Czy każda strona internetowa musi mieć baner cookies?

Baner cookies jest potrzebny tylko wtedy, gdy Twoja strona zapisuje coś na urządzeniu odwiedzającego albo odczytuje coś z niego, a nie jest to niezbędne do działania strony: cookies analityczne, piksele reklamowe, osadzone mapy i filmy. Strona bez takich rzeczy nie ma o co pytać i baneru nie potrzebuje. W Polsce tę zasadę zapisano w art. 399 Prawa komunikacji elektronicznej, a w całej Unii wynika ona z dyrektywy ePrivacy. Poniżej znajdziesz przepisy z oficjalnymi źródłami, listę rzeczy, które najczęściej dodają cookies bez Twojej wiedzy, i sposób, żeby sprawdzić własną stronę w pięć minut.

To nie jest porada prawna, tylko proste streszczenie oficjalnych tekstów, sprawdzone 9 listopada 2026. Jeśli Twój biznes opiera się na śledzeniu i reklamach, zapytaj prawnika.

Przepisy w Polsce

Od 10 listopada 2024 cookies reguluje art. 399 ustawy z 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221 w ISAP). Wcześniej był to art. 173 Prawa telekomunikacyjnego, ale ta ustawa straciła moc z wejściem w życie nowego prawa (art. 68 ustawy – Przepisy wprowadzające, Dz.U. 2024 poz. 1222). Jeśli trafisz na poradnik, który cytuje art. 173, jest po prostu nieaktualny.

Co mówi art. 399:

• Ust. 1: zapisywanie informacji na urządzeniu użytkownika albo odczytywanie tego, co już tam jest, jest dozwolone, gdy użytkownik zostanie wcześniej poinformowany „w sposób jednoznaczny, łatwy i zrozumiały” o celu i wyrazi zgodę.
• Ust. 3: zgoda nie jest potrzebna, gdy to jest konieczne do przesłania wiadomości przez sieć albo do dostarczenia usługi, której użytkownik sam chce.
• Art. 400: do zgody stosuje się przepisy o ochronie danych osobowych, czyli RODO.

Jaka zgoda się liczy. RODO mówi, że zgoda ma być dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona wyraźnym działaniem (art. 4 pkt 11), a wycofać ją musi być równie łatwo, jak ją wyrazić (art. 7 ust. 3) (RODO w EUR-Lex). Urząd Ochrony Danych Osobowych przypomina w Biuletynie UODO nr 03/03/25 (artykuł „Problematyka ochrony danych osobowych a pliki cookies”), że domyślnie zaznaczone pola nie są zgodą, blokowanie strony do czasu akceptacji (tzw. cookie wall) jest niezgodne z RODO, a zgodę trzeba dać się wycofać tak samo łatwo, jak się ją wyraziło.

To nie tylko cookies. Europejska Rada Ochrony Danych w wytycznych 2/2023 o technicznym zakresie art. 5 ust. 3 dyrektywy ePrivacy (wersja 2.0 z 7 października 2024, po angielsku) obejmuje także pamięć lokalną przeglądarki, piksele śledzące i śledzenie przez adresy URL. Zdanie „nie mamy cookies, tylko piksel” niczego więc nie zmienia.

Co nie wymaga zgody: rzeczy, bez których strona nie zrobi tego, o co prosi odwiedzający: koszyk w sklepie, logowanie albo zapamiętanie, że ktoś wpisał hasło do prywatnej strony.

Ta sama zasada w całej UE

Polski art. 399 wdraża art. 5 ust. 3 dyrektywy ePrivacy (dyrektywa 2002/58/WE, tekst skonsolidowany). Każdy kraj UE ma własną ustawę, ale sedno jest wszędzie to samo: zgoda przed wszystkim, co nie jest niezbędne. Jeśli Twoja pracownia z Krakowa sprzedaje też do Niemiec czy Czech, zasada się nie zmienia.

Jeśli masz klientów w Wielkiej Brytanii albo w USA

Wielka Brytania. Tam obowiązuje regulacja 6 PECR. Od 5 lutego 2026, po zmianach z Data (Use and Access) Act 2025, zapisywać i odczytywać informacje na urządzeniu można tylko w ramach wyjątków z załącznika A1. Zgoda jest jednym z nich. Inne to rzeczy ściśle niezbędne, statystyki służące wyłącznie ulepszaniu własnej strony (dane nieudostępniane dalej, poza kimś, kto pomaga Ci ulepszyć stronę, jasna informacja i prosty, darmowy sposób na sprzeciw) oraz zapamiętanie, jak odwiedzający chce, żeby strona wyglądała lub działała. Reklamy i śledzenia między stronami wśród wyjątków nie ma, więc piksele dalej wymagają zgody (regulacja 6 na legislation.gov.uk).

