Polityka cookies: wzór i baner zgód zgodny z prawem w 2026

Polityka cookies to dokument (zwykle część polityki prywatności), który mówi odwiedzającym, jakie pliki cookies zapisuje strona, w jakim celu, kto je dostarcza i jak zmienić zgodę. Poniżej znajdziesz wzór do dostosowania. Sam dokument nie wystarczy: art. 399 Prawa komunikacji elektronicznej wymaga zgody przed zapisaniem cookies, które nie są niezbędne, więc analityka i piksele reklamowe muszą czekać na kliknięcie w banerze.

Polityka cookies w 2026: co mówi prawo

Od 10 listopada 2024 r. cookies reguluje art. 399 ustawy Prawo komunikacji elektronicznej (zastąpił art. 173 Prawa telekomunikacyjnego). Zapisywanie informacji w urządzeniu użytkownika i ich odczyt wymagają:

• wcześniejszej informacji, podanej „w sposób jednoznaczny, łatwy i zrozumiały”, o celu i o tym, jak zmienić ustawienia,
• zgody użytkownika, do której stosuje się standard zgody z RODO (art. 400): dobrowolnej, świadomej, jednoznacznej i wyrażonej aktywnym działaniem.

Zgody nie potrzebujesz tylko wtedy, gdy zapis jest konieczny do przesłania komunikatu albo do dostarczenia usługi, o którą użytkownik prosi (art. 399 ust. 3), np. koszyk w sklepie czy zapamiętanie logowania.

Kary. Za cookies niezgodne z art. 399 karę nakłada Prezes UKE: do 3% przychodu z poprzedniego roku. Gdy przychód firmy nie przekracza 500 000 zł (także średnio z 3 lat), kara wynosi do 15 000 zł. Jeśli przez cookies przetwarzasz dane osobowe, obowiązki informacyjne z RODO kontroluje dodatkowo Prezes UODO.

Polityka cookies: co musi zawierać

1. Kto jest administratorem strony i danych: nazwa firmy, adres, e-mail.
2. Czym są cookies i podobne technologie (piksele, local storage).
3. Kategorie cookies na stronie i cel każdej z nich.
4. Lista dostawców zewnętrznych (np. Google, Meta) z informacją, czy dane mogą trafić poza Europejski Obszar Gospodarczy.
5. Jak długo cookies są przechowywane (okres albo kryteria).
6. Podstawa prawna: zgoda dla cookies analitycznych i marketingowych, konieczność dla niezbędnych.
7. Jak wyrazić, zmienić i wycofać zgodę (link lub ikona ustawień na każdej podstronie) oraz jak zarządzać cookies w przeglądarce.
8. Prawa osoby, której dane dotyczą, w tym skarga do Prezesa UODO.
9. Data ostatniej aktualizacji dokumentu.

Punkty 1, 4, 5, 6 i 8 wynikają z art. 13 RODO, jeśli przez cookies przetwarzasz dane osobowe, a przy analityce i reklamach tak jest prawie zawsze. Pełny obowiązek informacyjny opisujemy w poradniku polityka prywatności: wzór.

Polityka cookies: wzór do dostosowania

Wzór dla małej strony firmowej z analityką i pikselem reklamowym. Uzupełnij pola w nawiasach i usuń kategorie, których nie używasz. To punkt wyjścia, a nie porada prawna: przy sklepie albo wielu narzędziach zewnętrznych poproś prawnika o przegląd.

Polityka plików cookies [nazwa strony]

1. Administratorem strony [adres strony] jest [nazwa firmy], [adres], NIP [numer], kontakt: [e-mail].

2. Strona używa plików cookies i podobnych technologii, czyli niewielkich informacji zapisywanych w Twoim urządzeniu. Część z nich jest niezbędna do działania strony, pozostałe zapisujemy tylko po Twojej zgodzie.

3. Cookies niezbędne: [np. zapamiętanie Twojego wyboru w banerze cookies, obsługa formularza]. Nie wymagają zgody, bo bez nich strona nie zadziała tak, jak oczekujesz.

4. Cookies analityczne: Google Analytics 4 (Google Ireland Ltd.), aby mierzyć, jak korzystasz ze strony. Przechowywane do [okres]. Podstawa: Twoja zgoda.

