Cookie consent w polskim prawie 2026: baner, zgoda, wyjątki

Część przewodnika: Strona internetowa dla małej firmy 2026, kompletny przewodnik → Ten artykuł odpowiada na jedno pytanie: czy Twoja strona potrzebuje baneru cookies i jak on ma wyglądać.

Masz stronę firmową i nie wiesz, czy w ogóle potrzebujesz baneru cookies. Jedni mówią, że każda strona musi go mieć, inni, że to zbędne klikanie. Ten wpis rozkłada to na czynniki: kiedy baner jest potrzebny, jak wygląda ważna zgoda, co jest z niej wyłączone i co realnie grozi za błąd.

Trzy źródła są tu nadrzędne. Pierwsze to Prawo komunikacji elektronicznej, ustawa z 12 lipca 2024 (Dz.U. 2024 poz. 1221), która weszła w życie 10 listopada 2024. Drugie to RODO w EUR-Lex. Trzecie to wskazówki UODO. Weryfikacja odnośników: 16 lipca 2026.

Czy baner cookies jest obowiązkowy

Nie dla każdej strony. Obowiązek nie bierze się z tego, że masz stronę, tylko z tego, co ta strona robi z urządzeniem odwiedzającego. Jeśli nic tam nie zapisujesz poza tym, co konieczne do działania usługi, o którą użytkownik poprosił, baner nie jest potrzebny.

Prosty test w trzech krokach (obserwacja z praktyki przeglądów, nie przepis):

1. Otwórz stronę w oknie prywatnym i sprawdź w narzędziach deweloperskich, co zapisuje się w zakładce Application.
2. Wypisz każdy skrypt zewnętrzny z kodu strony: analityka, piksele, czat, mapy, wideo, widżet opinii.
3. Przy każdej pozycji odpowiedz: czy bez tego usługa, o którą poprosił użytkownik, przestanie działać?

Jeżeli przy którymkolwiek wpisie odpowiedź brzmi „nie”, potrzebujesz zgody przed jego uruchomieniem. Statyczna wizytówka bez analityki i bez pikseli może działać bez baneru. Strona z Google Analytics, Microsoft Clarity albo Meta Pixel potrzebuje zgody, i to zebranej przed załadowaniem tych narzędzi.

Co dokładnie mówi art. 399 PKE

To najczęściej mylony punkt w całym temacie. Cookies reguluje art. 399 Prawa komunikacji elektronicznej. Art. 398 tej samej ustawy dotyczy czegoś innego: marketingu bezpośredniego przez telefon, e-mail i komunikatory. Powoływanie się na art. 398 przy banerze cookies to pomyłka, którą widać w wielu poradnikach.

Art. 399 ust. 1 PKE mówi, że przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym jest dozwolone, gdy spełnione są trzy warunki (fakt, tekst art. 399):

Warunek	Co to znaczy w praktyce
Uprzednia informacja	Użytkownik dowiaduje się jednoznacznie, łatwo i zrozumiale o celu zapisu i dostępu
Informacja o ustawieniach	Wie, że może określić warunki przez ustawienia oprogramowania lub konfigurację usługi
Zgoda po informacji	Wyraża zgodę dopiero po otrzymaniu powyższych informacji
Brak zmian konfiguracji	Zapis lub dostęp nie zmienia konfiguracji urządzenia ani oprogramowania

Kolejność ma znaczenie. Najpierw informacja, potem zgoda, dopiero potem zapis. Baner, który informuje o cookies już po ich załadowaniu, nie realizuje tego przepisu, nawet jeśli wygląda poprawnie.

Zwróć uwagę, że przepis mówi o „informacji”, a nie o „ciasteczku”. Zakres jest więc szerszy niż plik cookie. Potwierdza to kierunek wytycznych EDPB 2/2023 w wersji 2.0 przyjętej 7 października 2024, które obejmują między innymi śledzenie przez URL i piksele, przetwarzanie lokalne oraz unikalne identyfikatory (fakt, dokument EDPB).

Jak ma wyglądać ważna zgoda

Sam art. 399 nie opisuje wyglądu baneru. Robi to art. 400 PKE, krótki i kluczowy przepis: „Do uzyskania zgody abonenta lub użytkownika końcowego stosuje się odpowiednio przepisy o ochronie danych osobowych” (fakt, art. 400 PKE). To odesłanie do RODO wyznacza cały standard.

