# RODO i cookies na stronie firmy: co musi być

Adres: https://sebastianmusial.pl/blog/rodo-cookies-na-stronie/ · Opublikowano: 2026-11-10

Polityka prywatności, informacja przy formularzu i baner cookies to nie formalność do skopiowania z innej strony. Wyjaśniam po ludzku, co mówią przepisy, kiedy potrzebna jest zgoda, a kiedy nie, i na co zwrócić uwagę przy narzędziach innych firm.

**W skrócie**

- Strona firmy, która zbiera dane osobowe, np. przez formularz, e-mail albo analitykę, potrzebuje polityki prywatności: kto przetwarza dane, jakie, po co, jak długo i jakie prawa ma odwiedzający.
- Zgoda na cookies jest potrzebna dla wszystkiego, co nie jest niezbędne do działania strony, np. analityki z cookies czy pikseli reklamowych; koszyk, logowanie i zapamiętanie wyboru z banera działają bez niej.
- Odrzucenie cookies ma być tak samo łatwe jak akceptacja, pola zgody nie mogą być zaznaczone z góry, a zgodę trzeba móc wycofać w każdej chwili, równie łatwo, jak się ją wyraziło.

**Definicja.** Polityka prywatności to strona, na której firma wyjaśnia, jakie dane osobowe zbiera, po co, na jakiej podstawie, komu je przekazuje, jak długo przechowuje i jakie prawa ma odwiedzający. Baner cookies to okno, w którym odwiedzający zgadza się albo nie na zapisywanie w przeglądarce informacji niepotrzebnych do działania strony, np. do statystyk czy reklam.

## Jakie przepisy dotyczą strony firmowej?

Dwa zestawy przepisów. [RODO](https://eur-lex.europa.eu/eli/reg/2016/679/oj), czyli unijne rozporządzenie o ochronie danych osobowych, mówi, jak zbierać i wykorzystywać dane ludzi, np. z formularza czy maila. Zasady dotyczące cookies, czyli małych plików, które strona zapisuje w przeglądarce, są w art. 399 [Prawa komunikacji elektronicznej](https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20240001221), obowiązującego od 10 listopada 2024 roku. Wcześniej był to art. 173 Prawa telekomunikacyjnego.

Nad przestrzeganiem RODO w Polsce czuwa Prezes Urzędu Ochrony Danych Osobowych (UODO). Ten artykuł porządkuje podstawy i nie jest poradą prawną; przy sklepie, danych o zdrowiu czy rozbudowanym marketingu warto zapytać prawnika.

## Co musi zawierać polityka prywatności?

Odpowiedzi na pytania, które odwiedzający mógłby zadać o swoje dane. Najważniejsze informacje wymagane przez art. 13 RODO to:

- **Kto:** nazwa firmy i kontakt w sprawach danych.
- **Co i po co:** jakie dane zbiera strona (formularz, e-mail, analityka, techniczny zapis wizyt na serwerze) i w jakim celu, z podstawą prawną dla każdego celu.
- **Komu:** kto jeszcze ma do nich dostęp, np. hosting (firma, na której serwerze działa strona), dostawca poczty, narzędzie do statystyk.
- **Dokąd:** czy dane trafiają poza Europejski Obszar Gospodarczy (Unię Europejską, Norwegię, Islandię i Liechtenstein) i na jakiej podstawie.
- **Jak długo:** okres przechowywania albo sposób jego ustalenia.
- **Prawa:** m.in. dostęp do danych, ich poprawienie i usunięcie, sprzeciw, wycofanie zgody oraz skarga do Prezesa UODO.

Do tego część o cookies: jakie są, po co i jak zmienić decyzję. Polityka ma opisywać Twoją stronę i narzędzia, których naprawdę używasz, więc szablon z internetu to najwyżej punkt wyjścia. Krótki przykład to [polityka prywatności mojej strony](https://sebastianmusial.pl/polityka-prywatnosci/).

## Czy formularz kontaktowy wymaga zgody na przetwarzanie danych?

Zwykle nie. Zgoda to tylko jedna z sześciu podstaw prawnych z art. 6 RODO. Gdy ktoś wysyła zapytanie, odpowiadasz na jego prośbę, a na to RODO pozwala bez osobnej zgody: to działania „na żądanie osoby, której dane dotyczą, przed zawarciem umowy” (art. 6 ust. 1 lit. b) albo prawnie uzasadniony interes firmy (lit. f).

