Polityka prywatności i cookies na stronie firmy: co musi się w nich znaleźć i kiedy baner jest potrzebny

Czy każda strona firmy potrzebuje polityki prywatności?

W praktyce tak: warto ją mieć na każdej stronie firmy, także na takiej, która pokazuje tylko usługi i numer telefonu. Serwer, na którym działa strona, zwykle zapisuje dane techniczne odwiedzin, a klienci piszą na adres e-mail z danymi w treści wiadomości. Formularz kontaktowy zbiera dane osobowe wprost: imię, telefon, opis sprawy.

Ten wpis to streszczenie przepisów i lista do sprawdzenia, a nie porada prawna. Pomaga ułożyć rozmowę z wykonawcą strony albo prawnikiem i zauważyć braki. Za treść dokumentu odpowiada firma, bo opisuje on jej dane i jej sposób pracy.

Zanim przejdziesz dalej, rozdziel trzy sprawy, które często się mieszają:

• Obowiązek informacyjny. Informujesz osobę, kto przetwarza jej dane, po co, na jakiej podstawie i jak długo. Wymaga tego RODO, a UODO opisuje to prostym językiem.
• Podstawa przetwarzania. Powód, dla którego możesz używać danych, na przykład odpowiedź na zapytanie klienta. Zgoda jest tylko jedną z możliwych podstaw.
• Zgoda na zapis w urządzeniu. Dotyczy plików cookie i podobnych technik. Reguluje ją art. 399 Prawa komunikacji elektronicznej i tego dotyczy baner.

Formularz kontaktowy potrzebuje więc informacji o danych, ale nie potrzebuje banera tylko dlatego, że istnieje. Baner wynika z narzędzi, które zapisują albo odczytują coś w telefonie lub komputerze odwiedzającego.

Kiedy baner cookies jest potrzebny, a kiedy nie?

Baner ze zgodą jest potrzebny wtedy, gdy strona zapisuje albo odczytuje informacje w urządzeniu odwiedzającego, a nie jest to konieczne do przesłania treści ani do działania usługi, o którą prosi użytkownik. Tak wynika z art. 399 Prawa komunikacji elektronicznej: najpierw uprzednia, zrozumiała informacja o celu i o możliwości określenia warunków przechowywania lub dostępu, potem zgoda. Wyjątki obejmują zapis konieczny do transmisji i do usługi, której użytkownik zażądał. Sama nazwa funkcji tego nie rozstrzyga, dlatego tabela mówi „zwykle” i „sprawdź”.

Najprostsza strona warsztatu, z cennikiem, numerem telefonu i linkiem do mapy, zwykle obejdzie się bez banera. Potrzebuje za to polityki prywatności, która opisze hosting i pocztę. Gdy ta sama strona dostaje Google Analytics albo piksel z kampanii, baner staje się częścią strony.

Mapa, film i kalendarz: link czy osadzenie

Link i osadzenie to dwie różne sytuacje. Link przenosi odwiedzającego na stronę dostawcy i dopiero tam działają jego zasady. Osadzenie ładuje narzędzie innej firmy wewnątrz Twojej strony, często od razu po wejściu.

Przykład: gabinet fizjoterapii pokazuje dojazd. Wersja z linkiem „Pokaż na mapie”, który otwiera stronę dostawcy, niczego nie ładuje na stronie gabinetu. Wersja z osadzoną mapą ładuje skrypty dostawcy przy każdym wejściu.

Zastępczy obrazek, który ładuje mapę dopiero po kliknięciu, sam nie rozwiązuje sprawy zgody. Jeśli osadzone narzędzie zapisuje lub odczytuje w urządzeniu informacje wymagające zgody, odwiedzający najpierw powinien dostać zrozumiałą informację: czyje to narzędzie, w jakim celu działa i co może zapisać. Dopiero jego świadomy wybór może uruchomić mapę. Samo opóźnienie ładowania nie wystarcza, a kliknięcie „Pokaż mapę” nie oznacza automatycznie zgody na pliki cookie analityczne czy reklamowe dostawcy.

