Cookie consent w polskim prawie 2026: czego wymaga UODO i UOKiK

W skrócie: Cookie consent w polskim prawie 2026 wymaga opt-in zgody przed cookies marketingowych, opcji odrzucenia w jednym kliknięciu (równie łatwo jak akceptacji) i kategorii do wyboru. Kary za dark pattern: UODO 50-200 tys. zł plus UOKiK 10-50 tys. zł. Google Analytics wymaga opt-in i consent mode v2. Cookies niezbędne nie wymagają zgody.

Co wymaga polskie prawo od cookie consent w 2026

Cookie consent w polskim prawie 2026 podlega trzem regulacjom:

1. RODO (GDPR): art. 6 ust. 1 lit. a (zgoda) i art. 7 (warunki zgody)
2. Ustawa o świadczeniu usług drogą elektroniczną (Prawo telekomunikacyjne): wdraża dyrektywę ePrivacy
3. Ustawa o ochronie konkurencji i konsumentów (UOKiK): chroni przed naciąganiem klienta (tzw. dark patterns)

Wszystkie trzy razem dają 5 wymogów minimum:

1. Opt-in zgoda PRZED załadowaniem cookies

Cookies marketingowe (Google Analytics, Facebook Pixel, Hotjar, śledzenie reklam) muszą się ładować dopiero po akceptacji klienta. Skrypt doładowywany po zgodzie albo Google Tag Manager z consent mode v2 (obowiązkowy w UE od marca 2024).

2. Możliwość odrzucenia w jednym kliknięciu

„Odrzucam” musi być równie widoczne jak „Akceptuję”. Zakazane są okienka z domyślnie zaznaczonymi zgodami. UODO w 2024 nałożyło 5 kar po 50-200 tys. zł na firmy stosujące naciąganie (dark pattern).

3. Szczegółowe kategorie do wyboru

Banner musi mieć minimum 4 kategorie:

• Niezbędne (zawsze włączone, bez zgody): sesja, koszyk w sklepie, logowanie
• Funkcjonalne (preferencje użytkownika, język, motyw)
• Analytics (Google Analytics, Microsoft Clarity, Hotjar)
• Marketing (Facebook Pixel, retargeting, advertising)

Klient ma móc włączyć/wyłączyć każdą kategorię osobno.

4. Link do polityki prywatności

Z bannera link do /polityka-prywatnosci/ z pełną listą cookies (nazwa, dostawca, cel, czas życia).

5. Zapis decyzji klienta

Klient akceptuje, a decyzja zapisuje się w jego przeglądarce. Klient wraca po tygodniu i banner się nie pokazuje (decyzja zapamiętana). Po 6-12 miesiącach decyzja wygasa i banner pokazuje się ponownie.

Co to jest dark pattern w cookie consent

Dark pattern to zwodnicze techniki UI/UX zmuszające do akceptacji. Najczęstsze w 2026:

Dark pattern	Przykład	Czy karzone w PL
„Akceptuję” duży, „Odrzucam” mały	Zielony wielki przycisk obok szarego tekstu	TAK, UODO kara 50-200k zł
Brak „Odrzucam” na pierwszym ekranie	Widoczne tylko „Akceptuję” i „Ustawienia”	TAK
Domyślnie zaznaczone zgody w ustawieniach	„Analityczne” zaznaczone z góry	TAK
Wymuszenie akceptacji, by zobaczyć stronę	Blokada strony, nie da się przeglądać bez zgody	TAK
Ukryte kategorie w „Ustawieniach”	Trzeba 3+ kliknięć, żeby znaleźć opcję odrzucenia	TAK
Banner wracający przy każdym odświeżeniu	Po odrzuceniu banner pokazuje się ponownie	TAK
Zgoda suwakiem zamiast pola wyboru	Suwak „Cookies marketingowe ✓ Zezwól”	TAK (sporne)
Akceptacja przez przewijanie	„Przeglądając stronę akceptujesz cookies”	TAK

UODO przykładowe orzeczenia 2024-2025:

• Wrzesień 2024: kara 100 000 zł dla portalu newsowego za dark pattern (przycisk „Odrzucam” w stopce 6 kliknięć dalej)
• Listopad 2024: kara 250 000 zł dla sieci sklepów za cookie wall
• Marzec 2025: kara 50 000 zł dla małej kliniki za pre-checked checkboxy

