Blokowanie skryptów przed zgodą na cookies: czy to prawny obowiązek

Banner cookies, który tylko wyświetla komunikat, a nie wstrzymuje ładowania Google Analytics czy Meta Pixela, nie spełnia wymogów prawa. Od 10 listopada 2024 r. w Polsce obowiązuje ustawa Prawo komunikacji elektronicznej, która wprost wymaga, żeby skrypty niebędące niezbędnymi nie uruchamiały się, dopóki użytkownik nie wyrazi zgody. To nie jest kwestia dobrej praktyki UX — to techniczny wymóg, który regulatorzy (UODO w Polsce, CNIL we Francji) coraz częściej sprawdzają wprost w kodzie strony, a nie tylko na oko.

Czym jest blokowanie skryptów przed zgodą

Blokowanie skryptów przed zgodą oznacza, że kod śledzący — tag Google Analytics 4, Meta Pixel, piksel LinkedIn czy skrypt czatu — fizycznie nie wykonuje się w przeglądarce użytkownika, dopóki ten nie kliknie „akceptuję” w bannerze zgody. Skrypt może być obecny w kodzie strony, ale jego uruchomienie wstrzymuje CMP (Consent Management Platform) do momentu decyzji odwiedzającego.

To odróżnia blokowanie od samego wyświetlenia bannera, który w wielu wdrożeniach jest tylko warstwą wizualną nałożoną na skrypty działające od pierwszej milisekundy wczytania strony — użytkownik widzi pytanie o zgodę, a w tle Google Analytics już zapisuje mu cookie i wysyła zdarzenie odsłony.

Czy blokowanie skryptów przed zgodą jest wymagane prawem

Tak — to prawny obowiązek, nie opcjonalna dobra praktyka. W Polsce od 10 listopada 2024 r. obowiązuje ustawa Prawo komunikacji elektronicznej, która zastąpiła dotychczasowy art. 173 Prawa telekomunikacyjnego i wprost wymaga uzyskania zgody użytkownika, zanim na jego urządzeniu zapisze się jakikolwiek plik cookie inny niż niezbędny do działania usługi. RODO reguluje samą zgodę — musi być dobrowolna, konkretna, świadoma i jednoznaczna — ale to ustawa o komunikacji elektronicznej, implementująca unijną dyrektywę ePrivacy, nakłada obowiązek dotyczący konkretnie plików cookie i podobnych technologii śledzących.

Jeśli skrypt uruchamia się i zapisuje cookie, zanim użytkownik zdąży cokolwiek kliknąć, zgoda zebrana sekundę później jest prawnie bezwartościowa — dane już wyciekły przed decyzją. Dlatego sam banner z przyciskiem „akceptuję” nie wystarcza; musi mu towarzyszyć techniczna blokada, która faktycznie wstrzymuje wykonanie kodu, a nie tylko przycisk zmieniający tekst na ekranie.

Consent Mode v2 to nie to samo, co blokowanie skryptów

Częste nieporozumienie: wdrożenie Google Consent Mode v2 bywa mylone z pełnym blokowaniem skryptów, a to dwa różne mechanizmy. Consent Mode nie wstrzymuje wykonania tagu Google — tag nadal się ładuje i uruchamia, tylko dostosowuje, jakie dane wysyła, zależnie od zgłoszonej zgody. W trybie Advanced bez zgody wysyła bezcookie'owe, zanonimizowane sygnały zamiast pełnych danych. Sam mechanizm Consent Mode opisaliśmy szerzej w tekście o Consent Mode v2 i utracie danych.

To ważna różnica prawna: Consent Mode reguluje, co Google robi z danymi po swojej stronie, ale nie zastępuje obowiązku niewłączania niepotrzebnych cookies po stronie Twojej przeglądarki. Prawidłowe wdrożenie łączy oba mechanizmy — CMP blokuje wykonanie skryptu do czasu zgody, a Consent Mode dodatkowo przekazuje Google sygnał o stanie tej zgody.

Jak wygląda poprawne blokowanie skryptów w praktyce

Poprawna blokada nie jest jednym przełącznikiem, tylko kilkoma elementami, które muszą działać razem — od kategoryzacji tagów po test na czystej sesji przeglądarki.

