Baner cookies na stronie: wymogi RODO i UODO w 2026

Krótka odpowiedź: Baner cookies na stronie firmowej jest w praktyce obowiązkowy, jeśli strona używa plików cookie innych niż niezbędne, na przykład analitycznych lub marketingowych. Zgodnie z RODO i wytycznymi UODO z 2025 roku baner musi pozwalać odrzucić zgodę równie łatwo, jak ją zaakceptować: przycisk Odrzuć wszystkie ma być tak samo widoczny i dostępny jednym kliknięciem jak Akceptuj wszystkie. Cookies inne niż niezbędne można uruchomić dopiero po wyraźnej zgodzie, nie z góry. Popularny trik z jednym przyciskiem Akceptuję i przechodzę dalej jest dziś niezgodny z prawem.

Baner cookies to jeden z tych elementów strony, które prawie wszyscy mają, a mało kto ma poprawnie. Przez lata standardem był pasek z jednym przyciskiem OK albo Akceptuję, który tak naprawdę nie dawał użytkownikowi wyboru. W 2025 roku Urząd Ochrony Danych Osobowych wydał szczegółowe wytyczne i zapowiedział kontrole, więc temat przestał być formalnością. Poniżej wyjaśniamy, kiedy baner jest wymagany, jak powinien wyglądać zgodnie z aktualnymi zasadami i jakie błędy najczęściej narażają firmę na problemy.

Czy baner cookies jest obowiązkowy?

Zależy od tego, jakich plików cookie używa strona. Cookies niezbędne, konieczne do działania strony, na przykład utrzymujące sesję logowania czy zawartość koszyka, nie wymagają zgody i można je stosować bez banera. Problem w tym, że niemal każda strona firmowa używa też cookies innych niż niezbędne: statystyk odwiedzin, narzędzi analitycznych, pikseli reklamowych czy osadzonych map i filmów. To właśnie one wymagają zgody użytkownika, a więc i banera.

W praktyce oznacza to, że jeśli masz na stronie choćby statystyki odwiedzin albo osadzone treści zewnętrzne, baner cookies jest potrzebny. Podstawą jest tu prawo telekomunikacyjne oraz RODO, bo dane zbierane przez cookies często pozwalają zidentyfikować użytkownika. Brak banera przy aktywnej analityce czy reklamie to nie drobiazg, tylko realna nieprawidłowość, którą UODO może zakwestionować podczas kontroli.

Jak powinien wyglądać baner cookies zgodny z RODO?

Baner cookies zgodny z RODO daje użytkownikowi realny, równorzędny wybór. W praktyce oznacza to trzy rzeczy: przycisk Akceptuj wszystkie i przycisk Odrzuć wszystkie muszą być tak samo widoczne i dostępne w jednym kliknięciu, odmowa nie może być trudniejsza ani mniej widoczna od zgody, a użytkownik powinien mieć też opcję ustawień, w której sam wybierze kategorie cookies. Do tego baner musi krótko informować, po co zbierasz dane i odsyłać do polityki prywatności.

Kluczowa jest równorzędność. Jeśli na banerze jest wyraźny, kolorowy przycisk Akceptuj, a odmowa kryje się pod małym, szarym napisem albo dopiero za dodatkowym kliknięciem w ustawienia, taki baner jest wadliwy, nawet jeśli technicznie pozwala odmówić. Zgoda ma być dobrowolna, świadoma i tak samo łatwa do cofnięcia jak do wyrażenia. Dlatego użytkownik musi też mieć możliwość późniejszej zmiany decyzji, zwykle przez stały, dyskretny odnośnik do ustawień cookies.

Co zmieniły wytyczne UODO z 2025 roku

W 2025 roku Urząd Ochrony Danych Osobowych opublikował szczegółowy poradnik pokazujący krok po kroku, jak powinien wyglądać baner cookies, i zapowiedział wzmożone kontrole. To istotna zmiana, bo wcześniej wiele firm zasłaniało się tym, że nie ma jednoznacznych wskazówek. Teraz są, a wytyczne wprost krytykują praktyki, które przez lata były w polskich sklepach i na stronach standardem.

UODO zwrócił szczególną uwagę na popularny trik: przycisk w rodzaju Akceptuję i przechodzę do strony bez równoważnej opcji odmowy. Taki układ, zdaniem urzędu, wymusza zgodę, zamiast dawać wybór, więc jest niezgodny z zasadami. Podobny kierunek pokazują rozstrzygnięcia europejskie: głośny niemiecki wyrok z 2025 roku uznał, że skoro na banerze jest przycisk Akceptuj wszystkie, musi być też równie łatwy przycisk Odrzuć wszystkie. Standard w całej Europie jest więc spójny: odmowa ma być tak samo prosta jak zgoda.

