Polityka cookies nowego sklepu powinna być zgodna z obowiązującymi wymaganiami prawnymi i poprawnie wdrożona technicznie.

Na czym polega ta usługa

Usługa obejmuje przygotowanie polityki cookies nowego sklepu oraz skonfigurowanie odpowiedniego banera zgód na stronie.

Dla kogo ma sens

Usługa jest przydatna dla firm uruchamiających nowy sklep, którym zależy na zgodności technicznej wdrożenia z wymaganiami prawnymi.

Ile to trwa

Przygotowanie polityki cookies mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne, a usługa objęta jest gwarancją do 12 miesięcy.

Różnica między dokumentem polityki a technicznym mechanizmem zarządzania zgodami

Przygotowanie sklepu internetowego pod kątem ochrony prywatności wymaga rozróżnienia dwóch powiązanych elementów. Pierwszym elementem jest dokument tekstowy, czyli polityka cookies (zbiór informacji wyjaśniający użytkownikom zasady zapisywania i odczytywania danych w ich urządzeniach końcowych). Drugim elementem jest techniczny mechanizm zarządzania zgodami, określany jako platforma CMP (Consent Management Platform, czyli platforma programistyczna służąca do zbierania, rejestrowania i egzekwowania wyborów użytkownika). Samo opublikowanie regulaminu lub podstrony informacyjnej nie spełnia wymogów technicznych, jeśli strona w tle automatycznie uruchamia skrypty śledzące (fragmenty kodu JavaScript służące do rejestrowania aktywności odwiedzających).

Zgodnie z przepisami prawa telekomunikacyjnego oraz unijnej dyrektywy ePrivacy (dyrektywa o prywatności i łączności elektronicznej) witryna nie może zapisać żadnego pliku o charakterze marketingowym lub analitycznym przed momentem, w którym użytkownik wyrazi na to świadomą zgodę. Zasada ta nosi nazwę reguły wcześniejszej zgody (ang. prior consent, czyli wymóg blokowania zasobów do chwili uzyskania akceptacji). Oznacza to, że baner wyświetlany na stronie musi być bezpośrednio połączony z mechanizmem blokowania zasobów. Dopiero po kliknięciu odpowiedniego przycisku przeglądarka internetowa powinna otrzymać instrukcję załadowania zewnętrznych bibliotek reklamowych lub analitycznych.

Kategorie plików cookies i ich rola w sklepie internetowym

Pliki cookies (niewielkie pliki tekstowe wysyłane przez serwer i zapisywane w pamięci przeglądarki użytkownika) pełnią zróżnicowane funkcje techniczne oraz biznesowe. W procesie konfiguracji sklepu konieczne jest ich precyzyjne sklasyfikowanie, aby mechanizm zgód działał selektywnie i nie blokował kluczowych funkcji platformy e-commerce (systemu do prowadzenia handlu elektronicznego).

Pierwszą grupę stanowią pliki niezbędne (techniczne pliki cookie, bez których sklep nie może poprawnie funkcjonować). Odpowiadają one za utrzymanie sesji użytkownika (stanu połączenia między przeglądarką a serwerem), zapamiętanie zawartości koszyka zakupowego, obsługę procesu logowania czy bezpieczeństwo formularzy przed atakami typu CSRF (Cross-Site Request Forgery, czyli wymuszeniem wykonania nieautoryzowanej akcji w imieniu użytkownika). Ta kategoria nie wymaga uzyskania uprzedniej zgody odwiedzającego, jednak musi zostać dokładnie opisana w polityce prywatności.

Druga grupa to pliki analityczne i statystyczne (ciasteczka zbierające zanonimizowane dane o sposobie poruszania się po stronie, czasie spędzonym w sklepie oraz źródłach odwiedzin). Służą one do optymalizacji struktury serwisu za pomocą takich narzędzi jak Google Analytics 4 czy Matomo (narzędzie do analizy statystyk internetowych instalowane na własnym serwerze). Zapisywanie tych plików wymaga uprzedniej zgody użytkownika.