Z RODO wynikają cechy zgody: dobrowolna, konkretna, świadoma i jednoznaczna (art. 4 pkt 11), a jej wycofanie ma być równie łatwe jak udzielenie (art. 7 ust. 3). Przełożone na baner daje to kilka konsekwencji, z których część to twarde wymogi, a część rekomendowana praktyka.

Elementy, które wynikają wprost z przepisów

• Zgoda zbierana przed załadowaniem skryptów, nie po (art. 399 ust. 1 PKE).
• Realna możliwość odmowy, bo bez niej zgoda nie jest dobrowolna (art. 4 pkt 11 RODO).
• Brak domyślnie zaznaczonych zgód, bo milczenie nie jest jednoznacznym działaniem.
• Możliwość wycofania zgody równie łatwo, jak została udzielona (art. 7 ust. 3 RODO).
• Jasna informacja o celu, podana zrozumiałym językiem (art. 399 ust. 1 pkt 1 PKE).

Elementy rekomendowane, nie nakazane co do formy

Podział na kategorie (niezbędne, funkcjonalne, analityczne, marketingowe) nie jest sztywno narzucony liczbą ani nazwami. Wynika z tego, że zgoda ma być konkretna: użytkownik powinien móc przyjąć jeden cel, a odrzucić inny. Przy dwóch narzędziach panel kategorii bywa przerostem formy, przy dziesięciu staje się praktycznie konieczny (opinia).

Podobnie odnośnik do polityki prywatności z pełną listą cookies. Przepis wymaga zrozumiałej informacji o celu, a lista z nazwą, dostawcą, celem i czasem życia jest sprawdzonym sposobem, żeby ten obowiązek zrealizować bez zalewania baneru tekstem (obserwacja).

Naciąganie na zgodę

„Akceptuję” jako duży kolorowy przycisk obok „Odrzucam” w postaci szarego napisu to klasyczny problem. Zgoda ma być dobrowolna, a interfejs, który realnie wypycha jedną odpowiedź, tej dobrowolności nie daje. Podobnie działa ukrycie odmowy trzy kliknięcia głębiej albo baner wracający po każdym odrzuceniu.

Praktyka	Dlaczego jest problemem
„Odrzucam” mniej widoczne niż „Akceptuję”	Podważa dobrowolność zgody
Brak odmowy na pierwszym ekranie	Odmowa trudniejsza niż zgoda
Zgody zaznaczone domyślnie	Brak jednoznacznego działania użytkownika
Blokada treści do czasu akceptacji	Zgoda wymuszona, więc niedobrowolna
„Przeglądając stronę, akceptujesz cookies”	Przewijanie nie jest jednoznacznym działaniem
Skrypty ładowane przed kliknięciem	Naruszenie kolejności z art. 399 ust. 1 PKE

Wyjątki: kiedy zgoda nie jest potrzebna

Art. 399 ust. 3 PKE wyłącza obowiązek w dwóch sytuacjach. Zgoda nie jest potrzebna, gdy przechowywanie lub dostęp jest konieczne do wykonania transmisji komunikatu elektronicznego przez publiczną sieć telekomunikacyjną albo do dostarczenia usługi telekomunikacyjnej lub usługi świadczonej drogą elektroniczną żądanej przez użytkownika (fakt, art. 399 ust. 3 PKE).

Słowo „żądanej” robi tu całą robotę. Wyjątek dotyczy tego, po co użytkownik przyszedł, a nie tego, co przydaje się właścicielowi strony. Zwykle mieszczą się w nim:

• cookie sesji, które utrzymuje zalogowanie,
• koszyk w sklepie i zapamiętany wybór produktów,
• token zabezpieczający formularz przed nadużyciem,
• zapamiętany wybór języka lub motywu strony,
• równoważenie obciążenia po stronie serwera.

Zwykle nie mieszczą się w nim narzędzia analityczne i marketingowe. Nikt nie wchodzi na stronę po to, żeby jej właściciel poznał statystyki odwiedzin. Google Analytics, Microsoft Clarity, Hotjar, mapy ciepła, nagrania sesji, Meta Pixel i retargeting wymagają więc zgody przed uruchomieniem.

To realna różnica wobec części poradników, które wrzucają analitykę do „niezbędnych”. Konkretne wdrożenie warto potwierdzić z prawnikiem, bo ocena zależy od tego, jak narzędzie jest skonfigurowane i co dokładnie zapisuje.

