Jak napisać politykę cookies: przewodnik krok po kroku + szablon

Baner cookie widzą wszyscy, więc to on przyciąga największą uwagę. Polityka cookies – dokument, do którego baner linkuje – powstaje zwykle w pięć minut przez skopiowanie cudzej. A tymczasem to właśnie politykę organ ochrony danych otwiera jako pierwszą podczas kontroli. Dobra wiadomość: napisanie porządnej polityki nie jest trudne. W tym przewodniku pokazujemy, co polityka cookies musi zawierać, jak zbudować ją krok po kroku na podstawie szablonowej struktury i jak utrzymywać ją w aktualności bez ręcznego przepisywania co miesiąc.

Czym jest polityka cookies i dlaczego jej potrzebujesz

Polityka cookies to publicznie dostępna strona, która informuje odwiedzających, jakie pliki cookie i podobne technologie przechowuje Twoja witryna, do czego służą, jak długo pozostają w przeglądarce i jak można wycofać zgodę na ich stosowanie.

Obowiązek nie wynika z jednego przepisu, lecz z kombinacji trzech aktów prawnych:

• RODO (artykuły 12 i 13) – jeśli pliki cookie przetwarzają dane osobowe (a regulatorzy traktują identyfikatory takie jak _ga czy _fbp jako dane osobowe), musisz w przejrzysty sposób informować o przetwarzaniu.
• Krajowe implementacje ePrivacy – w całej UE przechowywanie plików cookie wymaga zgody opt-in, z wyjątkiem tych ściśle niezbędnych. Zgoda jest ważna tylko wtedy, gdy jest świadoma – a to właśnie polityka dostarcza informacji.
• Dyrektywa ePrivacy – europejski fundament, na którym zbudowane są przepisy krajowe.

W praktyce sprowadza się to do jednego: bez polityki cookies nie ma ważnej zgody. Baner cookie linkujący do pustej lub nieistniejącej strony zbiera zgody, które nie przetrwałyby kontroli.

Polityka cookies a polityka prywatności

Dwa dokumenty, które mylą nawet doświadczeni właściciele stron:

• Polityka prywatności obejmuje całość przetwarzania danych osobowych – zamówienia, newslettery, fakturowanie, reklamacje, monitoring wizyjny.
• Polityka cookies dotyczy wyłącznie plików cookie i podobnych technologii: localStorage, pikseli śledzących, SDK stron trzecich.

Można połączyć je w jeden dokument, ale odradzamy to. Pliki cookie zmieniają się znacznie częściej niż reszta Twojego przetwarzania – każde nowe narzędzie marketingowe przynosi własne. Osobną stronę łatwiej utrzymać w aktualności, a baner cookie może linkować do niej bezpośrednio, zamiast odsyłać na dziesiątą stronę powieści o prywatności.

Co musi zawierać polityka cookies

Checklista wymaganych elementów, których nie powinno zabraknąć w żadnym finalnym dokumencie:

• Kto jest administratorem – nazwa firmy, numer rejestrowy i dane kontaktowe.
• Czym są pliki cookie – dwa lub trzy zdania napisane prostym językiem.
• Jakich plików cookie strona faktycznie używa – tabela z nazwą pliku cookie, dostawcą, celem, okresem ważności i kategorią. To rdzeń całego dokumentu i część, której najczęściej brakuje.
• Kategorie plików cookie – niezbędne, preferencje, analityczne, marketingowe – i do czego każda z nich służy.
• Podstawa prawna – ściśle niezbędne pliki cookie działają bez zgody; wszystkie pozostałe jej wymagają.
• Strony trzecie i transfery poza UE – Google, Meta, Hotjar i spółka, wraz z informacją o przekazywaniu danych do państw trzecich.
• Jak wycofać zgodę – konkretna procedura, najlepiej link lub przycisk, który ponownie otwiera baner cookie.
• Jak zarządzać plikami cookie w przeglądarce – linki do stron pomocy Chrome, Firefoksa, Safari i Edge.
• Data ostatniej aktualizacji – bez niej nikt (łącznie z Tobą) nie stwierdzi, czy dokument nadal odpowiada rzeczywistości.

Jak napisać politykę cookies krok po kroku

Krok 1: Sprawdź, jakich plików cookie Twoja strona faktycznie używa

Najczęstszy błąd to pisanie polityki z pamięci, na podstawie tego, co według Ciebie działa na stronie. Rzeczywistość zwykle wygląda inaczej – deweloper kiedyś dodał Hotjar, wtyczka z recenzjami przyniosła własne śledzenie, a osadzony film z YouTube też ustawia pliki cookie. Otwórz stronę w oknie incognito z DevTools (zakładka Application, sekcja Cookies) albo oszczędź sobie pracy dzięki automatycznemu skanerowi cookie. Cały proces opisujemy w artykule Audyt cookies: jak sprawdzić, jakich plików cookie używasz.

