Cookies w WordPressie – zgody, konfiguracja i ryzyka

Właściciel firmy instaluje wtyczkę do cookies, ustawia kolory banera pod stronę, klika „zapisz” i uznaje temat za zamknięty. Baner wyświetla się na dole strony, ma przycisk „akceptuję”, więc formalnie coś tam jest. Problem w tym, że sam baner to często najmniej istotny element całej układanki – a jednocześnie jedyny, który ktokolwiek w firmie w ogóle widzi i sprawdza. W tle, zanim odwiedzający zdąży kliknąć cokolwiek, Google Analytics już się załadował, Meta Pixel już zapisał swój identyfikator, a skrypt do map wgrał się razem z całą resztą strony. Ten wzorzec powtarza się na wielu stronach firmowych: baner istnieje, więc temat wygląda na odhaczony, a rzeczywista konfiguracja nie odpowiada temu, co baner sugeruje. W tym artykule pokazujemy, jak wygląda poprawna konfiguracja cookies w WordPressie – od tego, czym różnią się cookies niezbędne od tych wymagających zgody, przez wybór i ustawienie wtyczki, po najczęstsze błędy, które sprawiają, że baner jest tylko dekoracją.

Dlaczego sam baner cookies to za mało

Baner cookies to interfejs – element, który odwiedzający widzi i z którym może wejść w interakcję. Ale to, co dzieje się pod spodem, jest ważniejsze niż to, jak baner wygląda. Jeśli skrypty analityczne czy marketingowe ładują się od razu przy wejściu na stronę, niezależnie od tego, czy ktoś kliknął „akceptuję”, czy w ogóle nie zdążył przeczytać komunikatu, to sam fakt istnienia banera niewiele zmienia. Cookie zostaje zapisane, identyfikator zostaje wysłany do Google czy Meta, a zgoda – jeśli w ogóle padła – przyszła już po fakcie.

To rozróżnienie jest kluczowe i często umyka przy wdrażaniu wtyczek do cookies „na szybko”. Część prostych wtyczek pokazuje baner, ale nie blokuje ładowania skryptów. Poznasz je po tym, że w ustawieniach nie ma kategorii zgód ani opcji blokowania skryptów przed zgodą. Działają w trybie informacyjnym, nie blokującym. Dla właściciela strony różnica bywa niewidoczna, bo wizualnie wszystko wygląda tak samo: baner jest, przycisk działa, komunikat się chowa po kliknięciu. Różnicę widać dopiero wtedy, gdy sprawdzi się, co realnie dzieje się w przeglądarce przed kliknięciem czegokolwiek – a to jest dokładnie ten test, który pokazujemy w ostatniej sekcji tego artykułu.

Nie jesteśmy prawnikami i ten artykuł nie zastępuje porady prawnej – w razie wątpliwości co do zgodności Twojej strony z przepisami warto skonsultować się z prawnikiem lub specjalistą od RODO. Tam, gdzie piszemy o obowiązkach, wskazujemy przepis, z którego wynikają: w Polsce cookies reguluje art. 399 ustawy Prawo komunikacji elektronicznej, a warunki samej zgody określa RODO (stan prawny na wrzesień 2026). Skupiamy się tutaj na stronie technicznej: jak skonfigurować WordPressa tak, żeby baner rzeczywiście robił to, do czego jest przeznaczony, a nie tylko wyglądał jak robi.

Jakie zgody trzeba realnie zbierać przed załadowaniem WordPressa

Punktem wyjścia jest prosta zasada: zgoda powinna poprzedzać ładowanie skryptu, nie następować po nim. Tak ujmuje to art. 399 ust. 1 Prawa komunikacji elektronicznej: zapisanie informacji w urządzeniu użytkownika albo odczyt informacji już tam zapisanej jest dozwolony pod warunkiem, że użytkownik został wcześniej jednoznacznie poinformowany o celu i po otrzymaniu tej informacji wyraził zgodę. Zanim jakikolwiek kod śledzący – Google Analytics, Meta Pixel, skrypt remarketingowy, wtyczka do czatu, osadzony filmik z YouTube – w ogóle się wykona, odwiedzający powinien mieć możliwość świadomego wyboru, czy się na to zgadza. W praktyce oznacza to, że te skrypty nie mogą być wpisane na sztywno w kodzie motywu ani wgrywane bezwarunkowo przez wtyczkę – muszą przechodzić przez mechanizm, który sprawdza, czy zgoda została udzielona, zanim w ogóle je uruchomi.

