Większość banerów z prośbą o zgodę jest tworzona raz, przez osobę, która w danym tygodniu logowała się do CMP, i nigdy więcej nie jest audytowana. Wyrządzają one wówczas dwa rodzaje szkód: narażają Cię na kontakt z regulatorem, który już opublikował, jak wygląda zgodny baner, oraz ograniczają Twoje możliwości analityczne. Google ustala tutaj sztywny próg – usługa GA4 kwalifikuje się do modelowania behawioralnego tylko wtedy, gdy zbiera co najmniej 1,000 wydarzeń dziennie analytics_storage='denied' przez co najmniej 7 dnioraz 1,000 użytkowników wyrażających zgodę dziennie w ciągu 7 z 28 poprzednich dni. Poniżej tej liczby ruch odrzucony po prostu znika.
To podręcznik odbudowy dla każdego, kto jest właścicielem baneru: lidera wzrostu, właściciela działu analityki lub dewelopera, który go odziedziczył. Sześć przebiegów, w kolejności, każdy z punktem decyzyjnym, zakończonych 14-punktową rubryką, na podstawie której można ocenić swój obecny baner. Obejmuje on strony sprzedające do UE, Wielkiej Brytanii i Turcji.
Co musi zrobić baner w obu jurysdykcjach
Dwa organy nadzorcze spisały zasady projektowania, więc nie jest to kwestia gustu. EROD Raport grupy zadaniowej ds. banerów cookie (17 stycznia 2023 r.) i Wytyczne 03/2022 dotyczące zwodniczych wzorców projektowych (wersja 2.0, 14 lutego 2023 r.) wyznaczyła unijny poziom bazowy. Turecki KVKK opublikował swój przewodnik dotyczący plików cookie w 2022 r., a zaktualizowaną wersję w połowie 2025 r.
| Wymaganie | UE / Wielka Brytania (ePrivacy + RODO) | Turcja (KVKK) |
|---|---|---|
| Odmowa na pierwszej warstwie | Brak opcji odrzucenia na dowolnej warstwie stanowi naruszenie | „Odrzuć wszystko” musi mieć taką samą wagę wizualną jak „zaakceptuj wszystko” |
| Kategorie wstępnie zaznaczone | Milczenie i zaznaczone pola wyboru nie oznaczają zgody | Kategorie nieistotne są domyślnie wyłączone |
| Analityka bez zgody | Niezwolnione w większości odczytów państw członkowskich | Poza wyjątkami, analiza i pomiary stanowią odrębną kategorię |
| Ściany z ciasteczek | Przypadek po przypadku, wysoka poprzeczka | Uzależnianie dostępu do treści od akceptacji wszystkich plików cookie jest niedozwolone |
| Wypłata | Musi być tak proste, jak wyrażenie zgody | Ustawienia dostępne z każdej strony |
Sygnał egzekwowania jest prawdziwy. 1 września 2025 r. CNIL nałożono na Google karę w wysokości 325 milionów euro, stwierdzając, że zgoda „nie została udzielona dobrowolnie, ponieważ trudniej było odrzucić pliki cookie powiązane ze spersonalizowaną reklamą niż je zaakceptować”. Asymetria przycisków nie jest ustaleniem kosmetycznym.
Przejście 1 — Zrób inwentaryzację każdego tagu i uzasadnij każdy niezbędny
Otwórz witrynę w czystym profilu przeglądarki, odrzuć wszystko i zapisz to, co nadal ustawia pamięć. Następnie zaakceptuj i zapisz różnicę. Jeden wiersz na plik cookie lub klucz pamięci: nazwa, osoba ustawiająca, cel, kategoria i zdanie, które powiedziałbyś regulatorowi.
Punktem decyzyjnym jest niezbędność, a ciężar spoczywa na Tobie — zespół zadaniowy EROD przyznał, że jej ocena wiąże się z praktycznymi trudnościami, ale jasno stwierdził, że administratorzy muszą wykazać niezbędność tego, co klasyfikują jako niezbędne. Uwierzytelnianie sesji, zawartość koszyka i tokeny antyfraudowe przetrwają. Narzędzie mapy cieplnej, biblioteka testowa i piksel marketingowy nie.
Przykład: typowa transakcja w tureckim e-commerce: plik cookie sesji, token koszyka i token ochrony przed botami są niezbędne; GA4, piksel meta, remarketing reklam, odtwarzanie sesji i widżet czatu – wszystkie te elementy wymagają zgody. Sześć na osiem – stosunek, którego większość zespołów nigdy nie zanotowała.
