Polityka prywatności i cookies na stronie firmowej – co jest obowiązkowe

Prawie każda strona firmowa zbiera jakieś dane: przez formularz kontaktowy, Google Analytics, osadzoną mapę czy piksel reklamowy. To oznacza dwa obowiązki – politykę prywatności i poprawnie działający mechanizm zgody na cookies. W tym artykule wyjaśniam, co jest obowiązkowe, co musi znaleźć się w dokumencie, jak powinien działać baner i jak w kilka minut sprawdzić, czy Twoja strona robi to dobrze. Piszę z perspektywy osoby, która wdraża te rozwiązania technicznie – nie jestem prawnikiem, więc treść samego dokumentu warto skonsultować ze specjalistą od ochrony danych.

Dwa obowiązki, dwa różne przepisy

Polityka prywatności i zgoda na cookies często są wrzucane do jednego worka, ale wynikają z różnych przepisów.

• RODO – nakłada obowiązek informacyjny wobec osób, których dane przetwarzasz. Na stronie realizujesz go właśnie polityką prywatności. Nadzór sprawuje Prezes UODO.
• Prawo komunikacji elektronicznej – ustawa z 12 lipca 2024 r., która zastąpiła Prawo telekomunikacyjne. Zasady dotyczące cookies znajdziesz w art. 399 (wcześniej był to art. 173 Prawa telekomunikacyjnego). Nadzór nad tymi przepisami sprawuje Prezes UKE.

W skrócie: zapisywanie plików na urządzeniu użytkownika wymaga wcześniejszej, jasnej informacji o celu i zgody. Wyjątek dotyczy plików niezbędnych do działania strony lub usługi, o którą użytkownik sam prosi. Jeśli cookies pozwalają zidentyfikować osobę, dodatkowo stosuje się RODO.

Czy Twoja strona potrzebuje polityki prywatności

W praktyce niemal zawsze tak. Wystarczy jeden z tych elementów:

Nawet wizytówka hydraulika z Gliwic czy gabinetu w Katowicach ma zwykle formularz i mapę dojazdu. To wystarcza, żeby polityka prywatności była potrzebna.

Co musi zawierać polityka prywatności

Treść wynika z obowiązku informacyjnego z art. 13 RODO. Dokument powinien wskazywać m.in.:

1. Administratora danych – pełną nazwę firmy, adres i dane kontaktowe, a jeśli wyznaczono inspektora ochrony danych – także jego kontakt.
2. Cele i podstawy prawne przetwarzania – osobno dla formularza, analityki, newslettera, reklam.
3. Odbiorców danych – hosting, dostawcę poczty, Google, Meta, biuro rachunkowe.
4. Przekazywanie danych poza EOG – jeśli korzystasz z narzędzi amerykańskich firm.
5. Okres przechowywania – konkretnie albo przez kryteria, według których go ustalasz.
6. Prawa użytkownika – dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie danych, wycofanie zgody.
7. Prawo do skargi do Prezesa UODO.
8. Informację o cookies – jakie pliki stosujesz, w jakim celu i jak zarządzać zgodą.

Dopasuj dokument do swojej strony

Gotowe wzory i generatory są dobrym punktem wyjścia, ale często opisują narzędzia, których nie używasz, i pomijają te, które faktycznie masz. Polityka musi opisywać Twoją stronę: jeśli masz mapę Google i piksel Meta, oba muszą się w niej znaleźć.

Gdzie ją umieścić

• link w stopce, widoczny na każdej podstronie,
• link przy formularzu kontaktowym, najlepiej z krótką informacją o tym, kto i w jakim celu przetwarza dane,
• link w banerze cookies.

Dokument musi być dostępny bez logowania i napisany zrozumiałym językiem.

Które cookies wymagają zgody

Kategoria „niezbędne” jest wąska. To, że statystyki są dla Ciebie przydatne, nie czyni ich niezbędnymi do działania strony.

Jak powinien działać baner cookies

Sam baner z napisem „Korzystając ze strony, akceptujesz cookies” nie wystarcza. Poprawnie wdrożony mechanizm zgody:

• blokuje wszystkie skrypty analityczne i marketingowe, dopóki użytkownik się nie zgodzi,
• ma przycisk odrzucenia równie widoczny jak przycisk akceptacji – europejskie organy ochrony danych wprost wskazują ukrywanie odmowy jako błąd,
• pozwala wybrać kategorie (np. tylko statystyki, bez marketingu),
• nie ma domyślnie zaznaczonych pól – zgoda musi być aktywnym działaniem,
• umożliwia zmianę decyzji w dowolnym momencie, np. przez link w stopce lub ikonę w rogu ekranu,
• zapisuje zgodę, żebyś mógł wykazać, kiedy i na co ją wyrażono.

