko dwa przyciski. Jeśli korzystają Państwo z usług kilku rodzajów (np. mapa i Google Analytics), prosimy to włączyć: holenderski organ AP wymaga wyboru dla każdego celu osobno.
• Tekst banera: puste pole oznacza tekst domyślny. Jeśli piszą Państwo własny tekst, prosimy rzeczywiście podać, do czego służą pliki cookie.
• Przycisk akceptacji i Przycisk odmowy: teksty na przyciskach. Przycisk odmowy powinien być jednoznaczny. "Tylko niezbędne" lub "Odrzuć" są w porządku; "Później" lub "Może" już nie, bo wtedy odwiedzający nie wie, co wybiera.
• Strona o prywatności: podstrona, do której prowadzi link Więcej o prywatności (lekcja 7.1).

Pułapka w wyglądzie: w banerze przycisk akceptacji ma styl przycisku głównego, a przycisk odmowy styl spokojniejszy. Prosimy sprawdzić na telefonie i komputerze, czy przycisk odmowy jest równie dobrze widoczny i łatwy do kliknięcia. Jeśli nie, warto umieścić na nim jednoznaczny tekst.

Ustawienia > Integracje

W sekcji Integracje wpisują Państwo tylko numer lub kod otrzymany od danej usługi; resztę kreator uzupełnia sam. Lista jest podzielona na trzy grupy: Statystyki, Bez plików cookie oraz Marketing i reklama.

Można też podłączyć LinkedIn Insight Tag, Hotjar i Microsoft Clarity. Po kliknięciu Połącz kreator wyświetla "Ta usługa zapisuje pliki cookie, dlatego baner cookie jest teraz włączony." Na bezpłatnym adresie działają Google Analytics 4, Google Ads, Meta-pixel, LinkedIn, Clarity i Plausible; Google Tag Manager, Hotjar i własny kod są dostępne dopiero na stronie z pakietem.

Dlaczego Plausible jest w kategorii Niezbędne? Plausible mierzy ruch bez plików cookie i bez zapisywania czegokolwiek na urządzeniu, więc zasada dotycząca plików cookie go nie obejmuje i kreator ładuje go bez banera. RODO nadal obowiązuje: prosimy wspomnieć o nim w polityce prywatności. Google Analytics 4 kreator zawsze traktuje jako Statystyki wymagające zgody, nawet jeśli skraca on adres IP. To bezpieczny wybór: to, czy Analytics może działać bez zgody, zależy od wielu ustawień.

Trzy pułapki:

1. Wklejanie kodu pomiarowego do czatu lub widżetu. Kreator odsyła wtedy do Ustawienia, Integracje: tylko tam baner o nim wie.
2. Oznaczanie własnego kodu jako niezbędnego. Na dole sekcji Integracje znajduje się Własny kod. Baner blokuje tam skrypty znanych usług. Przełącznik Ten kod jest niezbędny sprawia, że kod ładuje się od razu, także bez zgody. Prosimy wybierać to tylko dla kodu, którego strona potrzebuje i który nikogo nie śledzi. Jeśli kreator zgłasza adresy, których nie rozpoznaje, nie należy oznaczać kodu jako niezbędnego.
3. Tag Manager jako zamknięte pudełko. Kreator ładuje kontener dopiero po zgodzie na Marketing, ale nie widzi, co jest w środku. Za każdy znajdujący się w nim tag odpowiadają Państwo.

Samodzielny test

Prosimy sprawdzać to po każdej nowej integracji i aktualizować również politykę prywatności (lekcja 7.1):

1. Prosimy otworzyć swoją prawdziwą stronę (nie podgląd w kreatorze) w oknie prywatnym.
2. Prosimy otworzyć narzędzia deweloperskie przeglądarki (często F12) i wybrać kartę Sieć. Następnie odświeżyć stronę.
3. Prosimy poszukać żądań do usług takich jak google-analytics.com, googletagmanager.com lub facebook.net. Przed dokonaniem wyboru nie może ich tam być.
4. Prosimy kliknąć Akceptuj wszystkie i sprawdzić ponownie: teraz się pojawiają.
5. Prosimy kliknąć na dole Ustawienia plików cookie, wybrać Tylko niezbędne i na karcie z pamięcią i plikami cookie strony (w Chrome Aplikacja, w Firefoksie Dane) sprawdzić, czy pliki cookie _ga zniknęły.

Podsumowanie

• Dyrektywa ePrivacy (w Polsce: ustawa Prawo komunikacji elektronicznej; w Holandii: art. 11.7a Telecommunicatiewet) wymaga zgody na pliki cookie i podobne techniki, z wyjątkiem tego, co ściśle niezbędne; Holandia wyłącza dodatkowo ograniczone analityczne pliki cookie.
• Odmowa musi być równie łatwa jak akceptacja, podobnie jak późniejsza zmiana wyboru.
• AI Builder automatycznie włącza baner, gdy tylko coś wymaga zgody, i ładuje integracje, widżety oraz filmy dopiero po zgodzie na ich rodzaj.
• Usługi pomiarowe należy wpisywać w Ustawienia > Integracje, a nie w czacie ani w widżecie; własny kod można oznaczyć jako niezbędny tylko wtedy, gdy nikogo nie śledzi.
• Po każdej nowej integracji warto przeprowadzić test w oknie prywatnym na karcie Sieć.

Quiz

Zadanie

Zadanie A7.2: Brak kodu pomiarowego bez zgody. Jeśli Państwo chcą, prosimy podłączyć usługę pomiarową przez Ustawienia > Integracje, ponownie opublikować stronę i wpisać adres swojej strony z AI Builder. Program otwiera Państwa podstrony jak nowy odwiedzający, który jeszcze niczego nie wybrał, bez plików cookie i bez wykonywania JavaScriptu. Sprawdza, czy skrypt pomiarowy lub reklamowy (np. Google Analytics, Tag Manager, Google Ads lub Meta-pixel) ładuje się od razu zamiast czekać na zgodę, czy zapisywane są pliki cookie takich usług oraz czy na stronie jest baner cookie, jeśli strona korzysta z usług innych dostawców. Jeśli nie korzystają Państwo z usług innych dostawców albo tylko z Plausible, to również jest w porządku.

Więcej informacji

• Praktyczne zasady przejrzystych banerów cookie (holenderskie źródło, Autoriteit Persoonsgegevens, w języku niderlandzkim): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies/vuistregels-heldere-cookiebanners
• Pliki cookie (holenderskie źródło, Autoriteit Persoonsgegevens, w języku niderlandzkim; w Polsce: Prezes Urzędu Ochrony Danych Osobowych (UODO), https://uodo.gov.pl/): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Mierzenie liczby odwiedzających bez banera cookie
• Holenderska ustawa Telecommunicatiewet, art. 11.7a (wetten.overheid.nl, w języku niderlandzkim): https://wetten.overheid.nl/BWBR0009950/
• Bezpłatny kurs Widoczność w internecie 8.1: Pomiary z poszanowaniem prywatności