Analityka i Google Analytics

Tu pojawia się najczęstsze nieporozumienie. Consent Mode v2 bywa opisywany jako „obowiązkowy w Unii od marca 2024”, co sugeruje przepis. To nie przepis. To polityka Google dotycząca zgody użytkowników z EOG, która warunkuje dostęp do personalizacji reklam i części pomiaru (fakt, dokumentacja Google).

Dwie rzeczy trzeba więc rozdzielić. Obowiązek zebrania zgody przed zapisem cookies wynika z art. 399 PKE i istnieje niezależnie od Google. Consent Mode v2 to sposób przekazania Google decyzji użytkownika. Sam Consent Mode nie zastępuje ani baneru, ani zgody.

Domyślny stan ustawia się przed załadowaniem czegokolwiek od Google:

<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }
  gtag('consent', 'default', {
    analytics_storage: 'denied',
    ad_storage: 'denied',
    wait_for_update: 500
  });
</script>

Po kliknięciu „Akceptuję” stan się aktualizuje, a skrypty ładują się dopiero wtedy:

<script>
  gtag('consent', 'update', {
    analytics_storage: 'granted',
    ad_storage: 'granted'
  });
</script>

Uwaga na nagrania sesji. Microsoft Clarity i podobne narzędzia rejestrują ruch kursora i interakcje z formularzami, więc ich uruchomienie bez zgody jest poważniejsze w skutkach niż zwykły licznik odsłon (opinia). Trzeba je traktować jak narzędzie wymagające zgody, a nie jak dodatek do strony.

Co grozi za brak prawidłowej zgody

Nadzór jest tu podzielony i to często zaskakuje. Naruszenie art. 399 PKE jest wymienione w art. 444 PKE, czyli w przepisie o karach pieniężnych nakładanych przez Prezesa UKE (fakt, art. 444 PKE). To ścieżka telekomunikacyjna, nie ochrona danych osobowych.

Odrębnie działa RODO. Jeśli przy okazji cookies przetwarzasz dane osobowe bez ważnej podstawy, UODO może nałożyć karę administracyjną na podstawie art. 83 RODO. Pułapy to do 10 mln euro albo 2 procent rocznego światowego obrotu oraz, przy poważniejszych naruszeniach, do 20 mln euro albo 4 procent obrotu. Bierze się wartość wyższą.

RODO nie ma taryfikatora „tyle za cookies”. Kara jest ustalana indywidualnie, według wagi naruszenia, czasu trwania, liczby osób i współpracy z organem (art. 83 ust. 2 RODO). W praktyce kary dla małych polskich firm bywają dużo niższe niż te pułapy, bo są ważone skalą działalności. Do tego dochodzi możliwa odpowiedzialność cywilna wobec osoby, której dane naruszono.

Nie znam publicznej, głośnej kary nałożonej w Polsce wyłącznie za sam baner cookies na małej stronie firmowej. Nie znaczy to, że przepisu nie ma, ani że warto go ignorować. Znaczy tylko tyle, że straszenie konkretną kwotą w poradniku jest nieuczciwe, skoro takiej stawki nikt nie opublikował (obserwacja).

Najczęstsze błędy na polskich stronach

Pięć luk, które najczęściej wychodzą przy przeglądzie strony pod kątem cookies:

Błąd 1: skrypty ładują się przed kliknięciem

Baner wygląda poprawnie, ale Google Analytics startuje razem ze stroną. Zgoda zbierana po fakcie nie realizuje art. 399 ust. 1 PKE. Naprawa: skrypty doładowywane dopiero po akceptacji.

Błąd 2: powołanie się na art. 398 zamiast art. 399

Polityka prywatności odsyła do przepisu o marketingu elektronicznym. Dokument wygląda solidnie, ale wskazuje niewłaściwą podstawę. Naprawa: podstawa to art. 399 PKE, a standard zgody art. 400 PKE.

Błąd 3: analityka wpisana jako cookie niezbędne

Kategoria „niezbędne” obejmuje Google Analytics, więc nie da się jej wyłączyć. Analityka zwykle nie mieści się w wyjątku z art. 399 ust. 3. Naprawa: przeniesienie do kategorii wymagającej zgody.