Przejście 2 — Napraw pierwszą warstwę, w tym jej dostępność
Pierwsza warstwa wymaga jasnego określenia, kto co przetwarza i dlaczego, „akceptuj wszystko” i „odrzuć wszystko” w identycznym stylu, dostępu do szczegółowych ustawień i niczego wstępnie wybranego. Równą rangę łatwiej obronić, gdy jest mierzalna:
- Oba główne przyciski mają ten sam rozmiar, grubość i wykończenie. Jeśli jeden jest wypełniony, drugi również.
- Kontrast tekstu co najmniej 4.5:1 i 3:1 dla obramowań przycisków i innych elementów interfejsu użytkownika, które nie zawierają tekstu, zgodnie z WCAG 2.2 Kryteria 1.4.3 i 1.4.11. Zespół zadaniowy zgłosił banery, w których „kontrast między tekstem a tłem przycisku jest tak minimalny, że tekst jest nieczytelny”.
- Przycisk „Odrzuć” musi być prawdziwy. Zespół zadaniowy odrzucił opcje odmowy składające się z „linku ukrytego pod sformułowaniem takim jak „odrzuć”” bez wystarczającego wsparcia wizualnego.
- Klawiatura dostępna w rozsądnej kolejności, bez pułapki fokusowej (WCAG 2.1.2). Nasze Narzędzie audytu WCAG wychwytuje kontrast i błędy w kolejności ogniskowania.
Następnie sprawdź swój tekst pod kątem sześciu rodzin wzorców EDPB: przeciążenie, pomijanie, mieszanie, blokowanie, kapryśność, pozostawienie w ciemności. „Mieszanie” to projekt, który „wpływa na wybór użytkownika, odwołując się do jego emocji lub wykorzystując wizualne bodźce” – właśnie to robi „Akceptuj dla najlepszego doświadczenia”.
Przejście 3 — Zbuduj drugą warstwę i ścieżkę wypłaty
Warstwa druga to przełączniki dla każdej kategorii, domyślnie wszystkie wyłączone, każdy z opisem celu i okresem przechowywania, każdy z możliwością niezależnego zapisu.
Wycofanie zgody to problem, który często pojawia się we wdrożeniach. Musi być tak proste, jak wyrażenie zgody, a przewodnik KVKK zakłada, że ustawienia będą dostępne z każdej strony. Stały link w stopce lub mała, ruchoma kontrolka działają, ale nie w formie linijki w polityce prywatności. Przetestuj to, wycofując zgodę ze strony produktu dwoma kliknięciami.
Krok 4 — Prześlij zgodę, aby odmowa była nadal mierzalna
Ta przepustka decyduje, czy zgodność będzie Cię kosztować utratę danych analitycznych. Google tryb zgody ma dwa kształty:
- Podstawowy: Tagi ładują się dopiero po interakcji użytkownika. Nic nie jest wysyłane wcześniej, „nawet domyślny status zgody”. Najprostsza obrona, a tracisz cały sygnał od osób odmawiających.
- Advanced: Tagi ładują się ze zgodą domyślnie odrzuconą i wysyłają pingi bez plików cookie. Zachowujesz kształt odrzuconego ruchu i kwalifikujesz się do modelowania.
Zaawansowany to jedyna droga do modelowanie behawioralne, który wymaga, aby „tagi były ładowane przed wyświetleniem okna dialogowego z prośbą o zgodę, a tagi Google były ładowane zawsze, a nie tylko po wyrażeniu zgody przez użytkownika”. Należy pamiętać, że kwalifikowalność to nie modelowanie: Google twierdzi, że osiągnięcie opublikowanych progów „nie gwarantuje kwalifikowalności”. Modelowane liczby należy traktować jako wartości kierunkowe, a nie jako decydujące wskaźniki eksperymentu.
Punkt decyzyjny: jeśli łączny ruch w EOG, Wielkiej Brytanii i Turcji nie jest w stanie w sposób wiarygodny wyeliminować 1,000 odrzuconych zdarzeń dziennie, nie należy w ogóle budować planu pomiarów w oparciu o modelowanie. Jako źródła prawdy należy używać danych o konwersji po stronie serwera i własnej tabeli zamówień.
Przejście 5 — Instrumentowanie samego baneru
Baner to krok w leju sprzedażowym i prawie nikt go nie mierzy. Rejestruje cztery zdarzenia, bez danych osobowych, za pomocą mechanizmu, który sam w sobie nie wymaga zgody: wyświetlenie baneru (mianownik); dokonany wybór, z jakim wyborem; otwarcie drugiej warstwy; i brak jakiejkolwiek interakcji.