• Kategoryzacja skryptów w CMP — każdy tag (analityczny, marketingowy, funkcjonalny) przypisany do kategorii zgody, z domyślnym stanem odmowy (denied) dla wszystkiego poza niezbędnymi.
• Blokada na poziomie Google Tag Managera — wyzwalacze tagów warunkowane zmienną zgody, nie samym załadowaniem strony; tag czeka na sygnał inicjalizacji i aktualizacji zgody, zanim się odpali.
• Skrypty ładowane asynchronicznie po zgodzie, a nie obecne w kodzie od razu jako znacznik bez żadnego warunku.
• Test w trybie incognito przed każdą zmianą bannera — jedyny pewny sposób, żeby zobaczyć, co faktycznie ładuje się na czystej sesji bez wcześniejszych zgód zapisanych w pamięci przeglądarki.

Ile kosztuje brak blokowania — kary i ryzyko

Egzekwowanie tego obowiązku nie jest teoretyczne. Francuski regulator CNIL nałożył w grudniu 2020 r. kary rzędu 100 mln euro na Google i 35 mln euro na Amazon za niedopełnienie wymogu blokowania cookies przed zgodą, a w styczniu 2022 r. kolejne kary rzędu 150 mln euro na Google i 60 mln euro na Facebooka za utrudnianie odmowy zgody względem jej udzielenia. W Polsce UODO na razie egzekwuje ten obowiązek rzadziej niż CNIL, ale ustawa Prawo komunikacji elektronicznej daje urzędowi te same narzędzia kontrolne, a europejskie organy nadzoru coraz częściej testują strony technicznie, nie tylko wizualnie.

Jak sprawdzić, czy Twoja strona faktycznie blokuje skrypty

Najszybszy sposób to otwarcie konsoli przeglądarki (zakładka Network) w trybie incognito, zanim klikniesz cokolwiek w bannerze — jeśli w żądaniach sieciowych widać już wywołania do google-analytics.com albo facebook.com/tr, blokada nie działa, niezależnie od tego, jak wygląda sam banner. Zrobiliśmy to sprawdzenie automatycznym narzędziem — nasz darmowy test Consent Mode i zgód cookies skanuje stronę w trzech przebiegach (przed zgodą, po akceptacji, po odmowie) i pokazuje dokładnie, które skrypty odpalają się, zanim powinny.

• Czy trackery (GA4, Meta Pixel, piksele reklamowe) milczą przed jakąkolwiek decyzją użytkownika
• Czy po odmowie zgody skrypty marketingowe zostają zablokowane trwale, nie tylko przy pierwszym załadowaniu strony
• Czy Consent Mode v2 przekazuje oba wymagane parametry — ad_user_data i ad_personalization
• Czy domyślny stan zgody to denied, a nie granted

Najczęstsze błędy przy blokowaniu skryptów

• Blokada tylko na pierwszej wizycie — po powrocie użytkownika bez poprawnie odczytanej zgody skrypty i tak się odpalają, bo cache przeglądarki „pamięta” starą decyzję inaczej, niż zakładał deweloper.
• CMP zintegrowany z bannerem, ale nie z Tag Managerem — banner wygląda poprawnie, lecz kontener GTM i tak ładuje wszystkie tagi od razu przy starcie strony.
• Blokada tylko w warstwie wizualnej — skrypt jest ukryty na ekranie, ale nadal wykonuje się i zapisuje cookies w tle.
• Wyjątek dla „ważnych” tagów marketingowych — część firm świadomie nie blokuje Google Ads czy Meta, bo „szkoda budżetu na naukę algorytmu” — to prosta droga do kary.
• Brak testu po każdej zmianie strony — nowy formularz, integracja czy skrypt czatu dokładany bez sprawdzenia, czy podlega tej samej blokadzie co reszta tagów.

Blokowanie skryptów przed zgodą to fundament, na którym stoi cały pomiar — jeśli ta warstwa przecieka, żadna optymalizacja kampanii w Google Ads czy Meta Ads nie ma solidnych danych wejściowych. Konfigurację server-side GTM i pomiaru w GA4 prowadzimy jako Zest zawsze od audytu warstwy zgody, bo błąd na tym poziomie skaża wszystkie liczby powyżej.

Chcesz sprawdzić, czy Twoja strona faktycznie blokuje skrypty, zanim użytkownik zdąży podjąć decyzję? Porozmawiajmy — audytujemy wdrożenie CMP razem z Consent Mode i pokazujemy, co realnie wycieka przed zgodą.

Najczęstsze pytania (FAQ)