W WordPressie robi się to za pomocą wtyczki lub zewnętrznej platformy do zarządzania zgodami. Samo zainstalowanie nie wystarczy – trzeba przypisać każdy skrypt do właściwej kategorii, inaczej baner wyświetla się, ale niczego nie blokuje.

Jak samodzielnie sprawdzić swoją stronę

Ten test zajmuje kilka minut i nie wymaga żadnych dodatkowych narzędzi.

1. Otwórz stronę w oknie incognito w Chrome. Nie klikaj niczego w banerze.
2. Wciśnij F12 i przejdź do zakładki Application, a następnie Cookies. Sprawdź listę plików dla swojej domeny.
3. Jeśli widzisz pliki zaczynające się od _ga, _gid, _fbp czy _gcl, analityka lub reklamy działają przed zgodą. To najczęstszy problem.
4. W zakładce Network wpisz w filtr google-analytics lub facebook i odśwież stronę. Zapytania do tych usług przed zgodą to ten sam sygnał.
5. Kliknij „Odrzuć”, odśwież stronę i powtórz sprawdzenie. Po odmowie nowe pliki analityczne nie powinny się pojawić.
6. Na koniec otwórz politykę prywatności i porównaj ją z tym, co znalazłeś. Każde narzędzie z listy powinno być w niej opisane.

Google Analytics, Mapy Google i tryb zgody

Google Analytics wymaga zgody na cookies analityczne. Jeśli korzystasz z narzędzi Google, warto wdrożyć tryb zgody (Consent Mode v2) – przekazuje on Google informację o decyzji użytkownika, a Google wymaga go od reklamodawców kierujących reklamy do użytkowników z Europejskiego Obszaru Gospodarczego.

Praktyczny skutek: po poprawnym wdrożeniu zgody w Analytics zobaczysz mniej danych niż wcześniej, bo część osób odmawia. To normalne. Przy ocenie efektów pozycjonowania strony dobrze jest wtedy opierać się także na Google Search Console, która nie zależy od cookies na Twojej stronie.

Osobny przypadek to mapa Google na stronie kontaktowej – element, który ma niemal każda lokalna firma. Osadzona mapa ładuje skrypty i cookies Google od razu po wejściu na stronę. Rozwiązania są dwa: ładować mapę dopiero po zgodzie (z komunikatem „kliknij, aby wyświetlić mapę”) albo zastąpić ją statycznym obrazkiem z linkiem do Map Google. Drugie rozwiązanie jest też szybsze.

Najczęstsze błędy na stronach firmowych

Przy przeglądach stron moich klientów najczęściej trafiam na te problemy:

• Polityka skopiowana z innej strony – z cudzą nazwą firmy, adresem albo opisem sklepu, którego nie ma.
• Baner, który niczego nie blokuje – wyświetla się, ale Analytics ładuje się niezależnie od decyzji.
• Brak przycisku odrzucenia albo ukrycie go w ustawieniach.
• Nieaktualna polityka – ktoś dodał piksel Meta albo czat na stronie, a dokumentu nikt nie zaktualizował.
• Brak informacji przy formularzu – dane trafiają na skrzynkę, a użytkownik nie wie, kto je przetwarza.
• Niedziałający link do polityki w stopce, np. po przebudowie strony.

Większość tych błędów pojawia się nie przy starcie strony, tylko później, gdy dochodzą nowe narzędzia. Dlatego w ramach opieki nad stroną WWW sprawdzam, czy baner nadal blokuje to, co powinien, a polityka opisuje faktycznie używane narzędzia. Przy nowej stronie internetowej dla firmy wdrażam mechanizm zgody od pierwszego dnia, razem z mapą i formularzem skonfigurowanymi tak, żeby nie ładowały niczego bez zgody.

Checklista

• Polityka prywatności z aktualnymi danymi firmy i opisem wszystkich narzędzi na stronie
• Link do polityki w stopce, przy formularzu i w banerze
• Informacja o przetwarzaniu danych przy formularzu kontaktowym
• Baner z równorzędnymi przyciskami „Akceptuj” i „Odrzuć”
• Brak plików analitycznych i marketingowych przed zgodą (test w trybie incognito)
• Możliwość zmiany decyzji w dowolnym momencie
• Mapa Google i filmy ładowane po zgodzie lub zastąpione obrazkiem
• Przegląd polityki po każdym dodaniu nowego narzędzia

Jeśli Twoja strona nie pozwala wdrożyć tych elementów bez obejść – np. motyw na sztywno ładuje mapę i skrypty – rozsądniejsza bywa przebudowa strony niż łatanie starej.

Sprawdźmy Twoją stronę

Jeśli test w trybie incognito pokazał cookies przed zgodą albo nie masz pewności, czy baner działa poprawnie, napisz do mnie – sprawdzę stronę i przygotuję wycenę poprawek. Pracuję bezpośrednio z klientem, bez pośredników, i odpowiadam w ciągu 1 dnia roboczego. Przykłady stron, które zrobiłem, znajdziesz w moich realizacjach.