RODO i cookies na stronie małej firmy: co musisz mieć w 2026 roku

Na stronie zakładu fryzjerskiego wyskakuje baner „Ta strona używa ciasteczek, klikając dalej, zgadzasz się”, a w tle już działa Google Analytics i piksel Meta. Właściciel jest przekonany, że temat ma załatwiony, bo baner jest. W praktyce to jedna z najczęstszych konfiguracji, które nie spełniają przepisów. Poniżej opisujemy, czego wymagają przepisy od zwykłej strony firmowej, bez sklepu i bez kont użytkowników, i jak to sprawdzić samemu. To nie jest porada prawna dla Twojej konkretnej sytuacji, tylko mapa, która pomoże zadać właściwe pytania.

Dwa różne przepisy, które ludzie mylą

Temat cookies i temat danych osobowych często wrzuca się do jednego worka z napisem „RODO”, a to dwa osobne porządki.

Pierwszy to zasady dotyczące zapisywania informacji w urządzeniu użytkownika i odczytywania ich, czyli właśnie cookies i podobne technologie. Przez lata regulował to art. 173 Prawa telekomunikacyjnego. Od 10 listopada 2024 roku obowiązuje nowa ustawa, Prawo komunikacji elektronicznej, i odpowiedni przepis to teraz jej art. 399. Wiele wzorów polityk prywatności w internecie wciąż powołuje się na stary artykuł, co jest pierwszym sygnałem, że dokument jest nieaktualny. Prawo komunikacji elektronicznej odsyła też do RODO, jeśli chodzi o to, jak ma wyglądać zgoda: ma być dobrowolna, konkretna, świadoma i jednoznaczna.

Drugi porządek to samo RODO, czyli zasady przetwarzania danych osobowych. Dotyczy wszystkiego, co strona zbiera od ludzi: formularza kontaktowego, zapisu na wizytę, newslettera, a także danych, które trafiają do narzędzi analitycznych i reklamowych.

Baner cookies, który działa zgodnie z przepisami

Zasada ogólna jest taka, że cookies niezbędne do działania strony (na przykład zapamiętanie wyboru w banerze czy działanie formularza) nie wymagają zgody. Cookies analityczne i reklamowe wymagają jej przed uruchomieniem. W praktyce dobry baner:

• pojawia się, zanim jakiekolwiek skrypty analityczne lub reklamowe się załadują,
• daje możliwość odrzucenia równie łatwą jak akceptacja (przycisk „Odrzuć” obok „Akceptuj”, a nie schowany trzy kliknięcia dalej),
• pozwala wybrać kategorie, na przykład zgodzić się na statystyki, a odmówić reklam,
• nie traktuje przewijania strony ani zamknięcia okna jako zgody,
• pozwala w każdej chwili zmienić decyzję, zwykle przez link w stopce.

Najprostszy test: otwórz stronę w oknie prywatnym przeglądarki, nie klikaj nic w banerze i sprawdź, czy w narzędziach deweloperskich (zakładka Sieć) nie lecą już zapytania do Google Analytics albo Meta. Jeśli lecą, baner jest tylko ozdobą.

Google Analytics, reklamy i tryb zgody

Jeśli korzystasz z Google Analytics albo Google Ads, dochodzi wymóg samego Google. Od marca 2024 roku Google oczekuje, że strony odwiedzane przez użytkowników z Europejskiego Obszaru Gospodarczego przekazują mu informację o zgodach za pomocą trybu zgody w wersji drugiej (Consent Mode v2). Bez tego część funkcji reklamowych, takich jak listy remarketingowe, przestaje działać dla ruchu z Unii. To nie jest przepis prawa, tylko warunek korzystania z narzędzi Google, ale w praktyce sprowadza się do tego samego: baner musi być technicznie połączony z narzędziami, a nie tylko wyświetlać tekst.

Jeśli masz małą stronę i nie prowadzisz reklam, warto zadać sobie pytanie, czy w ogóle potrzebujesz Google Analytics. Dla wielu firm lokalnych statystyki z wizytówki Google i Search Console mówią wystarczająco dużo. Mniej narzędzi na stronie to mniej zgód do zbierania i krótsza polityka prywatności.

Przeczytaj też: Astro czy WordPress: co wybrać na stronę małej firmy w 2026

Polityka prywatności, która opisuje Twoją stronę

Polityka prywatności to dokument, w którym informujesz, kto jest administratorem danych, jakie dane zbierasz, w jakim celu, na jakiej podstawie, jak długo je przechowujesz, komu je przekazujesz i jakie prawa przysługują osobie. Wymóg ten nie zależy od wielkości firmy. Jednoosobowa działalność z formularzem kontaktowym ma te same obowiązki informacyjne co duża spółka.