Podziel wszystkie cztery segmenty według kraju i urządzenia. Wskaźnik braku interakcji na urządzeniach mobilnych jest zazwyczaj zaskakujący i można go poprawić bez zmiany architektury wyboru: wysokości baneru, tego, czy zakrywa główne wezwanie do działania, czy pojawia się ponownie przy każdej zmianie trasy.
Zaliczenie 6 — Testuj tylko to, co masz prawo testować
Uczciwa gra: wysokość banera, pozycja, przejrzystość tekstu, nazewnictwo kategorii, układ warstwowy, czy baner blokuje treść. Nieuczciwa gra: asymetria przycisków, wstępnie zaznaczone pola wyboru, ukryte ścieżki odrzucenia, dodatkowe kroki na drodze do odrzucenia. To nie są warianty przegrane, to są odkrycia.
Zachowaj sceptycyzm również wobec standardowego cytowania. Często cytowane stwierdzenie, że usunięcie opcji rezygnacji z subskrypcji na pierwszej stronie „zwiększa zgodę o 22–23 punkty procentowe”, pochodzi z Nouwens i wsp., CHI 2020, którego skrobanie objęło tysiące witryn, ale którego eksperyment przyczynowy przebiegał z uczestnicy 40Kierunek jest wiarygodny; skala nie powinna być uznawana za punkt odniesienia, a wartość 8–20 punktów w tym samym artykule dla szczegółowych kontroli pierwszego poziomu zawiera to samo zastrzeżenie. Dane dotyczące „średniego wskaźnika zgody” dostawców są jeszcze słabsze: dotyczą one samodzielnie wybranych baz klientów, których nie da się niezależnie zweryfikować.
Zdobądź swój obecny baner: 14 punktów
Jeden punkt za każdego. Poniżej 12, popraw zanim wydasz pieniądze na testy.
| # | Sprawdź | Próg przejścia |
|---|---|---|
| 1 | Odrzuć opcję na pierwszej warstwie | Obecny jako przycisk |
| 2 | Akceptuj/odrzucaj parytet wizualny | Ten sam rozmiar, waga, wypełnienie |
| 3 | Kontrast tekstu przycisku | ≥4.5: 1 |
| 4 | Kontrast interfejsu użytkownika bez tekstu | ≥3: 1 |
| 5 | Kategorie nieistotne zaznaczone wstępnie | żaden |
| 6 | Udokumentowano inwentaryzację plików cookie | Każdy klucz ma swoje przeznaczenie |
| 7 | Uzasadnienie niezbędności napisane | Jedno zdanie na każde niezbędne ciasteczko |
| 8 | Przed wyborem nie uruchamiają się żadne tagi | Zweryfikowano w czystym profilu |
| 9 | Wycofanie się z dowolnej strony | ≤2 kliknięcia |
| 10 | Obsługa za pomocą klawiatury, brak pułapki fokusowej | WCAG 2.1.2 spełnione |
| 11 | Brak emocjonalnego impulsu w tekście | Brak ramek „najlepszego doświadczenia” |
| 12 | Brak ściany ciasteczek | Treść dostępna po odmowie |
| 13 | Zarejestrowano stan zgody | Zapis zachowany według wyboru |
| 14 | Lejek banerowy z instrumentami | Wszystkie cztery zdarzenia wyzwalane |
Gdzie to się psuje
Jest to podręcznik dotyczący interfejsu i pomiarów, a nie opinia prawna. Cztery kwestie wykraczają poza jego ramy.
ePrivacy to dyrektywa, więc wyłączenie dotyczące analityki jest interpretowane inaczej w poszczególnych państwach członkowskich, a projekt, który satysfakcjonuje jeden organ, może nie satysfakcjonować innego. Prawo również ulega zmianom: propozycja Komisji dotycząca „Digital Omnibus” COM(2025) 837 final z dnia 19 listopada 2025 r., przeniosłoby przepisy dotyczące plików cookie do RODO i wyłączyłoby zagregowane pomiary odbiorców własnych – ale własne działania legislacyjne Parlamentu wskazują na wczesną fazę prac, z opinią EKES z 18 marca 2026 r. i brakiem głosowania komisji ani opublikowanego stanowiska Rady. Posty zapowiadające rozmowy trójstronne i ustalony harmonogram wyprzedzają sprawę. Projektuj zgodnie z dzisiejszymi przepisami i przechowuj inwentarz w formie, którą można szybko kategorizować.
Pomija również aplikacje mobilne, w których ATT i powierzchnie zgody w systemie Android mają własne mechanizmy, i zakłada jeden CMP — wiele marek w jednym kontenerze tagów wymaga zakresu stanu zgody dla każdej domeny. [POTRZEBNE DANE WEWNĘTRZNE: zanonimizowane dane przed/po wyrażeniu zgody oraz dane o braku interakcji na urządzeniach mobilnych pochodzące z przebudowy baneru Switas, najlepiej jedna własność z UE i jedna z Turcji, w celu zastąpienia punktów odniesienia dostawców, których cytowanie w tym artykule celowo jest pomijane.]
