Jak powinien wyglądać baner cookie, który przejdzie kontrolę

Odrzucić można od razu w pierwszej warstwie

Jeśli odwiedzający widzi tylko „Zgadzam się”, a odrzucenia musi szukać o klik dalej w ustawieniach, zgoda nie jest dobrowolna — jest wymuszona niewygodą. Odrzucenie musi być dostępne na tym samym ekranie i równie łatwo jak akceptacja.

To najczęstsza przyczyna kar w Czechach i zarazem błąd, który ma większość domyślnych banerów platform sklepowych.

Przed zgodą nie uruchamia się żaden skrypt pomiarowy

Ustawa nie mówi o banerze cookie — mówi o zapisywaniu informacji w urządzeniu i dostępie do nich. Dopóki odwiedzający nie kliknie, nie wolno uruchomić Google Analytics, Meta pixela, Sklika ani widżetu czatu. Baner, który tylko się wyświetla, a skrypty działają w tle, to dekoracja bez skutku prawnego.

Właśnie za to zapadły najwyższe czeskie kary za cookies.

Żadna kategoria nie jest domyślnie zaznaczona

Zgoda musi być jednoznacznym okazaniem woli — czyli aktywnym działaniem. Przełącznik, który jest włączony już przy otwarciu ustawień, nie jest zgodą, bo odwiedzający nie zrobił nic. Trybunał Sprawiedliwości UE rozstrzygnął to jednoznacznie w sprawie Planet49.

Wyjątek jest jeden: technicznie niezbędne cookies. Są zawsze włączone, nie da się ich wyłączyć i nie wymagają zgody.

Zamknięcie krzyżykiem ani przewijanie nie jest zgodą

Jeśli odwiedzający zamknie baner albo tylko przewinie stronę, nie wyraził niczego — i nie wolno tego interpretować jako zgody. EROD stwierdza to wprost: kontynuowanie przeglądania czy przewijanie nie spełnia wymogu jednoznacznego działania.

Dobre rozwiązanie: po zamknięciu opcjonalne cookies pozostają wyłączone, a baner można w każdej chwili otworzyć ponownie.

Przyciski wyglądają równorzędnie

Nie wystarczy, że odrzucenie istnieje — nie może być wizualnie stłumione. Duże zielone „Akceptuj” obok szarego tekstu „Odrzuć” to zwodniczy projekt: projekt popycha ku jednemu wyborowi, więc uzyskana zgoda nie jest dobrowolna.

Kryterium praktyczne: obie opcje mają porównywalny rozmiar, kontrast i umiejscowienie. Nie muszą być identyczne, ale nie mogą być w innej kategorii wagowej.

Ta sama logika dotyczy tekstu na przyciskach. Przepisy nie wymagają identycznego brzmienia — ale jeśli jedna opcja dokładnie nazywa, co się stanie, a druga nie, niepewność powstaje właśnie po stronie odrzucenia.

Zgodę można dać oddzielnie dla każdego celu

Zgoda musi być konkretna. Jeden przycisk „zgadzam się na wszystko” bez możliwości zezwolenia tylko na analitykę i odrzucenia reklamy nie spełnia warunku — odwiedzający musi móc rozróżnić cele.

Utarte kategorie: niezbędne, funkcjonalne, analityczne, marketingowe. Każda z własnym przełącznikiem i wyjaśnieniem, do czego służy.

Lista cookies jest pełna i konkretna

Świadoma zgoda oznacza, że odwiedzający wie, na co dokładnie zezwala: nazwę cookie, do czego służy, jak długo działa i kto ma do niej dostęp. Zdanie „używamy cookies stron trzecich” nie spełni obowiązku informacyjnego.

W praktyce to najczęstsze miejsce rozbieżności: sklep deklaruje pięć cookies, a realnie zapisuje trzydzieści. Lista musi odpowiadać rzeczywistości — i aktualizować się zawsze, gdy na stronie pojawi się nowe narzędzie.

Cofnięcie zgody musi być równie łatwe jak jej udzielenie

To nie interpretacja — RODO mówi to dosłownie. Jeśli zgody można udzielić jednym kliknięciem na banerze, musi się ją dać jednym kliknięciem także cofnąć. Nie e-mailem, nie wnioskiem, nie usuwaniem cookies w przeglądarce.

Typowe rozwiązanie: stały odnośnik „Ustawienia cookies” w stopce albo pływająca ikona, która ponownie otwiera baner.

Strona działa także dla tego, kto odrzuci

Uzależnienie dostępu do treści od zgody na cookies marketingowe oznacza, że zgoda nie jest dobrowolna — odwiedzający nie ma realnego wyboru. Tak zwany cookie wall jest więc niedopuszczalny.

Tak samo nie w porządku jest baner, który zasłania cały ekran i nie da się go ominąć inaczej niż zgodą.

Po odrzuceniu baner nie pyta ponownie przy każdej wizycie

Ponowne wyskakiwanie banera po tym, jak odwiedzający odrzucił, to nacisk — celem jest, by w końcu „kliknął”, byle mieć spokój. Tu też chodzi o dobrowolność zgody.

Czeski organ zaleca konkretne liczby: ważność zgody około 12 miesięcy, a po odrzuceniu nie pytać przez co najmniej 6 miesięcy.

Baner da się obsłużyć klawiaturą i odczytać czytnikiem

Od 28 czerwca 2025 obowiązuje Europejski akt o dostępności. Jeśli baner cookie nie da się obsłużyć klawiaturą albo pominie go czytnik ekranu, część osób w ogóle nie dotrze do wyboru — a sklep ma problem wykraczający poza RODO.

Minimum: widoczny focus, obsługa tabulatorem, wystarczający kontrast tekstu i przycisków, zamykanie klawiszem Esc.

Wiadomo, kto przetwarza dane i gdzie są szczegóły

Zgoda jest świadoma tylko wtedy, gdy odwiedzający wie, komu ją daje. Baner musi wskazać administratora (albo jednoznacznie do niego odesłać) oraz odnośnik do polityki przetwarzania danych osobowych.

Jeśli polityka znajduje się w domenie dostawcy banera, to nie problem — musi jednak z niej jasno wynikać, że administratorem jest dany sklep, a nie dostawca.