Ważny jest też sposób, w jaki ta zgoda jest zbierana. Prawo komunikacji elektronicznej (art. 400) odsyła przy zgodzie na cookies do przepisów o ochronie danych osobowych, a RODO definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia albo wyraźnego działania potwierdzającego (art. 4 pkt 11). Domyślnie zaznaczone checkboxy przy kategoriach takich jak „marketing” czy „statystyka” nie są taką zgodą – użytkownik powinien sam zaznaczyć, na co się zgadza, a nie odznaczać to, czego nie chce. Motyw 32 RODO mówi o tym wprost: „Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody”, a Trybunał Sprawiedliwości UE potwierdził to dla cookies w wyroku w sprawie Planet49 (C-673/17) z 1 października 2019 r. Z tego samego powodu brak reakcji na baner (zamknięcie go krzyżykiem albo dalsze przewijanie strony) nie jest zgodą; Europejska Rada Ochrony Danych w wytycznych 05/2020 podaje przewijanie strony jako przykład zachowania, które nie spełnia wymogu wyraźnego działania. Dobra konfiguracja rozdziela zgody na kategorie – osobno statystyka, osobno marketing, osobno funkcje takie jak czat czy osadzone treści z zewnętrznych serwisów – żeby odwiedzający mógł zgodzić się na jedno, a odmówić drugiego, zamiast dostawać wybór typu „wszystko albo nic”. To również wymóg RODO: zgoda dotyczy określonego celu (art. 6 ust. 1 lit. a), a zgody nie uważa się za dobrowolną, jeżeli nie można jej wyrazić osobno na różne operacje, mimo że byłoby to stosowne (motyw 43).

Cookies niezbędne a cookies wymagające zgody – różnica

Nie każdy plik cookie wymaga pytania o zgodę. Cookies niezbędne (czasem nazywane funkcjonalnymi w wąskim sensie) to te, bez których strona po prostu nie działa – identyfikator sesji, zawartość koszyka w sklepie WooCommerce, token bezpieczeństwa formularza (tak zwany nonce), ustawienie języka czy waluty wybrane przez użytkownika. Te cookies WordPress i wtyczki e-commerce zapisują niezależnie od decyzji w banerze, bo bez nich strona traci swoją podstawową funkcję. Podstawą jest art. 399 ust. 3 Prawa komunikacji elektronicznej: wymóg informacji i zgody nie obowiązuje, gdy zapis albo odczyt informacji jest konieczny do wykonania transmisji komunikatu albo do dostarczenia usługi świadczonej drogą elektroniczną, której użytkownik sam zażądał. Ustawa nie zawiera listy „dozwolonych” cookies, więc to, czy konkretny plik mieści się w tym wyjątku, trzeba ocenić dla każdego przypadku, a w razie wątpliwości zweryfikować ze specjalistą.

Po drugiej stronie są cookies, które nie są potrzebne do działania strony, tylko do jej analizy, personalizacji albo reklamy – i te wymagają wcześniejszej, świadomej zgody (art. 399 ust. 1 Prawa komunikacji elektronicznej). Google Analytics zapisuje cookie identyfikujące odwiedzającego na potrzeby statystyk. Meta Pixel czy Google Ads zapisują cookie na potrzeby remarketingu. Osadzona mapa Google czy odtwarzacz YouTube potrafią ustawiać własne cookies, mimo że wyglądają jak zwykły element treści. Różnica między tymi dwiema grupami jest fundamentem całej konfiguracji cookies – dobra wtyczka do zarządzania zgodami pozwala rozdzielić je na kategorie i traktować każdą inaczej, zamiast wrzucać wszystko do jednego worka „cookies”. Warto to samo rozróżnienie mieć na uwadze przy okazji ogólnego przeglądu strony – kompletna checklista tego, co powinna zawierać strona firmowa, obejmuje też politykę cookies jako osobny element, nie tylko sam baner. To w niej zwykle realizuje się obowiązek poinformowania użytkownika o celu cookies i o możliwości zarządzania nimi w ustawieniach przeglądarki (art. 399 ust. 1 pkt 1 Prawa komunikacji elektronicznej).

