Baner cookies zgodny z TCF 2.3 i Prawem komunikacji elektronicznej: przewodnik dla sklepów i wydawców

Czym jest baner cookies i jakie przepisy go regulują w Polsce

Baner cookies jest interfejsem narzędzia nazywanego CMP, czyli platformą do zarządzania zgodami. Jego zadaniem jest poinformowanie użytkownika, jakie technologie zapisują lub odczytują informacje na jego urządzeniu, w jakim celu, i zebranie decyzji, zanim to nastąpi.

Podstawą prawną jest art. 399 Prawa komunikacji elektronicznej, który zastąpił wcześniejszy art. 173 Prawa telekomunikacyjnego. Przepis wymaga jasnej i pełnej informacji oraz zgody użytkownika na przechowywanie informacji w jego urządzeniu lub dostęp do nich. Wyjątek dotyczy sytuacji, w których jest to niezbędne do przesłania komunikatu albo do świadczenia usługi, o którą użytkownik wyraźnie prosi – na przykład do utrzymania koszyka, sesji logowania czy zapisania samej decyzji w banerze.

Gdy pliki cookie pozwalają zidentyfikować osobę, stosuje się także RODO. Identyfikatory internetowe mogą być danymi osobowymi, więc zgoda musi spełniać wymogi rozporządzenia: być dobrowolna, konkretna, świadoma i jednoznaczna. Już w 2019 r. TSUE w sprawie Planet49 przesądził, że domyślnie zaznaczone pole nie jest ważną zgodą. Nadzór nad przepisami Prawa komunikacji elektronicznej sprawuje Prezes UKE, a nad przetwarzaniem danych osobowych – Prezes UODO.

Szerszy obraz podstaw prawnych w reklamie internetowej znajdziesz w artykule o RODO w reklamie online. Ten przewodnik opisuje dobre praktyki i nie zastępuje porady prawnej, dlatego treść banera i polityki prywatności skonsultuj z prawnikiem.

Co musi zawierać baner cookies zgodny z Prawem komunikacji elektronicznej

Baner cookies zgodny z przepisami składa się zwykle z dwóch warstw: krótkiego komunikatu z przyciskami i szczegółowych ustawień. Poniższa tabela zbiera elementy, które powinny się w nim znaleźć, oraz błędy, które spotyka się najczęściej.

Przepisy nie nakazują konkretnej liczby warstw ani kolorów przycisków, ale organy nadzorcze w UE konsekwentnie uznają, że utrudnianie odmowy podważa dobrowolność zgody. Przycisk „Odrzucam” obok „Akceptuję”, w podobnej formie graficznej, to dziś standard rynkowy.

Kategorie plików cookie w sklepie internetowym

Większość sklepów wystarczy podzielić na cztery kategorie. Każda powinna mieć opis zrozumiały dla klienta i jednoznaczne przełożenie na tagi.

1. Niezbędne – koszyk, logowanie, bezpieczeństwo płatności, zapis decyzji w banerze. Nie wymagają zgody, ale wymagają informacji.
2. Funkcjonalne – zapamiętanie języka, waluty, ostatnio oglądanych produktów, czat na stronie.
3. Analityczne – GA4, mapy kliknięć, nagrania sesji. Odpowiadają sygnałowi analytics_storage.
4. Marketingowe – Google Ads, piksel Meta, TikTok, OpenAI Pixel, programy partnerskie. Odpowiadają sygnałom ad_storage, ad_user_data i ad_personalization.

Dokładne mapowanie kategorii na sygnały Consent Mode, z kodem stanu domyślnego, opisujemy w checkliście wdrożenia Consent Mode v2. Kategoria analityczna nie może otwierać sygnału ad_storage – od 15 czerwca 2026 r. to on jako jedyny decyduje o przepływie danych reklamowych z GA4 do Google Ads, co omawiamy w tekście o rozdzieleniu Google Signals i ad_storage.

Osobny temat stanowią ciasteczka stron trzecich, zapisywane przez domeny inne niż Twoja. Chrome nadal je obsługuje, a Safari i Firefox blokują je domyślnie, ale z perspektywy przepisów wymagają takiej samej zgody jak pliki własne. Co zmieniło się w Chrome po wygaszeniu Privacy Sandbox, wyjaśniamy w artykule o ciasteczkach stron trzecich w Chrome.

Czym jest TCF 2.3 i kogo dotyczy

TCF, czyli Transparency & Consent Framework IAB Europe, to standard zapisu zgód w postaci ciągu TC string, który odczytują dostawcy technologii reklamowych zarejestrowani na globalnej liście dostawców (GVL). Dzięki niemu jedna decyzja w banerze trafia do kilkudziesięciu czy kilkuset partnerów w jednolitym formacie.