Potrzebna jest za to informacja: przy formularzu krótka notka, kto przetwarza dane i po co, z linkiem do polityki prywatności. Pole zgody dodaj wtedy, gdy chcesz użyć danych do czegoś więcej, np. wysyłać newsletter: na przesyłanie informacji handlowych potrzebna jest wcześniejsza zgoda (art. 398 Prawa komunikacji elektronicznej). Takie pole nie może być zaznaczone z góry.

## Kiedy strona potrzebuje banera cookies?

Gdy zapisuje w przeglądarce albo odczytuje z niej coś, co nie jest niezbędne do działania strony. Art. 399 wymaga wtedy wcześniejszej informacji i zgody. Bez zgody wolno tylko to, co jest konieczne do usługi, o którą prosi odwiedzający (art. 399 ust. 3), np. koszyk w sklepie, logowanie albo zapamiętanie decyzji z banera.

Zgody zwykle wymagają: analityka zapisująca cookies (np. Google Analytics), piksele reklamowe, czyli niewidoczne kody, które informują serwis reklamowy o wizycie (np. Meta, Google Ads), mapy kliknięć oraz osadzone filmy i mapy, jeśli zapisują własne cookies. Przepis nie dotyczy wyłącznie plików cookies: według wytycznych [Europejskiej Rady Ochrony Danych](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) (EROD) obejmuje też np. piksele śledzące.

Jeśli strona nie używa niczego takiego, baner nie jest potrzebny. Niezbędne cookies i tak warto opisać w polityce prywatności.

*Ilustracja: Bez zgody działa tylko to, bez czego strona nie spełni prośby odwiedzającego. Reszta czeka na „Akceptuj”, a „Odrzuć” wygląda tak samo i jest na tym samym ekranie.*

## Jak powinien wyglądać baner cookies?

Tak, żeby odmowa była równie łatwa jak zgoda. Zasady wynikają z RODO i stanowisk [grupy roboczej EROD ds. banerów cookies](https://www.edpb.europa.eu/our-work-tools/our-documents/other/report-work-undertaken-cookie-banner-taskforce_en) oraz [UODO](https://uodo.gov.pl/pl/file/5869):

- **„Odrzuć” obok „Akceptuj”.** Na tym samym ekranie banera i wyraźnie widoczne, a nie jako mały link w tekście.
- **Nic zaznaczonego z góry.** Zgoda wymaga kliknięcia. Ani pola zaznaczone domyślnie, ani milczenie (motyw 32 RODO), ani przewijanie strony nie są zgodą.
- **Bez blokowania strony.** Tak zwana ściana cookies (ang. *cookie wall*), która zasłania treść do czasu akceptacji, według [wytycznych EROD o zgodzie](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en) nie daje ważnej zgody.
- **Jasne cele.** Krótko: po co są cookies (statystyki, reklamy) i link do szczegółów.
- **Najpierw zgoda, potem skrypty.** Skrypty, czyli kod analityki i reklam, uruchamiają się dopiero po kliknięciu „Akceptuj”.
- **Bez „uzasadnionego interesu”.** Według EROD prawnie uzasadniony interes firmy nie może być podstawą zapisywania cookies, więc nie zastępuje zgody.

Jak odmowa części osób wpływa na liczby w statystykach, opisuję w artykule [Analityka strony: co mierzyć?](https://sebastianmusial.pl/blog/analityka-strony/).

## Jak odwiedzający może wycofać zgodę?

Tak samo łatwo, jak ją wyraził: tak mówi art. 7 ust. 3 RODO. W praktyce to link „Ustawienia cookies” w stopce albo mała ikonka widoczna na każdej podstronie, które ponownie otwierają baner. Na mojej stronie to przycisk „Ustawienia cookies” w stopce. EROD nie narzuca jednego rozwiązania, ale ma ono być łatwo dostępne.

Po wycofaniu zgody kod analityki i reklam nie powinien się już uruchamiać. To, co działo się wcześniej na podstawie zgody, pozostaje zgodne z prawem.