Błąd 4: brak realnej odmowy

Na banerze jest „Akceptuję” i „Ustawienia”, a odmowa dopiero dwa ekrany dalej. Naprawa: odmowa dostępna w jednym kliknięciu, na tym samym poziomie co akceptacja.

Błąd 5: brak sposobu na zmianę decyzji

Użytkownik raz kliknął i nie ma jak tego cofnąć. Wycofanie ma być równie łatwe jak udzielenie zgody. Naprawa: stały odnośnik do zarządzania zgodą, na przykład w stopce.

Jak zrobiliśmy to na tej stronie

Konkret zamiast deklaracji, bo baner tej strony można sprawdzić samodzielnie. Nie sprzedajemy „gwarancji zgodności”, więc opisujemy rozwiązanie i jego ograniczenia.

Element	Jak działa na lokal360.pl
Stan domyślny	Consent Mode v2 z analytics_storage i ad_storage ustawionymi na denied
Skrypty	GA4, Microsoft Clarity i Metricool ładują się wyłącznie po akceptacji
Odmowa	„Odrzucam” i „Akceptuję” to dwa przyciski obok siebie, w jednym rzędzie
Klawiatura	Escape zamyka baner jako odmowę, focus krąży wewnątrz okna
Zapis decyzji	Decyzja trafia do localStorage, nie do cookie marketingowego
Zmiana decyzji	Przycisk „Zarządzaj cookies” w stopce czyści zapis i przywraca baner

Ograniczenie, które trzeba powiedzieć wprost: nasz baner jest binarny. Nie ma panelu kategorii, bo za zgodą stoją dwa narzędzia analityczne i jedno statystyczne, a nie dziesięć celów marketingowych. Przy szerszym stacku panel kategorii byłby właściwszy i tak go wtedy budujemy (opinia).

Narzędzia do zgody na cookies

Rynek dzieli się na trzy grupy. Płatne platformy, jak Cookiebot czy CookieYes, dają skanowanie cookies i gotowe tłumaczenia, kosztem abonamentu i zależności od zewnętrznego dostawcy. Klaro to otwarte oprogramowanie bez opłaty licencyjnej, wymagające konfiguracji. Trzecia droga to własny baner wpięty w kod strony.

Świadomie nie podajemy tu cennika tych narzędzi ani nie deklarujemy, że któreś zapewnia zgodność „w pełni”. Cenniki i plany zmieniają się, a zgodność zależy od konfiguracji i od tego, co realnie ładuje strona, a nie od naklejki dostawcy. Aktualne warunki trzeba sprawdzić u samego dostawcy przed wyborem.

Ile kosztuje uporządkowanie zgód

Cookies nie są u nas osobną usługą z cennika, tylko elementem strony i jej utrzymania. Poniżej orientacyjne ceny startowe. Zakres i odpowiedzialność zawsze zależą od konkretnej firmy, dlatego nie sprzedajemy gwarancji zgodności.

Zakres	Cena startowa
Opieka Standard, z przeglądem RODO i zgód (miesięcznie)	149 zł netto
Opieka Pro, szerszy zakres techniczny (miesięcznie)	299 zł netto
Konfiguracja analityki ze zgodami (jednorazowo)	390 zł netto
Strona firmowa, baner i polityka w standardzie	2 499 zł netto

Nowa strona firmowa dostaje baner i politykę prywatności od razu. Istniejącą stronę porządkujemy w ramach opieki albo jednorazowego przeglądu. Pełny zakres znajdziesz w cenniku oraz na stronie opieki nad stroną. Szerszy obraz obowiązków rozkłada wpis o RODO na stronie firmowej.

Zastrzeżenie

To nie jest porada prawna. Nie jestem radcą prawnym. Ten tekst opisuje ogólne zasady i praktykę techniczną wdrożenia zgody na cookies. Administratorem danych jest właściciel firmy i to on, najlepiej z radcą prawnym lub specjalistą od ochrony danych, ustala zakres obowiązków dla swojego przypadku.

Materiały do dalszej lektury

• Lokal360, opieka nad stroną (pakiet z przeglądem RODO i zgód)
• Lokal360, strona firmowa (baner i polityka w standardzie)
• RODO na stronie firmowej 2026 (pełna lista kontrolna)
• RODO a SaaS, czyje są dane klientów (administrator vs procesor)
• Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221, pełny tekst ustawy)
• Art. 399 PKE (przepis o dostępie do urządzenia końcowego)
• RODO w EUR-Lex (art. 4, 7, 83)
• UODO, oficjalna strona (wzory i orzecznictwo)
• Wytyczne EDPB 2/2023 (zakres techniczny art. 5 ust. 3 ePrivacy)

Najczęstsze pytania

Czy moja strona musi mieć baner cookies?