5. Cookies marketingowe: piksel Meta (Meta Platforms Ireland Ltd.) i [inne narzędzia], aby mierzyć skuteczność reklam i wyświetlać Ci reklamy. Przechowywane do [okres]. Podstawa: Twoja zgoda.

6. Dostawcy narzędzi mogą przekazywać dane do państw spoza Europejskiego Obszaru Gospodarczego na zasadach opisanych w [link do polityki prywatności].

7. Zgodę wyrażasz w banerze przy pierwszej wizycie. Możesz ją zmienić lub wycofać w każdej chwili przez link „Ustawienia cookies” w stopce strony. Wycofanie zgody nie wpływa na zgodność z prawem wcześniejszego przetwarzania.

8. Cookies możesz też usuwać i blokować w ustawieniach przeglądarki. Zablokowanie cookies niezbędnych może utrudnić korzystanie ze strony.

9. Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania i sprzeciwu oraz prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Szczegóły: [link do polityki prywatności].

10. Data aktualizacji: [data].

Baner cookies zgodny z prawem: jak ma wyglądać

Najwięcej błędów jest nie w dokumencie, tylko w banerze. Grupa zadaniowa EROD (Europejska Rada Ochrony Danych) opisała w raporcie z 18 stycznia 2023 r. praktyki, które nie dają ważnej zgody, a UODO powtarza te zasady w swoich materiałach:

• „Odrzuć” na pierwszym ekranie. Większość organów uznała brak przycisku odrzucenia obok „Akceptuj” za naruszenie. Ukryty link „kontynuuj bez akceptacji” w tekście też nie wystarczy.
• Bez zaznaczonych pól. Domyślnie zaznaczone zgody w ustawieniach nie są ważną zgodą (potwierdził to też TSUE w sprawie Planet49).
• Równorzędne przyciski. Kolor i kontrast nie mogą sprawiać, że „Odrzuć” jest prawie niewidoczny.
• Bez blokady strony. Według UODO blokowanie dostępu do strony do czasu akceptacji (tzw. cookie wall) jest niezgodne z RODO.
• Uczciwe „niezbędne”. Analityki ani reklam nie można wpisać do kategorii niezbędnych, żeby ominąć zgodę.
• Łatwe wycofanie. Wycofanie zgody ma być tak proste jak jej wyrażenie, np. przez stałą ikonę lub link „Ustawienia cookies” w stopce.

Consent Mode v2 i piksel Meta: co po kliknięciu „Odrzuć”

Tryb uzyskiwania zgody Google (Consent Mode) przekazuje tagom Google decyzję z banera. W wersji 2 z listopada 2023 r. obejmuje cztery sygnały: ad_storage, analytics_storage, ad_user_data i ad_personalization. Google wymaga zgody użytkowników z EOG i przesyłania tych sygnałów, jeśli używasz tagów do pomiaru, remarketingu i personalizacji reklam.

• Tryb podstawowy: tagi Google nie ładują się, dopóki użytkownik nie wyrazi zgody w banerze, więc bez zgody Google nie dostaje żadnych danych.
• Tryb zaawansowany: tagi ładują się z domyślnym stanem „odmowa” i wysyłają sygnały bez plików cookie, które Google wykorzystuje do modelowania konwersji.

Piksel Meta ma osobny mechanizm: przed inicjalizacją wywołujesz fbq('consent', 'revoke'), a po zgodzie fbq('consent', 'grant'). Większość platform zgód robi to automatycznie, ale warto to sprawdzić, bo bez zgody nie zbudujesz zgodnie z prawem list remarketingowych, o których piszemy we wpisie o remarketingu i retargetingu.

Polityka cookies w WordPressie: wtyczki i ustawienia

WordPress ma wbudowaną stronę polityki prywatności („Ustawienia” > „Prywatność”), ale baner zgód dodasz wtyczką. Najpopularniejsze w katalogu wordpress.org w 2026 roku:

• Complianz i CookieYes: po ponad milion aktywnych instalacji, oba mają generator polityki cookies i skanowanie plików cookies.
• Cookiebot by Usercentrics: ponad 100 tysięcy instalacji, nastawiony na automatyczne blokowanie skryptów.

Jeśli korzystasz z Google Ads lub GA4, wybierz platformę z listy certyfikowanych partnerów CMP Google (w programie jest kilkadziesiąt firm) i włącz w niej tryb uzyskiwania zgody. Generator polityki cookies we wtyczce oszczędza czas, ale przeczytaj wynik: wtyczka wpisze tylko te narzędzia, które wykryje.