Krok 2: Podziel pliki cookie na kategorie

Standardem są cztery kategorie: niezbędne (logowanie, koszyk, zapisanie samej zgody), preferencje (język, waluta), analityczne (Google Analytics, Matomo) i marketingowe (Google Ads, Meta Pixel). Ważne: Twój baner cookie musi używać tych samych kategorii. Jeśli baner oferuje trzy kategorie, a polityka opisuje cztery, zgoda nie zgadza się z dokumentacją.

Krok 3: Zbuduj tabelę plików cookie

Dla każdego pliku cookie podaj pięć rzeczy: nazwę, dostawcę, cel, okres ważności i kategorię. Przykładowy wiersz: plik cookie _ga, dostawca Google Analytics, cel rozróżnianie odwiedzających na potrzeby statystyk ruchu, okres ważności 2 lata, kategoria analityczne. Brzmi żmudnie – i ręcznie takie właśnie jest, zwłaszcza przy trzydziestu plikach cookie na stronie. Dlatego Consentio generuje tę część automatycznie na podstawie wyników skanowania.

Krok 4: Opisz, jak wycofać zgodę

Artykuł 7 ust. 3 RODO mówi, że wycofanie zgody musi być równie łatwe jak jej wyrażenie. W praktyce polityka potrzebuje zdania w rodzaju „Ustawienia plików cookie możesz w każdej chwili zmienić, klikając przycisk Ustawienia cookies” – a ten przycisk musi naprawdę istnieć, zazwyczaj w stopce strony.

Krok 5: Połącz politykę z banerem cookie

Baner linkuje do polityki, polityka linkuje do ustawień banera. Pętla się domyka i odwiedzający z każdej strony dotrą tam, gdzie potrzebują. Jak powinien wyglądać sam baner, opisujemy w artykule Baner cookie: jak poprawnie skonfigurować go zgodnie z RODO.

Szablonowa struktura polityki cookies

Jeśli zaczynasz od czystej kartki, ten szkielet obejmuje wszystko, co istotne:

1. Kim jesteśmy – identyfikacja administratora i dane kontaktowe
2. Czym są pliki cookie i dlaczego ich używamy
3. Jakie kategorie plików cookie rozróżniamy
4. Tabela konkretnych plików cookie (nazwa, dostawca, cel, okres ważności, kategoria)
5. Kto jeszcze ma dostęp do plików cookie (strony trzecie, transfery poza UE)
6. Jak wyrazić i wycofać zgodę
7. Jak zablokować lub usunąć pliki cookie w przeglądarce
8. Data ostatniej aktualizacji

Najczęstsze błędy w politykach cookies

1. Dokument skopiowany z innej strony. Opisuje pliki cookie, których nie masz, i nie mówi nic o tych, które masz. Podczas kontroli wygląda to gorzej niż brak dokumentu – dowodzi, że nie masz przeglądu własnego przetwarzania.
2. Brak tabeli konkretnych plików cookie. Ogólnikowe „używamy plików cookie analitycznych i marketingowych” nie spełnia wymogu przejrzystości. Regulatorzy chcą zobaczyć konkretne pliki cookie z okresami ważności.
3. Polityka nie zgadza się z banerem. Baner wymienia inne kategorie lub inne narzędzia niż dokument. Zwykle dzieje się tak, gdy marketing dodał nowy piksel i nikt nie zaktualizował polityki.
4. Martwy link z banera. Strona przeszła redesign, strona polityki zmieniła adres URL, a link z banera prowadzi teraz do błędu 404. Zgoda zebrana bez dostępnych informacji jest nieważna.
5. Dokument napisany raz i nietknięty przez rok. Przeciętna strona dodaje lub zmienia pliki cookie kilka razy w roku – przy każdym nowym narzędziu, wtyczce czy kampanii.

Jak utrzymywać politykę w aktualności bez ręcznej pracy

Polityka cookies nie jest dokumentem pisanym raz na zawsze. To żywa dokumentacja Twojej strony – a ręczne aktualizacje to dokładnie ten rodzaj pracy, o którym zawsze się zapomina.

Dlatego stworzyliśmy generator polityki cookies Consentio, który składa dokument automatycznie na podstawie regularnych skanów Twojej strony: tabela plików cookie, kategorie, okresy ważności i strony trzecie wypełniają się same i regenerują przy każdej zmianie. Ty tylko umieszczasz link w banerze i stopce. Razem ze skanerem i banerem cookie cała konfiguracja zajmuje kilka minut – wystarczy darmowy plan. A jeśli chcesz mieć pewność, że wszystko inne również jest dopięte, przejdź przez naszą checklistę zgodności RODO w zakresie cookies.