Trzecią kategorię tworzą pliki marketingowe, reklamowe i profilujące (pliki służące do śledzenia użytkownika pomiędzy różnymi witrynami w celu wyświetlania spersonalizowanych reklam). W tej grupie znajdują się identyfikatory generowane przez Meta Pixel (kod śledzący platformy Facebook i Instagram), tagi remarketingowe Google Ads (narzędzie do wyświetlania reklam osobom, które wcześniej odwiedziły sklep) oraz skrypty sieci afiliacyjnych (programów partnerskich rozliczających prowizje od sprzedaży). Uruchomienie tych skryptów bez aktywnej zgody stanowi bezpośrednie naruszenie zasad ochrony danych.

Czwartą grupą są pliki funkcjonalne i preferencyjne (ciasteczka zapamiętujące wybory dokonane przez użytkownika, takie jak preferowany język interfejsu, wybrana waluta czy położenie geograficzne). Pozwalają one na dostosowanie wyglądu i działania sklepu do indywidualnych preferencji, a ich działanie powinno być powiązane z wyborem dokonanym w panelu zgód.

Standard Google Consent Mode v2 i integracja z systemami analitycznymi

Współczesne sklepy internetowe korzystające z ekosystemu reklamowego Google muszą obsługiwać standard Google Consent Mode v2 (protokół komunikacji przekazujący stan zgód użytkownika bezpośrednio do skryptów Google). Standard ten wprowadza cztery podstawowe parametry zgody, które system zarządzania ciasteczkami musi dynamicznie modyfikować w zależności od decyzji odwiedzającego.

Parametr ad_storage odpowiada za zgodę na zapisywanie ciasteczek reklamowych, natomiast analytics_storage kontroluje pliki statystyczne. W wersji drugiej wprowadzono dwa dodatkowe stany: ad_user_data (zgoda na przesyłanie danych użytkownika do celów reklamowych) oraz ad_personalization (zgoda na wykorzystanie zebranych informacji do personalizacji przekazu marketingowego i remarketingu). Brak poprawnego wdrożenia tych sygnałów w kodzie sklepu prowadzi do ograniczenia możliwości mierzenia konwersji (działań pożądanych, takich jak finalizacja zakupu) oraz blokady zaawansowanych funkcji kampanii reklamowych.

Wdrożenie realizowane jest zazwyczaj przy użyciu narzędzia Google Tag Manager (systemu zarządzania tagami, który umożliwia centralne wdrażanie i kontrolowanie zewnętrznych skryptów bez modyfikacji plików szablonu sklepu). Konfiguracja polega na ustawieniu domyślnych stanów odmowy dla wszystkich parametrów przed załadowaniem jakichkolwiek innych skryptów, a następnie wysłaniu instrukcji aktualizacji zgody (tzw. consent update) po dokonaniu wyboru przez użytkownika.

Najczęstsze błędy przy samodzielnym wdrażaniu banerów i polityki cookies

Wielu właścicieli sklepów internetowych decyduje się na samodzielne uruchomienie losowej wtyczki lub skopiowanie treści polityki prywatności z innej witryny. Tego typu podejście prowadzi zazwyczaj do poważnych błędów technicznych i formalnych.

Najczęściej spotykanym problemem jest wdrożenie pozornego banera zgód (nakładki graficznej wyświetlającej przycisk akceptacji, która nie posiada żadnego połączenia z blokowaniem skryptów). W takim przypadku wszystkie pliki cookies i kody śledzące ładują się natychmiast po wejściu na stronę, niezależnie od tego, czy użytkownik kliknie przycisk, czy zamknie okno. Baner pełni wtedy wyłącznie funkcję wizualną i nie realizuje wymogów prawnych.

Drugim częstym błędem jest stosowanie domyślnie zaznaczonych pól wyboru (ang. pre-ticked checkboxes) w oknie zaawansowanych ustawień prywatności. Zgodnie z wytycznymi organów nadzorczych zgoda musi być działaniem jednoznacznym i aktywnym. Zaznaczenie opcji marketingowych przez administratora strony przed otwarciem panelu przez użytkownika czyni taką zgodę nieważną.