Popularne wtyczki do zarządzania zgodami – o czym pamiętać

Na rynku wtyczek do WordPressa jest kilka rozwiązań, które radzą sobie z tematem cookies w rozsądny sposób – między innymi Complianz, CookieYes czy Borlabs Cookie (ta ostatnia płatna, ale często wybierana ze względu na dokładność działania). Różnią się interfejsem i ceną, ale mechanizm, którego szukamy, jest ten sam: wtyczka powinna faktycznie blokować skrypty do momentu udzielenia zgody, a nie tylko wyświetlać komunikat obok skryptów, które i tak już działają.

Większość takich wtyczek oferuje automatyczne skanowanie strony w poszukiwaniu cookies. To wygodna funkcja na start, ale nie warto na niej całkowicie polegać – skaner wykrywa cookies obecne w danym momencie, ale nie zawsze poprawnie kategoryzuje wszystko, zwłaszcza przy niestandardowych integracjach, wtyczkach trzecich albo skryptach dodanych ręcznie przez dewelopera. Po uruchomieniu skanu warto przejrzeć wynik ręcznie i sprawdzić, czy każda pozycja trafiła do właściwej kategorii, a nie zaufać skanowi w ciemno.

Drugi element, o którym łatwo zapomnieć, to tryb integracji z Menedżerem Tagów Google (Google Tag Manager), jeśli strona z niego korzysta. Jeśli tagi są zarządzane przez GTM, sama wtyczka cookies nie wystarczy – trzeba dodatkowo skonfigurować w GTM triggery, które uruchamiają poszczególne tagi dopiero po otrzymaniu odpowiedniej zgody. Pominięcie tego kroku to jeden z najczęstszych powodów, dla których strona ma „poprawnie” skonfigurowaną wtyczkę cookies, a mimo to skrypty i tak ładują się od razu – bo blokada działa tylko na poziomie samej wtyczki, a nie na poziomie tagów wywoływanych przez GTM.

Google Consent Mode i narzędzia analityczne

Google Consent Mode to mechanizm, który pozwala przekazywać do Google Analytics i Google Ads informację o tym, na jakie kategorie cookies odwiedzający się zgodził, zamiast działać w trybie zero-jedynkowym (albo pełne śledzenie, albo całkowity brak danych). Consent Mode ma dwa tryby. W podstawowym tagi Google nie ładują się bez zgody i to jest ustawienie zgodne z resztą tego artykułu. W zaawansowanym tagi ładują się jeszcze przed reakcją na baner, a przy odmowie wysyłają do Google sygnały bez cookies, na podstawie których Google próbuje modelować brakujące dane. Modelowanie w Google Analytics 4 uruchamia się dopiero po przekroczeniu progów ruchu, których mała strona firmowa zwykle nie osiąga. Ważne zastrzeżenie: żaden z trybów Consent Mode nie zastępuje zgody. To mechanizm przekazywania decyzji użytkownika do narzędzi Google, a samą zgodę trzeba zebrać banerem na zasadach opisanych wyżej. Google w dokumentacji zaznacza, że Consent Mode nie dostarcza banera, tylko z nim współpracuje, a jego polityka zgody użytkowników z UE wymaga od właściciela strony uzyskania ważnej prawnie zgody na cookies tam, gdzie prawo tego wymaga. Czy tryb zaawansowany, w którym skrypt Google uruchamia się przed zgodą, mieści się w art. 399 Prawa komunikacji elektronicznej, jest kwestią oceny prawnej dla konkretnej strony, dlatego bez takiej oceny bezpieczniejszym wyborem jest tryb podstawowy. Wszystkie trzy wymienione wyżej wtyczki mają gotową integrację z Consent Mode (sprawdzone w dokumentacji producentów, wrzesień 2026) – zwykle jako opcję do włączenia w ustawieniach, czasem wymagającą dodatkowej konfiguracji w Google Tag Manager. Warto to sprawdzić przy wyborze wtyczki, zwłaszcza jeśli strona opiera swoje raportowanie na Google Analytics albo prowadzi kampanie w Google Ads – bez poprawnie skonfigurowanego Consent Mode statystyki i wyniki kampanii mogą wyglądać na gorsze, niż są w rzeczywistości, po prostu dlatego, że część ruchu w ogóle nie jest rejestrowana.