Najczęstsze błędy, które widzimy przy przeglądach stron:

• dokument skopiowany z innej strony, w którym zostały nazwy narzędzi, których nie używasz (albo brakuje tych, których używasz),
• powołanie na art. 173 Prawa telekomunikacyjnego, który od listopada 2024 roku nie obowiązuje,
• brak informacji o odbiorcach danych, czyli o firmie hostingowej, dostawcy poczty, systemie rezerwacji,
• dane firmy niezgodne z tymi w rejestrze (stary adres, brak NIP),
• link do polityki dostępny tylko z jednej podstrony.

Polityka ma opisywać to, co faktycznie dzieje się na Twojej stronie. Dlatego zanim ją napiszesz albo zlecisz, zrób listę: jakie formularze masz, jakie narzędzia są wpięte (analityka, mapy, czat, osadzone filmy z YouTube, system rezerwacji, piksel reklamowy) i gdzie trafiają wiadomości. O tym, jakie dane firmy powinny być widoczne na stronie, piszemy w tekście o NIP, adresie i regulaminie na stronie.

Osobną kategorią są elementy osadzone z innych serwisów: film z YouTube na stronie głównej, mapa Google w zakładce Kontakt, widżet z opiniami, przycisk systemu rezerwacji. One też potrafią zapisywać cookies albo przekazywać dane o odwiedzających do swoich właścicieli, zanim ktoś cokolwiek kliknie. Najprostsze rozwiązania to zastąpienie mapy obrazkiem z linkiem do wizytówki, a filmu miniaturką, która ładuje odtwarzacz dopiero po kliknięciu. YouTube ma też tryb rozszerzonej ochrony prywatności, który ogranicza zapisywanie danych do momentu odtworzenia filmu.

Formularz kontaktowy i zapisy na wizytę

Formularz to miejsce, w którym zbierasz dane bezpośrednio od osoby, więc zgodnie z art. 13 RODO informację o przetwarzaniu trzeba podać w momencie zbierania danych. W praktyce przy formularzu wystarcza krótka informacja (kto jest administratorem, w jakim celu przetwarza dane, link do pełnej polityki prywatności).

Częsty błąd to obowiązkowy checkbox „Wyrażam zgodę na przetwarzanie danych” przy formularzu kontaktowym. Jeśli ktoś pyta o termin wizyty, podstawą do odpowiedzi jest zwykle jego prośba i Twój uzasadniony interes w odpowiedzi, a nie zgoda. Zgody wymuszonej jako warunek wysłania wiadomości trudno nazwać dobrowolną. Osobna, nieobowiązkowa zgoda ma sens tam, gdzie chcesz zrobić coś więcej, na przykład wysyłać informacje marketingowe. O tym, kiedy wolno wysłać mail do stałych klientów, piszemy w tekście o mailingu przed świętami a RODO.

Gabinety medyczne, psychologiczne i fizjoterapeutyczne powinny zachować szczególną ostrożność. Jeśli formularz zachęca do opisania dolegliwości, zbierasz dane o zdrowiu, które RODO traktuje jako szczególną kategorię. Często lepiej ograniczyć formularz do imienia, telefonu i preferowanego terminu, a szczegóły zostawić na rozmowę.

Przeczytaj też: Ile kosztuje sklep internetowy w 2026: koszty, o których mało kto mówi

Przegląd strony w kwadrans

Jeśli chcesz sprawdzić swoją stronę samodzielnie, przejdź tę listę:

1. Otwórz stronę w oknie prywatnym. Czy baner ma przycisk odrzucenia na pierwszym ekranie?
2. Odrzuć zgody i sprawdź w zakładce Sieć, czy nie ładują się skrypty analityczne i reklamowe.
3. Znajdź link do polityki prywatności w stopce. Czy jest na każdej podstronie?
4. Przeczytaj politykę. Czy wymienia narzędzia, których naprawdę używasz, i czy powołuje się na aktualne przepisy?
5. Sprawdź formularz. Czy jest przy nim informacja o administratorze i link do polityki? Czy nie wymusza zgody tam, gdzie nie jest potrzebna?
6. Sprawdź, czy na stronie nie ma osadzonych elementów, o których zapomniałeś, na przykład starego czatu albo mapy ładującej się bez zgody.

Przy bardziej złożonych przypadkach, takich jak dane o zdrowiu, systemy rezerwacji czy przekazywanie danych poza Unię, warto skonsultować się z prawnikiem zajmującym się ochroną danych. W Codext przy budowie i obsłudze stron dbamy o to, żeby baner i skrypty były poprawnie połączone, a lista narzędzi na stronie była krótka i znana właścicielowi.