Narzędzia do cookie consent zgodne z polskim prawem

Przegląd dostępnych opcji, maj 2026:

Narzędzie	Cena	Polski język	Zgodność z RODO	Wsparcie PL
Cookiebot (Cybot)	9-99 EUR/mc	TAK	Pełna	Email po angielsku
Iubenda	5-25 EUR/mc	TAK	Pełna	Włoski + angielski
OneTrust	Custom, enterprise	TAK	Pełna	Drogi, korporacyjny
Cookie Information	19-89 EUR/mc	Częściowo	Pełna	Duński + angielski
CookieYes	0-15 USD/mc	TAK	Pełna	Indyjski support
Klaro (darmowe, otwarte)	0 zł	TAK (wymaga konfiguracji)	Pełna (przy poprawnej konfiguracji)	Społeczność na GitHub
Custom Lokal360	W pakiecie strony firmowej	TAK, w pełni po polsku	Pełna	Bezpośrednio Igor

Cookiebot vs Klaro vs custom Lokal360

Szczegóły najpopularniejszych opcji:

Cookiebot (płatny, profesjonalny)

Plus:

• Automatyczne sprawdzanie wszystkich cookies na stronie
• Cotygodniowa aktualizacja listy cookies
• Obsługa 30+ języków
• Umowa o powierzeniu danych z Cybot (Dania) dla klientów z UE

Minus:

• 9-99 EUR/mc abonamentu (108-1188 EUR rocznie)
• Nazwa „Cookiebot” widoczna w bannerze (chyba że droższy plan)
• Wszystkie dane trafiają na serwery Cybot w Danii

Klaro (darmowe, otwarte oprogramowanie)

Plus:

• 0 zł
• Pełna kontrola nad kodem
• Możliwość postawienia na własnym serwerze
• Aktywna społeczność wokół projektu

Minus:

• Wymaga 1-2 godzin pracy programisty
• Brak automatycznego sprawdzania cookies (trzeba ustawiać ręcznie)
• Brak panelu do klikania (wszystko w pliku z ustawieniami)

Custom Lokal360 (w pakiecie strony firmowej)

Plus:

• Wygląd w 100% Twój (nazwa Lokal360 się nie pokazuje)
• Zgodność z polskim prawem od razu, bez konfiguracji
• W pełni po polsku
• Wsparcie bezpośrednio od Igora
• Bez abonamentu na zawsze (w pakiecie 2499 zł)

Minus:

• Brak automatycznego sprawdzania nowych cookies (przy dodaniu nowego skryptu trzeba uaktualnić listę ręcznie)
• Mniej zaawansowanych funkcji niż Cookiebot dla dużych firm

Google Analytics z cookie consent

Wymagane w 2026: GA4 ładuje się dopiero po akceptacji kategorii „analytics” albo „marketing”. Implementacja:

Wariant 1: Google Tag Manager + Consent Mode v2

<!-- Default state: deny -->
<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){dataLayer.push(arguments);}
  gtag('consent', 'default', {
    'analytics_storage': 'denied',
    'ad_storage': 'denied',
    'ad_user_data': 'denied',
    'ad_personalization': 'denied'
  });
</script>

<!-- GTM script load (normalny) -->
<script async src="https://www.googletagmanager.com/gtm.js?id=GTM-XXX"></script>

<!-- Po akceptacji cookie banner: -->
<script>
  gtag('consent', 'update', {
    'analytics_storage': 'granted'
  });
</script>

Wariant 2: Lazy load GA4 dopiero po zgodzie

<!-- Tylko jeśli klient zaakceptował analytics -->
<script>
  if (cookieConsent.analytics === true) {
    var s = document.createElement('script');
    s.async = true;
    s.src = 'https://www.googletagmanager.com/gtag/js?id=G-XXX';
    document.head.appendChild(s);
    // ... gtag init
  }
</script>

Lokal360 używa wariantu 2 (prostszy, bez zależności od Google Tag Managera, lżejsza strona).