Wersja 2.3 wprowadziła obowiązkowy segment disclosedVendors. Zapisuje on dla każdego dostawcy informację, czy został pokazany użytkownikowi w banerze. W wersji 2.2 dostawca widzący brak zgody nie wiedział, czy użytkownik odmówił, czy w ogóle go nie zobaczył. Segment ma też znaczenie dla celów specjalnych, takich jak zapobieganie oszustwom, które mogą opierać się na uzasadnionym interesie – dostawca nieujawniony w banerze nie powinien przetwarzać danych w tych celach.

Google wymagał migracji do 28 lutego 2026 r. Ciągi TC string utworzone od tego dnia bez segmentu disclosedVendors są uznawane za nieważne, a żądanie reklamy może zostać obsłużone w trybie ograniczonych reklam, bez plików cookie do personalizacji i limitu wyświetleń. Ciągi utworzone wcześniej pozostają ważne, a CMP co do zasady nie musi ponownie wyświetlać banera wszystkim użytkownikom.

Kogo to dotyczy w praktyce:

• Wydawców wyświetlających reklamy przez AdSense, Ad Manager lub AdMob w EOG i Wielkiej Brytanii – muszą korzystać z CMP certyfikowanego przez Google i zintegrowanego z TCF.
• Serwisów korzystających z header biddingu, bo Prebid i partnerzy SSP odczytują TC string przy każdej aukcji; więcej o tym w tekście o header biddingu i Prebid.js.
• Sklepów, które tylko kupują reklamy – TCF nie jest dla nich obowiązkowy, choć wiele CMP i tak go obsługuje.

Stan zgody zapisany w TCF sprawdzisz w konsoli przeglądarki przez standardowe API frameworku:

__tcfapi('getTCData', 2, function (tcData, success) {
  if (!success) { console.log('CMP nie zwrócił danych TCF'); return; }
  console.log('CMP ID:', tcData.cmpId);
  console.log('Wersja polityki TCF:', tcData.tcfPolicyVersion);
  console.log('TC string:', tcData.tcString);
  console.log('Zgody na cele:', tcData.purpose.consents);
});

Jak wybrać CMP dla sklepu i dla wydawcy

Wybór CMP zależy przede wszystkim od tego, czy sprzedajesz powierzchnię reklamową, czy tylko kupujesz reklamy. Wydawca potrzebuje TCF i certyfikacji Google, sklep – dobrej integracji z GTM i Consent Mode.

Baner ładuje się na każdej podstronie, często jako pierwszy skrypt, więc jego waga i sposób renderowania wpływają na wskaźniki szybkości. Jak mierzyć ten wpływ, opisujemy w artykule o tagach a Core Web Vitals.

Jak połączyć baner z tagami i Consent Mode

Baner sam z siebie niczego nie blokuje – robi to dopiero konfiguracja tagów, które odczytują jego decyzję. Dla sklepu z GTM proces wygląda następująco:

1. Zainstaluj szablon CMP w GTM na regule Consent Initialization – All Pages i ustaw stan domyślny denied dla wszystkich sygnałów poza bezpieczeństwem.
2. Sprawdź, czy CMP wysyła aktualizację Consent Mode po kliknięciu i przy kolejnych odsłonach.
3. Wybierz tryb Consent Mode; różnice dla danych i ryzyka opisujemy w porównaniu trybu podstawowego i zaawansowanego.
4. Tagom spoza Google, takim jak piksel Meta czy TikTok, dodaj wymóg zgody na odpowiedni sygnał.
5. Usuń piksele wklejone bezpośrednio w kod szablonu sklepu, które omijają GTM.
6. Przetestuj trzy scenariusze: brak decyzji, odmowa i akceptacja.

Najczęstsze błędy w banerach cookies i jak je wykryć

Najpoważniejszy błąd to tagi, które działają mimo odmowy. Wykryjesz go w kilka minut: otwórz stronę w trybie prywatnym, kliknij „Odrzucam”, a potem w DevTools otwórz kartę Application i listę plików cookie. Jeśli widzisz _ga, _gcl_au, _fbp lub _ttp, któryś tag ignoruje decyzję.

Inne typowe problemy:

• Odmowa trudniejsza niż zgoda – brak przycisku „Odrzucam” na pierwszej warstwie albo przycisk w formie mało widocznego linku.
• Zgoda na wszystko po zamknięciu banera – kliknięcie krzyżyka traktowane jak akceptacja.
• Brak możliwości wycofania zgody – po decyzji baner znika i nie ma linku do ustawień.
• Różne decyzje na subdomenach – sklep i blog na osobnych subdomenach pytają o zgodę osobno lub nie respektują wcześniejszej decyzji.
• Nieaktualna lista dostawców – nowe narzędzie marketingowe dodane w GTM, ale nie w banerze.

Dokładniejszy test z odczytem parametrów zgody w żądaniach do Google opisujemy w poradniku jak sprawdzić, czy Consent Mode działa, a ogólne metody weryfikacji tagów – w tekście jak sprawdzić, czy tag działa. Pozostałe poradniki o zgodach zebraliśmy w podtemacie Consent Mode.