Co musi się znaleźć w polityce prywatności?

Polityka prywatności ma powiedzieć klientowi, kto, po co, na jakiej podstawie i jak długo przetwarza jego dane oraz jakie ma prawa. UODO przypomina, że informacje o danych powinny być napisane jasnym, prostym i zrozumiałym językiem. Najpierw elementy, które UODO wymienia wprost przy obowiązku informacyjnym:

• Po co przetwarzasz dane i na jakiej podstawie, osobno dla formularza, poczty i każdego narzędzia.
• Jak długo przechowujesz dane.
• Kontakt do inspektora ochrony danych, jeśli firma go wyznaczyła.
• Jakie prawa ma osoba: dostęp, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw.
• Informacja o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu, jeśli występuje.
• Prawo do wycofania zgody w dowolnym momencie tam, gdzie podstawą jest zgoda.

Do tego dopisz elementy, bez których polityka nie opisze Twojej strony:

• Kto jest administratorem danych: nazwa firmy, adres, telefon lub e-mail do spraw danych.
• Komu dane są przekazywane: hosting, poczta, analityka, system rezerwacji.
• Czy dane trafiają poza Europejski Obszar Gospodarczy, na przykład przez narzędzia dostawców spoza Unii.
• Gdzie złożyć skargę: w Polsce organem nadzorczym jest Prezes UODO.
• Czy podanie danych jest potrzebne i co się stanie bez nich, na przykład „bez telefonu nie oddzwonimy”.
• Lista plików cookie i narzędzi zgodna z tym, co naprawdę działa na stronie.

Ta lista pomaga zauważyć braki, ale nie zastępuje tekstu przepisów. Pełny zakres informacji wymaganych przez RODO porównaj z oficjalnym tekstem rozporządzenia, najlepiej z prawnikiem.

Przykładowe zdania do dopasowania

Poniższe zdania to przykład stylu, a nie wzór prawny. Każde musi opisywać Twoją firmę i Twoje narzędzia.

• Formularz: „Dane z formularza (imię, telefon, opis sprawy) wykorzystujemy, żeby odpowiedzieć na Twoje zapytanie i przygotować wycenę.”
• Okres przechowywania: „Wiadomości z formularza przechowujemy przez [okres ustalony w firmie], a gdy dojdzie do zlecenia, tak długo, jak wymagają tego przepisy o dokumentacji.”
• Hosting i poczta: „Stronę i skrzynkę pocztową utrzymuje [nazwa dostawcy], który przetwarza dane w naszym imieniu.”

Jeśli zmieniasz albo przebudowujesz stronę, politykę trzeba przenieść i zaktualizować razem z treściami. Opisujemy to w poradniku o tym, co zachować przy przebudowie strony.

Jak ma działać poprawny baner?

Poprawny baner pyta, zanim narzędzia zapiszą albo odczytają coś w urządzeniu odwiedzającego, pozwala odmówić i pozwala później zmienić decyzję. Wynika to z art. 399 Prawa komunikacji elektronicznej (informacja, potem zgoda). UODO przypomina też, że zgodę można wycofać w dowolnym momencie, a jej cofnięcie powinno być równie łatwe jak jej udzielenie. Art. 400 Prawa komunikacji elektronicznej odsyła w sprawie samej zgody do przepisów o ochronie danych.

W praktyce oznacza to cztery zasady:

1. Narzędzia czekają na decyzję. Najprostsze do sprawdzenia jest pełne blokowanie: skrypt analityki albo piksela nie ładuje się, zanim odwiedzający kliknie zgodę. Przy innych wdrożeniach trzeba ustalić, co narzędzie naprawdę robi przed decyzją.
2. Odmowa jest równie prosta jak zgoda. Jeśli zgoda to jedno kliknięcie, odmowa też powinna nim być.
3. Decyzję da się zmienić. Zwykle służy do tego link „Ustawienia cookies” w stopce każdej podstrony.
4. Baner i polityka mówią to samo. Narzędzia z banera są opisane w polityce, a w polityce nie ma narzędzi, których strona nie używa.