Najczęstsze błędy w konfiguracji banerów cookies

Kilka błędów powtarza się na tyle często, że warto je wypisać wprost i sprawdzić, czy któryś nie dotyczy Twojej strony:

• Przycisk „odrzuć” mniej widoczny niż „akceptuj wszystko” – na przykład ukryty w drugim kroku, mniejszą czcionką albo w innym kolorze, który sugeruje, że to opcja mniej pożądana. Taki układ wywiera presję na wybór, którego użytkownik mógłby nie dokonać przy równorzędnej prezentacji obu opcji.
• Skrypty ładujące się przed jakąkolwiek reakcją na baner – najczęstszy i najpoważniejszy błąd, opisany w pierwszej sekcji tego artykułu. Baner działa jako informacja, a nie jako blokada.
• Domyślnie zaznaczone checkboxy przy kategoriach opcjonalnych – marketing czy statystyka zaznaczone z góry, tak że użytkownik musi je świadomie odznaczyć, zamiast świadomie zaznaczyć.
• Brak możliwości zmiany decyzji później – baner pojawia się raz, a potem nie ma nigdzie w stopce ani w menu linku typu „ustawienia cookies”, przez który można wrócić i zmienić wcześniejszy wybór. RODO wymaga, żeby wycofanie zgody było równie łatwe jak jej wyrażenie (art. 7 ust. 3).
• Brak albo nieaktualna polityka cookies – strona z osobnym linkiem do polityki cookies, która opisuje inne wtyczki i inne narzędzia niż te faktycznie działające na stronie, bo dokument nie był aktualizowany od dawna.
• Baner trudny do obsłużenia z klawiatury albo czytnika ekranu – element, o którym często się zapomina, a który dotyczy dostępności strony jako całości. Podobne wymogi dostępności obejmują coraz szerszy zakres stron internetowych, więc warto sprawdzić, kogo dotyczą wymogi dostępności stron internetowych i czy baner cookies spełnia te same standardy co reszta strony.

Ryzyka związane z niezgodną konfiguracją

Konsekwencje źle skonfigurowanych cookies dzielą się na dwie grupy – formalne i wizerunkowe – i obie warto brać pod uwagę, nawet jeśli trudno je precyzyjnie wyliczyć z góry. Po stronie formalnej w grę wchodzą dwa organy. Prezes Urzędu Komunikacji Elektronicznej może nałożyć karę pieniężną za przechowywanie informacji w urządzeniu użytkownika albo dostęp do niej niezgodnie z art. 399 Prawa komunikacji elektronicznej (art. 444 ust. 1 pkt 82 i art. 446 tej ustawy). Prezes Urzędu Ochrony Danych Osobowych ma z kolei uprawnienia z RODO, w tym administracyjną karę pieniężną za naruszenie warunków zgody (art. 58 ust. 2 lit. i oraz art. 83 ust. 5 lit. a RODO), jeżeli cookies służą do przetwarzania danych osobowych, a identyfikatory plików cookie RODO wymienia wśród identyfikatorów, które mogą posłużyć do profilowania i identyfikacji osób (motyw 30). Ustawy określają górne granice kar, ale ich wysokość w konkretnej sprawie zależy od charakteru i zakresu naruszenia oraz sytuacji podmiotu, więc nie da się jej tutaj sensownie oszacować kwotowo. Jeśli prowadzisz działalność, w której przetwarzanie danych ma większą skalę, sensownie jest skonsultować konfigurację cookies z prawnikiem lub specjalistą RODO, zamiast opierać się wyłącznie na ustawieniach domyślnych wtyczki.