USA. Nie ma ogólnej ustawy federalnej, która wymagałaby banera. Kongresowe biuro badań (CRS) napisało w sierpniu 2025, że Kongres uchwalił przepisy o prywatności dla wybranych sektorów (np. danych o zdrowiu, finansowych i dzieci), a nie jedną ogólną ustawę, i że co najmniej 19 stanów ma własne ogólne ustawy o prywatności (CRS, Preemption and Privacy Law). Działają one głównie na zasadzie sprzeciwu (opt-out), a nie zgody z góry. Kalifornijska CCPA dotyczy firm nastawionych na zysk powyżej określonych progów, wymaga od firm, które sprzedają dane, linku „Do Not Sell or Share My Personal Information” (nie sprzedawaj ani nie udostępniaj moich danych osobowych) i respektowania sygnału Global Privacy Control z przeglądarki (prokurator generalny Kalifornii: CCPA). To link i obietnica, której dotrzymujesz, a nie baner przed załadowaniem strony.

Bez śledzenia nie ma banera

Jeśli nic na Twojej stronie nie zapisuje ani nie odczytuje niczego, co nie jest niezbędne, nie ma na co się zgadzać, a baner tylko by przeszkadzał. Politykę prywatności i tak potrzebujesz, jeśli zbierasz dane osobowe, na przykład przez formularz kontaktowy. Baner i polityka prywatności to dwie różne rzeczy.

Co najczęściej dodaje cookies bez Twojej wiedzy

Mało która mała firma ustawia cookies celowo. Pojawiają się razem z czymś, co dodałeś:

• Osadzona Mapa Google. Polityka prywatności Google wymienia „osadzone Mapy Google” wśród swoich usług wbudowanych w inne strony i pisze, że te strony udostępniają Google informacje, gdy je odwiedzasz (Polityka prywatności Google). Typowy przykład: kawiarnia na Kazimierzu w Krakowie z mapą dojazdu w stopce.
• Osadzone filmy z YouTube. Odtwarzacz ładuje się z serwerów Google od razu po otwarciu strony. Google wymienia cookies YouTube, takie jak PREF i VISITOR_INFO1_LIVE, na swojej stronie o plikach cookie. Obie rzeczy i to, jak je naprawić, opisujemy w tekście mapa Google i YouTube na stronie bez cookies.
• Statystyki. Google Analytics 4 ustawia dwa własne cookies, _ga i _ga_<container-id>, domyślnie każde na dwa lata (pomoc Google Analytics).
• Piksele reklamowe Meta, TikToka, Pinteresta czy Google Ads. W UE i w Wielkiej Brytanii zawsze wymagają zgody: zobacz jak legalnie dodać Meta Pixel w UE (po angielsku).
• Czaty, widżety rezerwacji i kanały z mediów społecznościowych, które ładują się z serwerów innej firmy, np. zewnętrzny kalendarz rezerwacji na stronie salonu we Wrocławiu. Sprawdź dokumentację każdego z nich.
• Google Fonts ładowane z serwerów Google. Tu nie chodzi nawet o cookies: przeglądarka odwiedzającego łączy się z Google, które dostaje jego adres IP. W styczniu 2022 sąd krajowy w Monachium nakazał właścicielowi strony zapłacić odwiedzającemu 100 € za przekazanie jego adresu IP do Google w ten sposób bez zgody i zauważył, że czcionek można używać bez łączenia się z Google (LG München I, 3 O 17493/20). Pliki czcionek zapisane na własnym serwerze rozwiązują problem.

Jak sprawdzić własną stronę

Nie potrzebujesz żadnego narzędzia, wystarczy przeglądarka na komputerze:

1. Otwórz swoją stronę w oknie prywatnym (incognito), żeby nie było w nim nic z wcześniejszych wizyt.
2. Otwórz narzędzia dla programistów (klawisz F12 w Chrome, Edge i Firefoksie).
3. W Chrome i Edge przejdź do zakładki Application i sekcji Cookies, w Firefoksie do zakładki Storage i Cookies (w polskiej wersji przeglądarki te nazwy mogą być przetłumaczone). Wszystko, co tam widzisz, zostało zapisane, zanim cokolwiek kliknąłeś.
4. Przejdź do zakładki Network i odśwież stronę. Spójrz na domeny na liście: każda, która nie jest Twoją stroną, dostała adres IP odwiedzającego.
5. Przewiń całą stronę do końca i sprawdź jeszcze raz: niektóre osadzone elementy ładują się dopiero wtedy, gdy pojawią się na ekranie.