Przy Google Analytics ma znaczenie tryb uzyskiwania zgody. Pomoc Google opisuje tryb podstawowy, w którym tagi Google są blokowane do momentu udzielenia zgody, i zaawansowany, w którym tagi wczytują się przed oknem zgody, a po odmowie wysyłają sygnały bez plików cookie. Wybór trybu wpływa na to, co dzieje się przed decyzją odwiedzającego, więc warto go znać. Polecamy tryb podstawowy, bo jego działanie da się prosto sprawdzić. W trybie zaawansowanym samo zapytanie do serwera Google przed zgodą nie przesądza ani o naruszeniu, ani o zgodności: trzeba sprawdzić z wykonawcą, co dokładnie narzędzie zapisuje, odczytuje i wysyła. Jak GA i formularz pasują do konkretnego pakietu, opisujemy w poradniku o CMS, formularzu i analityce.

Jak to widzimy w Znajdowalni: baner nie jest ozdobą ani formalnością do odhaczenia. Uczciwa strona mówi odwiedzającemu, co dzieje się z jego danymi, i nie uruchamia narzędzi, na które się nie zgodził. Dlatego w pakiecie Standard nie dokładamy analityki, która wymagałaby banera, a w Pro Google Analytics dodajemy razem z banerem zgód: najpierw decyzja odwiedzającego, potem narzędzie. Nie obiecujemy przy tym pełnej zgodności z prawem jako efektu usługi. Polityka opisuje Twoją firmę i Twoje dane, więc jej treść potwierdzasz Ty.

Jak sprawdzić swoją stronę w 5 minut?

Wystarczy przeglądarka na komputerze i okno prywatne, w którym nie ma Twoich wcześniejszych zgód. Test dotyczy banera z pełnym blokowaniem narzędzi do zgody, czyli takiego, jaki polecamy. Nie zastąpi oceny prawnej, ale pokaże najczęstsze błędy.

1. Otwórz stronę w oknie prywatnym. Jeszcze nic nie klikaj w banerze.
2. Otwórz narzędzia przeglądarki (klawisz F12) i zakładkę Sieć. Odśwież stronę.
3. Wpisz w filtrze nazwy narzędzi, których używasz, na przykład „analytics”, „gtag” albo nazwę piksela. Przy pełnym blokowaniu przed kliknięciem zgody nic z tej listy się nie pojawia. Jeśli coś widać, zapytaj wykonawcę, jaki sposób wdrożenia wybrał i co narzędzie robi przed decyzją. Sama nazwa zapytania nie rozstrzyga, czy coś jest zgodne z przepisami.
4. Kliknij odmowę. Sprawdź, czy była tak samo łatwa jak zgoda i czy przy pełnym blokowaniu skrypty nadal się nie ładują.
5. Przewiń do stopki i znajdź sposób zmiany decyzji. Otwórz go i sprawdź, czy pokazuje aktualny wybór.
6. Porównaj listę narzędzi w banerze z listą w polityce prywatności.

Jeśli w zakładce Aplikacja (albo Pamięć) widzisz pliki cookie analityki zaraz po wejściu, coś zapisuje się w urządzeniu przed decyzją. To sygnał do rozmowy z wykonawcą, a nie gotowy wyrok: ustalcie, jakie to pliki i czy są niezbędne do działania strony.