Czy potrzebuję cookie consent dla każdej strony

Zależy od cookies używanych:

Nie wymagane (tylko niezbędne cookies):

• Strona statyczna bez analytics
• Sklep e-commerce z koszykiem (cookie sesji)
• Login użytkownika (cookie auth)
• Preferencje języka / motywu

Wymagane (wszystko inne):

• Google Analytics / Microsoft Clarity / Hotjar
• Facebook Pixel / TikTok Pixel / LinkedIn Insights
• Retargeting (Google Ads, Facebook Ads)
• Live chat (Tidio, Intercom)
• A/B testing (Optimizely, Google Optimize)
• Heatmaps
• Newsletter popup z trackingiem

Implementacja krok po kroku

Plan wdrożenia cookie consent w 4 godziny pracy:

Godzina 1: Przegląd obecnych cookies

• Otwórz narzędzia deweloperskie w przeglądarce (zakładka Application, sekcja Cookies)
• Spisz wszystkie adresy ustawiające cookies
• Podziel je na: niezbędne / funkcjonalne / analityczne / marketingowe
• Spisz skrypty śledzące w kodzie strony

Godzina 2: Wybór i konfiguracja narzędzia

• Decyzja: Cookiebot / Iubenda / Klaro / rozwiązanie Lokal360
• Ustawienie kategorii (4-5 grup)
• Tłumaczenie na polski
• Dopasowanie wyglądu (kolory, czcionki zgodne z marką)

Godzina 3: Wdrożenie na stronie

• Dodanie skryptu bannera do kodu strony
• Ustawienie skryptów śledzących tak, by ładowały się dopiero po zgodzie
• Test: wyczyść cookies, odśwież stronę, sprawdź czy banner pokazuje się poprawnie
• Test: akceptuj, sprawdź czy skrypty się ładują
• Test: odrzuć, sprawdź czy skrypty NIE ładują się

Godzina 4: Polityka prywatności i zapis decyzji

• Sekcja w polityce prywatności z listą cookies (nazwa, dostawca, cel, czas)
• Zapisywanie decyzji klienta w jego przeglądarce
• Wygaszanie decyzji po 6-12 miesiącach (banner pokazuje się ponownie)

Najczęstsze błędy cookie consent na polskich stronach

Pięć błędów, które widzimy w polskich audytach:

Błąd 1: Brak bannera zgody na cookies

Strona z Google Analytics bez bannera. Naruszenie RODO i ePrivacy. Naprawa: dodać banner (Cookiebot albo Klaro).

Błąd 2: Naciąganie na akceptację

„Akceptuję” zielone i wielkie, „Odrzucam” mały szary tekst pod spodem. Orzeczenie UODO z 2024. Naprawa: oba przyciski równie widoczne.

Błąd 3: Domyślnie zaznaczone zgody w ustawieniach

Wszystkie kategorie zaznaczone z góry. Naprawa: zaznaczone tylko „niezbędne”, reszta odznaczona.

Błąd 4: Cookies ładują się przed akceptacją

Skrypt Google Analytics ładuje się bez zgody. Naprawa: doładowanie dopiero po akceptacji.

Błąd 5: Banner bez polityki prywatności

Link „polityka prywatności” prowadzi do błędu 404 albo pustej strony. Naprawa: pełna polityka prywatności z listą cookies.

Cookie consent w Lokal360 standardzie

Lokal360 wdraża cookie consent w 100 procent zgodne z polskim prawem 2026:

• Własny banner (polskie rozwiązanie, bez nazwy Cookiebot)
• 4 kategorie: niezbędne, funkcjonalne, analityczne, marketingowe
• Domyślnie nic nie zaznaczone poza „niezbędnymi”
• „Odrzucam” równie widoczne jak „Akceptuję”
• Skrypty śledzące (Google Analytics, Microsoft Clarity, Meta Pixel, Hotjar) ładowane dopiero po zgodzie
• Polityka prywatności rozszerzona o pełną listę cookies
• Zapis decyzji w przeglądarce klienta, ważny 12 miesięcy
• Możliwość zmiany decyzji (link „Ustawienia cookies” w stopce zawsze widoczny)

W pakietach: Strona Firmowa 2499 zł i wyżej.

Materiały do dalszej lektury

• Lokal360, opieka nad stroną (przegląd RODO i zgód na cookies)
• Lokal360, strona firmowa (zgoda na cookies w standardzie)
• RODO na stronie firmowej 2026 (pełna lista kontrolna)
• UODO oficjalna strona (orzeczenia i wzory)
• Klaro GitHub (darmowe, otwarte oprogramowanie)
• Cookiebot oficjalna strona (rozwiązanie płatne)