Zgoda musi być dobrowolna, a nie wymuszona

Sednem przepisów o cookies jest dobrowolność zgody. Zgoda wymuszona nie jest zgodą w rozumieniu RODO. Dlatego nie wolno warunkować dostępu do strony od zaakceptowania wszystkich cookies, blokować treści do czasu kliknięcia Akceptuję ani stosować rozwiązań, które psychologicznie popychają do zgody, na przykład wielkiego kolorowego przycisku akceptacji obok ledwo widocznej odmowy. Takie zabiegi mają nazwę: to tak zwane ciemne wzorce, i są coraz częściej kwestionowane.

Ważna jest też zasada, że cookies inne niż niezbędne nie mogą działać, zanim użytkownik wyrazi zgodę. Częsty błąd techniczny polega na tym, że skrypty analityczne i reklamowe ładują się od razu z wejściem na stronę, a baner jedynie udaje, że pyta o zgodę. Poprawne wdrożenie wstrzymuje takie skrypty do momentu akceptacji i naprawdę ich nie uruchamia po odmowie. Sam ładny baner nie wystarczy, jeśli pod spodem dane i tak są zbierane.

Jakie cookies wymagają zgody, a jakie nie

Rozróżnienie jest proste w teorii, choć często mylone w praktyce. Cookies niezbędne, bez których strona nie zadziała, nie wymagają zgody: to na przykład pliki utrzymujące sesję, zawartość koszyka w sklepie czy zapamiętanie wyboru w banerze. Można je stosować zawsze i to ich dotyczy stwierdzenie, że pewne cookies są konieczne do działania serwisu.

Zgody wymaga cała reszta: cookies analityczne mierzące ruch, cookies marketingowe i remarketingowe, piksele serwisów społecznościowych oraz pliki osadzane przez zewnętrzne narzędzia, jak mapy, filmy czy czaty. To one profilują użytkownika i przekazują dane innym firmom, dlatego bez wyraźnej zgody muszą pozostać wyłączone. W praktyce dobrze zbudowany baner grupuje cookies w kategorie: niezbędne zawsze aktywne, a analityczne i marketingowe do wyboru.

Baner cookies a polityka prywatności

Baner cookies i polityka prywatności to dwie różne rzeczy, które muszą ze sobą współgrać. Baner to mechanizm zbierania zgody w momencie wejścia na stronę. Polityka prywatności to dokument opisujący szczegółowo, jakie dane zbierasz, w jakim celu, na jakiej podstawie i komu je przekazujesz, w tym listę stosowanych cookies. Baner powinien do tej polityki odsyłać, a nie zastępować ją krótkim opisem.

Dla firmy oznacza to komplet: poprawny baner, aktualna polityka prywatności i, jeśli strona coś sprzedaje, także regulamin. Te dokumenty najlepiej przygotować razem, bo się uzupełniają. Więcej o samym dokumencie napisaliśmy w tekście o tym, jak powinna wyglądać polityka prywatności na stronie internetowej, a szerszy obraz obowiązków znajdziesz w artykule o tym, co w kwestii RODO na stronie firmowej trzeba mieć.

Najczęstsze błędy w banerach cookies

Jeden przycisk Akceptuję bez opcji odmowy to najczęstszy i najpoważniejszy błąd, bo odbiera użytkownikowi wybór. Ukryty lub utrudniony przycisk odmowy to jego łagodniejsza wersja, równie kwestionowana. Kolejny błąd to skrypty analityczne i reklamowe działające od pierwszej sekundy, zanim ktokolwiek kliknął zgodę, przez co baner jest tylko dekoracją. Do tego dochodzi brak możliwości późniejszego cofnięcia zgody i baner bez jakiegokolwiek wyjaśnienia, po co dane są zbierane.

Osobny problem to traktowanie banera jako gotowej wtyczki wrzuconej na chwilę i zapomnianej. Narzędzie do zgód trzeba skonfigurować tak, żeby faktycznie blokowało skrypty do momentu akceptacji, a nie tylko wyświetlało pasek. Źle ustawiony baner daje złudne poczucie zgodności, a w razie kontroli nie chroni firmy, bo dane i tak były zbierane bez podstawy.

Baner cookies to część zgodnej z prawem strony

Poprawny baner cookies nie jest utrudnieniem, tylko dowodem, że firma traktuje dane odwiedzających poważnie. Równorzędny wybór między zgodą a odmową, cookies uruchamiane dopiero po akceptacji i jasna informacja o celu to dziś standard, którego pilnuje UODO. Wdrożenie tego raz, a porządnie, jest znacznie tańsze niż tłumaczenie się później podczas kontroli.

Dlatego robiąc stronę, baner cookies i dokumenty prawne traktujemy jako część projektu, a nie dodatek doklejony na koniec. Budujemy stronę firmową w stałej cenie od 1 490 zł, z poprawnym banerem zgód, polityką prywatności i miejscem na regulamin w standardzie. Zobacz, ile kosztuje strona internetowa zgodna z RODO dla firmy takiej jak Twoja.