Najczęstsze błędy, które łatwo poprawić

Większość błędów wynika z tego, że strona zmieniała się latami, a dokumenty zostały w pierwszej wersji. Sprawdź te pięć:

• Narzędzie działa przed zgodą, a nikt nie wie dlaczego. Baner się wyświetla, ale analityka już się ładuje, choć nikt świadomie nie wybrał takiego wdrożenia. Ustal z wykonawcą, co narzędzie robi przed decyzją; najprościej uzależnić je od kliknięcia zgody, czyli zastosować pełne blokowanie.
• Brak odmowy w pierwszym oknie. Jest tylko „Akceptuj” i „Ustawienia”. Dodaj odmowę na tym samym poziomie co zgodę.
• Polityka skopiowana z innej firmy. Wymienia narzędzia, których nie masz, a pomija te, które masz. Opisz własną listę z tabeli powyżej.
• Brak zmiany decyzji. Baner znika na zawsze po pierwszym kliknięciu. Dodaj link w stopce.
• Formularz bez informacji. Pod przyciskiem wysyłki nie ma krótkiej informacji o celu ani linku do polityki. Dodaj jedno zdanie i link.

Jak możemy pomóc

Przed decyzją przygotujemy bezpłatny podgląd Twojej strony z materiałów, które już masz, na przykład z Wizytówki Google. Na start płacisz 0 zł przy umowie na 12 miesięcy. Według cennika (stan na październik 2026) pakiet Standard za 349 zł netto miesięcznie zawiera politykę prywatności, a Pro za 599 zł netto miesięcznie dodaje formularz kontaktowy i Google Analytics z banerem zgód. Co dokładnie wchodzi w cenę pakietów, rozpisujemy w poradniku o kosztach strony dla małej firmy.

Najczęstsze pytania

Czy strona bez formularza potrzebuje polityki prywatności?

W praktyce tak. Serwer strony zwykle zapisuje dane techniczne odwiedzin, a klienci piszą na adres e-mail z danymi w wiadomości. Polityka wyjaśnia, kto te dane przetwarza i jak długo.

Czy przy samym Google Analytics wystarczy informacja w polityce, bez banera?

Zwykle nie. Google Analytics zapisuje i odczytuje informacje w urządzeniu odwiedzającego, a to nie jest konieczne do działania strony. Art. 399 Prawa komunikacji elektronicznej wymaga wtedy uprzedniej, zrozumiałej informacji i zgody.

Czy mogę skopiować politykę prywatności z innej strony?

Kopia opisze cudzą firmę, cudzych dostawców i cudze narzędzia. Możesz wzorować się na układzie, ale każdy punkt z listy kontrolnej musi opisywać Twoją stronę. Inaczej polityka nie spełni swojej roli informacyjnej.

Czy osadzona mapa Google wymaga zgody?

To zależy od tego, co mapa zapisuje lub odczytuje w urządzeniu odwiedzającego. Zwykły link do mapy niczego nie ładuje na Twojej stronie. Jeśli osadzenie wymaga zgody, mapa może się uruchomić dopiero po zrozumiałej informacji o dostawcy i celu oraz świadomym wyborze odwiedzającego. Samo ładowanie mapy po kliknięciu w obrazek tego nie zastępuje.

Czy baner musi mieć przycisk „Odrzuć wszystkie”?

Przepis nie nazywa konkretnego przycisku. Zgoda ma jednak wynikać z wolnego wyboru, a UODO przypomina, że jej cofnięcie powinno być równie łatwe jak udzielenie. Odmowa jednym kliknięciem obok zgody to najprostszy sposób, żeby to zapewnić.

Kto odpowiada za treść polityki: firma czy wykonawca strony?

Za dane klientów odpowiada firma jako administrator. Wykonawca może przygotować stronę, baner i dokument na podstawie informacji od firmy. Treść potwierdza właściciel, bo tylko on wie, jak naprawdę używa danych.

Źródła

• Prawo komunikacji elektronicznej, Dz.U. 2024 poz. 1221, tekst w ELI Sejmu (art. 399 i 400, odczyt 20.10.2026).
• Prawo komunikacji elektronicznej, opracowanie Kancelarii Sejmu w ISAP (PDF, odczyt 20.10.2026).
• UODO: obowiązki administratora wobec osób, których dane przetwarza (odczyt 20.10.2026).
• RODO, oficjalny tekst rozporządzenia 2016/679 w EUR-Lex.
• Pomoc Google Analytics: tryb uzyskiwania zgody w witrynach i aplikacjach.