Zależy od tego, co strona ładuje. Jeśli używa wyłącznie cookies koniecznych do dostarczenia usługi, o którą użytkownik poprosił (sesja, koszyk, logowanie), baner nie jest potrzebny, bo obejmuje ją wyjątek z art. 399 ust. 3 Prawa komunikacji elektronicznej. Jeśli ładuje Google Analytics, Microsoft Clarity, Meta Pixel, Hotjar, czat albo retargeting, potrzebna jest zgoda przed ich uruchomieniem. Sam fakt posiadania strony nie tworzy obowiązku baneru. To nie jest porada prawna.

Który artykuł reguluje cookies w polskim prawie?

Art. 399 Prawa komunikacji elektronicznej, czyli ustawy z 12 lipca 2024 (Dz.U. 2024 poz. 1221), obowiązującej od 10 listopada 2024. Reguluje on przechowywanie informacji i uzyskiwanie dostępu do informacji już przechowywanej w telekomunikacyjnym urządzeniu końcowym. Art. 398 dotyczy czegoś innego, marketingu bezpośredniego przez telefon, e-mail i komunikatory, i bywa mylony z przepisem o cookies. PKE zastąpiło w tym zakresie Prawo telekomunikacyjne.

Jak wygląda ważna zgoda na cookies?

Art. 400 PKE mówi, że do uzyskania zgody stosuje się odpowiednio przepisy o ochronie danych osobowych, czyli standard RODO. Zgoda ma być dobrowolna, konkretna, świadoma i jednoznaczna (art. 4 pkt 11 RODO), a jej wycofanie równie łatwe jak udzielenie (art. 7 ust. 3 RODO). W praktyce oznacza to zgodę zbieraną przed załadowaniem skryptów, realną możliwość odmowy i brak domyślnie zaznaczonych zgód.

Czy analityka podpada pod wyjątek dla cookies niezbędnych?

Zwykle nie. Wyjątek z art. 399 ust. 3 PKE obejmuje przechowywanie lub dostęp konieczny do wykonania transmisji komunikatu albo do dostarczenia usługi żądanej przez użytkownika. Analityka służy właścicielowi strony, a nie realizacji usługi, o którą poprosił odwiedzający, więc zwykle nie mieści się w tym wyjątku. Statystyki nie są tym, po co użytkownik wszedł na stronę. Ocenę konkretnego wdrożenia warto potwierdzić z prawnikiem.

Czy Consent Mode v2 jest wymagany przez prawo?

Nie, to wymóg Google, nie przepis. Consent Mode v2 wynika z polityki Google dotyczącej zgody użytkowników z EOG i od marca 2024 warunkuje korzystanie z personalizacji reklam oraz części pomiaru. Obowiązek uzyskania zgody przed zapisem cookies wynika osobno z art. 399 PKE. Sam Consent Mode v2 nie zastępuje baneru ani zgody, jest tylko sposobem przekazania Google informacji o decyzji użytkownika.

Co grozi za brak prawidłowej zgody na cookies?

Naruszenie art. 399 PKE jest wymienione w art. 444 PKE, czyli w przepisie o karach pieniężnych nakładanych przez Prezesa UKE. Odrębnie, jeśli w grę wchodzi przetwarzanie danych osobowych bez ważnej podstawy, UODO może nałożyć karę na podstawie RODO (art. 83, pułapy do 10 mln euro albo 2 procent obrotu oraz do 20 mln euro albo 4 procent). Kary są ustalane indywidualnie, według wagi naruszenia, nie z taryfikatora.

Czy zgoda na cookies wygasa po roku?

Polskie przepisy nie podają sztywnego terminu ważności zgody. Ponawianie pytania po 6 albo 12 miesiącach to praktyka rynkowa i rekomendacja części organów, a nie termin z ustawy. Ważniejsze od odliczania miesięcy jest to, żeby użytkownik mógł w każdej chwili zmienić decyzję, na przykład przez stały odnośnik w stopce. Zgodę trzeba też zebrać ponownie, gdy istotnie zmieni się cel lub zakres narzędzi.