## Co z czcionkami, mapami i filmami z innych serwerów?

Każdy taki element to połączenie przeglądarki odwiedzającego z serwerem innej firmy, który dostaje co najmniej jego adres IP (numer, pod którym urządzenie łączy się z internetem), często zanim odwiedzający cokolwiek kliknie. Dotyczy to np. czcionek z Google Fonts, map Google, filmów z YouTube i okienek czatu.

- **Czcionki:** pobrane i umieszczone na serwerze Twojej strony nie wymagają połączenia z serwerem innej firmy, a strona zwykle ładuje się szybciej. Więcej o tym w artykule [Szybkość strony po ludzku](https://sebastianmusial.pl/blog/szybkosc-strony-pagespeed/).
- **Mapy i filmy:** zamiast ładować je od razu, pokaż obrazek z przyciskiem. Prawdziwa mapa czy film wczytuje się po kliknięciu, a jeśli zapisuje cookies, po zgodzie.
- **Czat:** okienko też może się ładować dopiero po kliknięciu ikony. O czacie z AI piszę w artykule [Chatbot AI na stronie firmy](https://sebastianmusial.pl/blog/chatbot-ai-na-stronie/).

Narzędzia, które zostają na stronie, opisz w polityce prywatności.

## Co z firmami, które przetwarzają dane w Twoim imieniu?

Potrzebujesz z nimi umowy powierzenia przetwarzania danych (art. 28 RODO). Takie firmy, nazywane podmiotami przetwarzającymi, to zwykle hosting, poczta, narzędzie do formularzy lub newslettera i CRM, czyli system do obsługi klientów. Dostawcy często mają gotową umowę w regulaminie albo do zaakceptowania w panelu (po angielsku DPA, *data processing agreement*); sprawdź, czy ją masz.

Gdy dane trafiają poza Europejski Obszar Gospodarczy, np. do USA, polityka prywatności powinna to wskazać i podać podstawę. Przy firmach z USA, które przystąpiły do programu EU–US Data Privacy Framework, jest nią [decyzja Komisji Europejskiej z 2023 roku](https://eur-lex.europa.eu/eli/dec_impl/2023/1795/oj); przy pozostałych zwykle standardowe klauzule umowne zatwierdzone przez Komisję.

## O co zapytać wykonawcę

- Jakie cookies i skrypty innych firm będą na stronie i po co?
- Czy analityka i piksele reklamowe uruchomią się dopiero po zgodzie?
- Czy „Odrzuć” będzie tak samo widoczne jak „Akceptuj”?
- Skąd będą się ładować czcionki, mapy i filmy?
- Kto przygotuje politykę prywatności i kto ją poprawi, gdy dojdzie nowe narzędzie?

## Najczęstsze pytania

**Czy mogę skopiować politykę prywatności z innej strony?**
Nie warto. Polityka ma opisywać Twoją firmę i narzędzia, których naprawdę używasz. Cudza zwykle wymienia usługi, których nie masz, a pomija te, które masz, więc nie mówi odwiedzającym prawdy o ich danych.

**Czy strona bez analityki i reklam potrzebuje banera cookies?**
Nie, jeśli zapisuje w przeglądarce tylko to, co niezbędne do jej działania, np. zawartość koszyka albo informację o zalogowaniu. Takie cookies warto opisać w polityce prywatności. Baner jest potrzebny, gdy dodasz np. analitykę z cookies, piksel reklamowy albo film, który zapisuje cookies.

**Kto odpowiada za politykę prywatności: firma czy wykonawca strony?**
Firma, bo to ona jest administratorem danych, czyli decyduje, po co i jak je przetwarza. Wykonawca strony może przygotować listę narzędzi, formularzy i plików cookies, których strona używa, i wdrożyć baner, ale treść polityki to dokument firmy. Przy nietypowych danych, np. o zdrowiu, warto ją skonsultować z prawnikiem.

---

Zaktualizowano: 2026-11-10. Sebastian Musiał, kontakt@sebastianmusial.pl, rozmowa 30 min: https://calendly.com/sebastianmusial/30min. Wycena po rozmowie, bez cennika na stronie.
Spis wszystkich stron: https://sebastianmusial.pl/llms.txt · Cała treść w jednym pliku: https://sebastianmusial.pl/llms-full.txt