Kolejnym uchybieniem jest brak trwałego mechanizmu umożliwiającego zmianę lub wycofanie zgody w dowolnym momencie. Użytkownik, który zaakceptował pliki cookies podczas pierwszej wizyty, musi mieć łatwy dostęp do ponownego otwarcia panelu preferencji (na przykład poprzez stałą ikonę w rogu ekranu lub bezpośredni odnośnik w stopce strony). Usunięcie banera po kliknięciu bez pozostawienia opcji modyfikacji narusza wymóg swobodnego wycofania zgody.

Częstym problemem jest także rozbieżność między treścią polityki a faktycznym stanem technicznym sklepu. Wklejenie uniwersalnego szablonu zawierającego listę nieużywanych ciasteczek lub pomijającego nowo dodane integracje (takie jak widgety czatów na żywo, odtwarzacze wideo z serwisów zewnętrznych czy wtyczki ratalne) wprowadza użytkowników w błąd i stanowi wadę dokumentacji.

Audyt techniczny i weryfikacja ładowania zasobów

Prawidłowe przygotowanie dokumentacji oraz wdrożenie platformy zarządzania zgodami wymaga przeprowadzenia audytu technicznego środowiska sklepu. Audyt polega na szczegółowej analizie wszystkich żądań sieciowych oraz danych zapisywanych w pamięci podręcznej przeglądarki.

Podstawowym etapem weryfikacji jest kontrola poprzez narzędzia deweloperskie przeglądarki (wbudowany moduł DevTools służący do inspekcji kodu i działania aplikacji internetowej). W zakładce pamięci (Application lub Storage) sprawdzana jest zawartość plików cookies, magazynu lokalnego (localStorage, czyli pamięci trwałej przeglądarki przechowującej dane bez daty wygaśnięcia) oraz magazynu sesyjnego (sessionStorage, czyli pamięci czyszczonej po zamknięciu karty). Testy przeprowadza się w oknie prywatnym, weryfikując, czy przed kliknięciem jakiegokolwiek przycisku w banerze generowane są wyłącznie pliki niezbędne do działania aplikacji.

Równolegle analizowany jest panel sieciowy (zakładka Network), w którym rejestrowane są wszystkie zapytania HTTP i HTTPS wysyłane do serwerów zewnętrznych. Sprawdzeniu podlega moment uruchamiania bibliotek takich jak Facebook SDK, Google Analytics, Hotjar (narzędzie do rejestrowania map cieplnych i nagrań sesji) czy skryptów bramek płatności. Jeśli jakiekolwiek zapytanie z domen zewnętrznych jest wysyłane przed udzieleniem zgody, reguły uruchamiania tagów w kodzie źródłowym lub menedżerze tagów wymagają korekty.

Wdrożenie na popularnych platformach sklepowych

Każda platforma e-commerce charakteryzuje się odmienną architekturą techniczną, co wpływa na sposób integracji polityki cookies oraz modułów zarządzania zgodami.

W przypadku systemów opartych na środowisku WooCommerce (wtyczce sklepowej dla systemu zarządzania treścią WordPress) kluczowe jest skoordynowanie działania banera z wtyczkami buforującymi (wtyczkami cache, które przyspieszają działanie strony poprzez zapisywanie gotowego kodu HTML). Niewłaściwa konfiguracja pamięci podręcznej serwera może prowadzić do sytuacji, w której baner nie wyświetla się nowym użytkownikom lub zapisuje stan zgody jednego klienta dla innych osób odwiedzających witrynę.

W systemach takich jak PrestaShop czy Magento (zaawansowane platformy sklepowe o budowie modułowej) integracja wymaga często modyfikacji szablonów Smarty lub plików layoutu XML, aby zagwarantować, że skrypty modułów firm trzecich nie inicjują połączeń w nagłówku strony (sekcji head dokumentu HTML) z pominięciem reguł platformy CMP.