Jeśli w punktach 3 i 4 widzisz tylko własną domenę, baner najpewniej nie jest Ci potrzebny. Jeśli widzisz Google, Meta albo inne firmy, wstrzymaj je do czasu zgody albo usuń.

Jak robi to Ginta

Ginta to nasz produkt, więc tak działają nasze strony. Strona w Ginta domyślnie nie ustawia żadnych cookies, a polityka prywatności, którą Ginta pisze na podstawie tego, czego strona naprawdę używa, mówi o tym wprost:

Rzeczy z listy powyżej Ginta załatwia sama:

• Google Fonts są serwowane z adresu Twojej strony, więc przeglądarka odwiedzającego w ogóle nie łączy się z Google.
• Zdjęcia z banku Pexels też są serwowane z adresu strony.
• Mapa Google najpierw pyta. Strona z mapą Google pokazuje baner Ginta z wyborem „Mapy” (jedynym, jeśli strona nie ma narzędzi śledzących). Po zgodzie mapa Google pojawia się od razu. Do tego czasu mapa jest obrazkiem przygotowanym przez serwer Ginta, z przyciskami „Otwórz w Mapach Google” i „Pokaż mapę interaktywną”, który ładuje tylko tę jedną mapę.
• YouTube i inne odtwarzacze wideo ładują się dopiero, gdy odwiedzający kliknie „Odtwórz wideo”.
• Statystyki odwiedzin liczy serwer Ginta, bez cookies: zobacz statystyki bez cookies (po angielsku).

9 listopada 2026 otworzyliśmy dwie przykładowe strony w Ginta w świeżej przeglądarce, hollin-mobile-massage.ginta.page i krume-leipzig.ginta.page, i przewinęliśmy je do końca: każde żądanie trafiło na adres samej strony, nie zapisało się żadne cookie ani nic w pamięci lokalnej. (Strona z Lipska ma mapę, więc pokazuje baner z wyborem „Mapy”; nic się nie zapisuje, dopóki odwiedzający nie odpowie.)

Gdy dodasz narzędzie śledzące, baner pojawi się sam (na podstronach z mapą Google już jest, do tej pory tylko z wyborem „Mapy”). Wklej identyfikator Meta Pixel, TikTok Pixel, Google Analytics 4, Google Ads albo Pinteresta w Ustawieniach strony → Marketing i śledzenie (w każdym planie, także darmowym) albo poproś o to w czacie. Ginta doda wtedy baner z równie dużymi przyciskami Akceptuj, Odrzuć i Ustawienia, niczego nie załaduje przed kliknięciem Akceptuj, doda link Ustawienia cookie w stopce i wypisze narzędzia w polityce prywatności. Baner mówi w języku strony, także po polsku.

Szczegóły znajdziesz na stronach piksele i baner cookies (po angielsku) i w dokumentacji śledzenia (po angielsku). Jedyne inne cookie, jakie może ustawić strona w Ginta, też zależy od Ciebie: gdy ustawisz stronę jako Prywatną, osoby, które wpiszą hasło, dostają cookie, które utrzymuje je zalogowane. To cookie jest ściśle niezbędne.

Gdzie Ginta wypada słabiej

• Polityka prywatności, którą pisze Ginta, jest na razie po angielsku, także na stronach po polsku. Jeśli Twoi klienci potrzebują jej po polsku, musisz ją na razie przetłumaczyć sam.
• Ginta nie prowadzi centralnego rejestru zgód. Wybór odwiedzającego jest zapamiętywany na jego własnym urządzeniu. Polityka Google dotycząca zgody użytkowników z UE wymaga od stron korzystających z jej usług przechowywania dowodów zgody; jeśli platforma reklamowa o nie poprosi, sprawdź, co akceptuje.
• Skrypty, których Ginta nie rozpoznaje. W płatnych planach możesz dodać inne zewnętrzne skrypty. Znane narzędzia śledzące wpisane ręcznie w kod stron są wstrzymywane do kliknięcia Akceptuj, a wszystko inne Ginta wymienia w polityce prywatności, ale nie wie, czy nieznany skrypt wymaga zgody. Wklej taki skrypt w Ustawieniach → Marketing i śledzenie → Inny skrypt śledzący, wtedy poczeka na baner.
• Ginta nie zna Twoich danych. Polityka prywatności potrzebuje nazwy i adresu Twojej firmy; dopóki ich nie dodasz, w tym miejscu jest luka.