PYTANIA I ODPOWIEDZI
Czy przycisk „Odrzuć wszystko” obniża mój współczynnik konwersji?
Obniża to Twój współczynnik zgody, co nie jest tym samym. Konwersja na stronie nie jest zależna od tego, czy ktoś zaakceptował pliki cookie reklamowe; zmienia się jedynie możliwość przypisania jej do platform reklamowych. Budżet powinien uwzględniać gorszą atrybucję, a nie niższe przychody.
Czy mogę traktować Google Analytics jako narzędzie absolutnie niezbędne?
Nie w Turcji — zaktualizowany przewodnik KVKK umieszcza analitykę i pomiary w osobnej kategorii, poza wyjątkami dotyczącymi transmisji technicznej i usług wyraźnie zamawianych. W UE sytuacja różni się w zależności od państwa członkowskiego, ale bezpiecznym domyślnym rozwiązaniem jest wymóg uzyskania zgody.
Podstawowy czy zaawansowany tryb zgody?
Zaawansowany, chyba że Twój zespół prawny wyraził sprzeciw wobec pingów bez plików cookie przed dokonaniem wyboru. Podstawowy jest bardziej przejrzysty w obronie i zapewnia pełną widoczność odrzuconego ruchu, w tym modelowanie uprawnień.
Jak długo będę musiał czekać na ponowną prośbę po odmowie?
W obecnych przepisach UE i Turcji nie ma ustalonej liczby; wymóg jest taki, że wielokrotne monitowanie nie może być równoznaczne z utrudnianiem. Propozycja Digital Omnibus dodałaby sześciomiesięczny próg dla każdego celu, ale nie jest to prawo. Przechowywanie odmowy przez sześć miesięcy i nieponawianie monitowania jest obecnie zasadą, którą można obronić.
Czy potrzebuję osobnego baneru dla Turcji?
Zazwyczaj nie jest to oddzielny baner, ale potrzebna jest logika kategorii dla danego kraju i tekst w języku tureckim z identycznym przyciskiem. Zasady KVKK są wystarczająco zbliżone do zasad EDPB, aby jeden dobrze skonstruowany baner sprawdzał się zarówno w przypadku lokalizacji tekstu, jak i kategorii.
Czy ściana plików cookie jest kiedykolwiek akceptowalna?
Potraktuj to jako niedostępne. Przewodnik KVKK nie zezwala na uzależnienie dostępu do treści od akceptacji wszystkich plików cookie, a poprzeczka UE jest wysoka. „Zgoda czy zapłata” na stronach informacyjnych to osobna, kontrowersyjna kwestia, a nie szablon dla e-commerce.
Jak często należy przeprowadzać ponowny audyt?
Przeprowadź 14 kontroli kwartalnie i natychmiast po każdej zmianie menedżera tagów lub integracji z nowym dostawcą. Większość regresji pojawia się w postaci nowego piksela, a nie nowego projektu banera.
Zdobądź własny baner lub przekaż go nam
Przeprowadź 14 kontroli swojego aktywnego baneru w tym tygodniu; zajmie to mniej niż godzinę z czystym profilem przeglądarki i narzędziem do sprawdzania kontrastu. Jeśli wolisz, aby interfejs, warstwa tagów i rekordy zgód były audytowane razem, z priorytetyzowaną listą poprawek zamiast oceny, porozmawiaj z nami o audycie dostępności i zgodności.
Źródła
- EDPB, Raport Zespołu ds. Banerów Cookie, przyjęte 17 stycznia 2023 r.
- EROD, Wytyczne 03/2022 dotyczące zwodniczych wzorców projektowych, wersja 2.0 przyjęta 14 lutego 2023 r.
- KVKK, Çerez Uygulamaları Hakkında Rehber (wydanie zaktualizowane, 2025)
- CNIL, Google nałożył karę w wysokości 325 mln euro, 1 wrzesień 2025
- Google, przegląd trybu zgody
- Google, modelowanie zachowań GA4 dla trybu zgody
- Google, polityka zgody użytkownika w UE
- W3C, WCAG 2.2
- Nouwens, Liccardi, Veale, Karger, Kagal, Dark Patterns po RODO, CHI 2020
- Pociąg legislacyjny Parlamentu Europejskiego, wniosek dotyczący rozporządzenia omnibus cyfrowego, COM(2025) 837 wersja ostateczna