W przypadku platform typu SaaS (Software as a Service, czyli oprogramowania udostępnianego jako usługa w chmurze, np. Shoper, Shopify czy IdoSell) dostęp do kodu źródłowego silnika jest ograniczony. Wdrożenie opiera się wówczas na wstrzykiwaniu dedykowanych skryptów w polach nagłówkowych oraz integracji z Google Tag Managerem, co pozwala na pełną kontrolę nad zewnętrznymi narzędziami analitycznymi i marketingowymi.

Najczęstsze pytania dotyczące polityki cookies i banerów zgód

Czy sam dokument polityki prywatności wystarczy, aby sklep działał legalnie?

Sam dokument tekstowy nie jest wystarczający. Prawo wymaga, aby obok informacji pisemnej istniał aktywny mechanizm techniczny blokujący pliki cookies marketingowe i analityczne do czasu kliknięcia zgody przez odwiedzającego. Dokument bez działającego banera blokującego nie chroni przed zarzutem naruszenia przepisów.

Czym różni się tryb podstawowy od trybu zaawansowanego w Google Consent Mode v2?

W trybie podstawowym (Basic) skrypty Google w ogóle nie są ładowane do momentu uzyskania zgody, co oznacza całkowity brak przesyłania danych przy braku akceptacji. W trybie zaawansowanym (Advanced) skrypty ładują się od razu, ale nie zapisują ciasteczek i przesyłają jedynie zanonimizowane sygnały bezstanowe (tzw. pings, czyli krótkie impulsy telemetryczne), które pozwalają algorytmom Google na modelowanie statystyczne ruchu z zachowaniem prywatności.

Czy pliki cookies odpowiedzialne za działanie koszyka zakupowego wymagają zgody?

Pliki cookies niezbędne do prawidłowego funkcjonowania sklepu (takie jak identyfikatory sesji, pliki koszyka zakupowego czy tokeny bezpieczeństwa) nie wymagają wcześniejszej zgody użytkownika. Należy je jednak wymienić i opisać w treści polityki cookies, wskazując ich cel oraz przewidywany czas przechowywania.

W jaki sposób użytkownik powinien móc zmienić wcześniej podjętą decyzję o zgodach?

Sklep internetowy musi zapewniać stały i łatwy dostęp do ustawień prywatności na każdej podstronie. Najczęściej stosowanym rozwiązaniem technicznym jest umieszczenie odnośnika do preferencji cookies w stopce serwisu lub wyświetlanie dyskretnej, pływającej ikony w rogu ekranu, która po kliknięciu ponownie otwiera okno konfiguracji zgód.

Czy wykorzystywanie lokalnych narzędzi analitycznych zwalnia z obowiązku blokowania ciasteczek?

Jeśli narzędzie analityczne instalowane na własnym serwerze (na przykład Matomo) zostanie skonfigurowane w trybie bezplikowym (bez użycia plików cookies) oraz z włączoną pełną anonimizacją adresów IP (ukrywaniem ostatnich oktetów adresu sieciowego), może być traktowane jako narzędzie czysto techniczne, nie wymagające uprzedniej zgody. Jeżeli jednak wykorzystuje tradycyjne pliki cookie, podlega takim samym zasadom blokowania jak usługi zewnętrzne.

Poprawna konfiguracja prywatności jako fundament stabilnego handlu elektronicznego

Prawidłowo opracowana polityka cookies oraz precyzyjnie wdrożony mechanizm zarządzania zgodami eliminują ryzyko sporów prawnych i zapewniają stabilne funkcjonowanie narzędzi analitycznych oraz reklamowych w sklepie internetowym. Połączenie przejrzystej dokumentacji z poprawną blokadą skryptów i obsługą najnowszych standardów komunikacji gwarantuje pełną zgodność techniczną z obowiązującymi przepisami.

22 378 48 09

Przygotowanie polityki cookies zgodnej z wymaganiami prawnymi