Jak sprawdzić, czy skrypty nie startują przed zgodą

1. Otwórz stronę w oknie incognito, żeby nie mieć starych zgód.
2. Zanim klikniesz cokolwiek w banerze, otwórz narzędzia deweloperskie przeglądarki (F12) i sprawdź zapisane pliki cookies dla swojej domeny.
3. Jeśli widzisz pliki _ga lub _fbp przed decyzją, analityka lub piksel ładują się bez zgody.
4. Kliknij „Odrzuć”, odśwież stronę i sprawdź ponownie: nowe pliki marketingowe nie powinny się pojawić.
5. W GA4 wejdź w „Administracja” > „Zbieranie i modyfikowanie danych” > „Ustawienia dotyczące wyrażania zgody”, żeby zobaczyć, czy Google odbiera sygnały zgody.

Test zajmuje kilka minut. Przy okazji sprawdź, jak baner wygląda na telefonie, bo tam najczęściej zasłania treść albo przycisk „Odrzuć” wypada poza ekran. Więcej o testach mobilnych w artykule czy Twoja strona przechodzi test mobile-first.

Co może zmienić Digital Omnibus

19 listopada 2025 r. Komisja Europejska zaproponowała pakiet Digital Omnibus. W części o cookies przenosi zasady zgody z dyrektywy ePrivacy do RODO, poszerza listę przypadków bez zgody i pozwala na zgodę jednym kliknięciem ważną 6 miesięcy albo na ustawienia zapisane w przeglądarce. Zgoda zostaje jednak główną zasadą.

To wciąż projekt. Sprawozdawcy w Parlamencie Europejskim przedstawili projekt raportu 22 czerwca 2026 r., a głosowanie przedstawicieli państw w Radzie UE (COREPER) nad jej stanowiskiem, zaplanowane na 26 czerwca, odwołano z braku porozumienia. Do czasu przyjęcia i wejścia w życie nowych przepisów obowiązuje art. 399 Prawa komunikacji elektronicznej.

Najczęstsze pytania o politykę cookies i baner

Czy polityka cookies jest obowiązkowa?

Obowiązkowa jest informacja o cookies przed ich zapisaniem (art. 399 Prawa komunikacji elektronicznej), a przy danych osobowych także obowiązek informacyjny z RODO. Nie musi to być osobny dokument: może to być rozdział polityki prywatności, ważne, żeby był łatwo dostępny z banera i stopki.

Czy mogę skorzystać z generatora polityki cookies?

Tak, generatory we wtyczkach (np. Complianz, CookieYes) tworzą dokument na podstawie skanu strony. Sprawdź jednak, czy wpisały wszystkie narzędzia, w tym czat, osadzone filmy i mapy, i czy dane firmy są aktualne.

Czy baner jest potrzebny, jeśli mam tylko niezbędne cookies?

Zgody wtedy nie zbierasz, ale informację o cookies nadal musisz podać, np. w polityce prywatności. Baner zgód jest potrzebny, gdy pojawia się cokolwiek poza niezbędnymi plikami: analityka, piksel, osadzone treści z zewnątrz.

Co to jest Consent Mode v2?

To mechanizm Google, który przekazuje tagom Google Ads i GA4 decyzję użytkownika z banera przez cztery sygnały zgody. Sam nie jest banerem: potrzebujesz platformy zgód (najlepiej certyfikowanej przez Google), która te sygnały wysyła.

Ile wynosi kara za brak zgody na cookies?

Prezes UKE może nałożyć karę do 3% przychodu z poprzedniego roku, a gdy przychód (także średnio z 3 lat) nie przekracza 500 000 zł, do 15 000 zł. Niezależnie od tego Prezes UODO może ukarać za naruszenie RODO, np. brak obowiązku informacyjnego.

Baner i polityka cookies od razu przy budowie strony

Najłatwiej zrobić to dobrze na etapie projektu: wtedy skrypty analityczne i piksele od początku czekają na zgodę, a baner pasuje do wyglądu strony. Tak budujemy strony w ramach usługi strony internetowe. Przy okazji sprawdź, czy Twój sklep musi spełniać wymagania z ustawy o dostępności: piszemy o tym w poradniku o dostępności stron internetowych.