Po stronie wizerunkowej ryzyko jest mniej spektakularne, ale bardziej powszechne. Coraz więcej użytkowników, szczególnie w środowiskach technicznych i biznesowych, sprawdza, jak strona zachowuje się w praktyce – czy skrypty ładują się przed zgodą, czy przycisk odrzucenia w ogóle istnieje, czy polityka cookies odpowiada rzeczywistości. Znalezienie takiej niezgodności na stronie firmy, która sama doradza klientom albo dba o wizerunek profesjonalizmu, podważa zaufanie w sposób nieproporcjonalny do wagi samego błędu technicznego. To samo dotyczy zresztą całego bezpieczeństwa strony jako takiego – odwiedzający zwraca uwagę na podobne sygnały co przy weryfikacji, czy strona ma certyfikat SSL, traktując oba te elementy jako podstawowy dowód, że firma dba o dane odwiedzających.

Jak sprawdzić, czy Twoja strona jest poprawnie skonfigurowana

Nie trzeba być programistą, żeby przeprowadzić podstawowy test – wystarczy kilka minut i przeglądarka w trybie incognito, żeby uniknąć wpływu wcześniej zapisanych cookies i ustawień.

• Otwórz stronę w oknie incognito i nie klikaj banera. Wejdź w narzędzia deweloperskie przeglądarki (klawisz F12 lub prawy przycisk myszy – „zbadaj element”), zakładka „Sieć” albo „Aplikacja” – cookies. Jeśli widzisz tam już cookies od Google Analytics, Meta czy innych narzędzi marketingowych, zanim kliknąłeś cokolwiek, to znak, że blokada nie działa.
• Sprawdź, czy przycisk odrzucenia jest równie widoczny jak przycisk akceptacji. Oba powinny być na tym samym poziomie, bez ukrywania jednego z nich w dodatkowym kroku.
• Zmień decyzję i sprawdź, czy da się ją cofnąć. Poszukaj w stopce strony linku „ustawienia cookies” albo podobnego – jeśli go nie ma, użytkownik, który raz zaakceptował wszystko, nie ma jak tego później zmienić.
• Otwórz politykę cookies i porównaj ją z tym, co faktycznie widać w narzędziach deweloperskich. Jeśli dokument wymienia inne narzędzia niż te realnie działające na stronie, wymaga aktualizacji.
• Sprawdź działanie banera na telefonie. Baner, który na komputerze wygląda poprawnie, czasem na małym ekranie zasłania część treści albo ma przyciski trudne do trafienia palcem.

Ten sam test warto powtórzyć po każdej większej zmianie na stronie – dodaniu nowej wtyczki, zmianie motywu, integracji nowego narzędzia marketingowego. Konfiguracja cookies, która działała poprawnie miesiąc temu, potrafi przestać działać po pozornie niezwiązanej aktualizacji, jeśli nowa wtyczka wgrywa własny skrypt śledzący z pominięciem istniejącego mechanizmu zgód.

Poprawna konfiguracja cookies w WordPressie nie jest jednorazowym zadaniem do odhaczenia, tylko elementem strony, który trzeba od czasu do czasu sprawdzać na nowo – podobnie jak resztę technicznej strony witryny. Baner, który wygląda dobrze, ale nie blokuje niczego pod spodem, daje fałszywe poczucie bezpieczeństwa gorsze niż brak banera w ogóle, bo maskuje problem zamiast go rozwiązywać. Kilka minut testu w trybie incognito, powtarzane regularnie, pozwala mieć pewność, że to, co widać na stronie, faktycznie odpowiada temu, co dzieje się w tle.

Nie masz pewności, czy cookies na Twojej stronie są skonfigurowane poprawnie?
Sprawdzenie zgód na cookies możemy zrobić razem z przeglądem technicznym strony, obok aktualizacji, backupu i reszty spraw, o które trzeba dbać regularnie. Sprawdź, co dokładnie obejmuje nasza opieka nad stroną WordPress, albo umów się od razu na bezpłatną konsultację wstępną i porozmawiajmy o Twojej sytuacji.