RODO i banner cookies — co dokładnie musisz mieć na stronie
Z RODO + ePrivacy + ustawą o świadczeniu usług drogą elektroniczną (art. 173 prawa telekomunikacyjnego) wynika kilka twardych wymagań dla bannera zgody. Przedstawiamy je po kolei — bez prawniczego żargonu — oraz jak każde z nich realizujemy domyślnie.
Co właściwie chroni RODO + ePrivacy
Każde cookie / localStorage / lokalny identyfikator, który nie jest ściśle niezbędny do świadczenia usługi żądanej przez użytkownika, wymaga jego świadomej, dobrowolnej, jednoznacznej zgody.
„Ściśle niezbędne" to bardzo wąska kategoria — token sesji, CSRF, koszyk. Wszystko poza tym (analityka, marketing, personalizacja, social widgets) wymaga opt-in.
Praktyczny checklist — 7 wymagań
- Banner pojawia się przy pierwszej wizycie z czterema opcjami: Zaakceptuj wszystkie / Odrzuć wszystkie / Zarządzaj preferencjami / Link do polityki cookies
- Odrzucenie musi być tak samo łatwe jak akceptacja (UODO Wytyczne 5/2020). Czyli: nie ukrywaj „Reject all" w ciemnych miniaturach
- Domyślnie nic nie odpalamy — żadne cookies analityczne / marketingowe nie są zapisane przed kliknięciem Akceptuję
- Visitor może wycofać zgodę — równie łatwo jak ją wyraził (RODO art. 7(3)). W praktyce: floating button w rogu albo link w stopce do otwarcia preferencji
- Granularne kategorie — necessary, preferences, analytics, marketing — visitor wybiera, na co konkretnie się zgadza
- Audit trail — masz log każdej zgody z timestamp, źródłem, kategoriami. W razie kontroli UODO udowodnisz, że konkretny visitor zgodę faktycznie wyraził
- Zgodność dla EOG + miękkie powiadomienie poza EOG (CCPA / opt-out gdzie to obowiązuje, brak gates poza tymi rygorami)
Jak rozwiązać to w 60 sekund
CJakCiasteczko domyślnie spełnia wszystkie 7 wymagań z checklisty:
- Wklejasz dwie linijki w
<head>swojej strony - Banner pojawia się przy pierwszej wizycie — Akceptuj / Odrzuć równoważne, link do polityki w body
- Domyślnie wszystkie cookies analityczne i marketingowe są zablokowane (Google Consent Mode v2 default = denied)
- Po decyzji — floating button w rogu, klik otwiera preferencje
- Każda zgoda zapisuje się z hash-chained timestamp w naszym panelu — eksport CSV/NDJSON jednym klikiem
Brakujące elementy — polityka cookies + polityka prywatności — generujemy z szablonu (RODO + ePrivacy compliant) na bazie Twojej domeny i listy używanych narzędzi.
Najczęstsze pytania
Czy potrzebuję bannera, jeśli moja strona nie używa Google Analytics?
Jeśli używasz cokolwiek poza ściśle niezbędnymi cookies (Hotjar, Facebook Pixel, embedy YouTube, custom analytics), tak. Jeśli rzeczywiście masz tylko sesyjne tokeny — technicznie nie. W praktyce zawsze jest coś co wymaga zgody.
Czy banner musi być po polsku?
Tak, jeśli kierujesz ofertę do polskich konsumentów. Ustawa o ochronie konkurencji i konsumentów wymaga komunikacji w języku polskim. CJakCiasteczko ma 40 języków, polski to default.
Co z subdomenami?
Każda subdomena to osobna „witryna" z punktu widzenia browsera — zgody nie propagują się automatycznie. Jeśli shop.example.pl i www.example.pl mają być wspólne, ustawiasz cookie domain na .example.pl. Konfigurujesz w panelu CJakCiasteczko.
Czy mogę użyć tylko CMP bez polityki prywatności?
Nie. Banner zbiera zgodę, ale visitor musi mieć skąd dowiedzieć się, kto, co i dlaczego z jego danymi robi. Polityka prywatności to osobny wymóg RODO art. 13.
Wdróż banner zgodny z RODO w 60 sekund
30 dni za darmo. Bez karty. Anulujesz jednym klikiem.