Blokowanie skryptów przed zgodą na cookies: czy to prawny obowiązek

Banner cookies, który tylko wyświetla komunikat i nie wstrzymuje ładowania Google Analytics czy Meta Pixela, nie spełnia wymogów prawa. Od 10 listopada 2024 r. w Polsce obowiązuje ustawa Prawo komunikacji elektronicznej, która wprost wymaga, żeby skrypty niebędące niezbędnymi nie uruchamiały się, dopóki użytkownik nie wyrazi zgody. To wymóg techniczny, który regulatorzy (w Polsce Prezes UKE, we Francji CNIL) coraz częściej sprawdzają wprost w kodzie strony.

Czym jest blokowanie skryptów przed zgodą

Blokowanie skryptów przed zgodą oznacza, że kod śledzący (tag Google Analytics 4, Meta Pixel, piksel LinkedIn czy skrypt czatu) fizycznie nie wykonuje się w przeglądarce użytkownika, dopóki ten nie kliknie „akceptuję” w bannerze zgody. Skrypt może być obecny w kodzie strony, ale jego uruchomienie wstrzymuje CMP (Consent Management Platform) do momentu decyzji odwiedzającego.

To odróżnia blokowanie od samego wyświetlenia bannera. W wielu wdrożeniach banner jest tylko warstwą wizualną nałożoną na skrypty działające od pierwszej milisekundy wczytania strony: użytkownik widzi pytanie o zgodę, a w tle Google Analytics już zapisuje mu cookie i wysyła zdarzenie odsłony.

Czy blokowanie skryptów przed zgodą jest wymagane prawem

Tak, to obowiązek prawny. W Polsce od 10 listopada 2024 r. obowiązuje ustawa Prawo komunikacji elektronicznej, która zastąpiła dotychczasowy art. 173 Prawa telekomunikacyjnego i wprost wymaga uzyskania zgody użytkownika, zanim na jego urządzeniu zapisze się jakikolwiek plik cookie inny niż niezbędny do działania usługi. RODO reguluje samą zgodę: musi być dobrowolna, konkretna, świadoma i jednoznaczna. Obowiązek dotyczący plików cookie i podobnych technologii śledzących nakłada natomiast ustawa o komunikacji elektronicznej, która implementuje unijną dyrektywę ePrivacy.

Jeśli skrypt uruchamia się i zapisuje cookie, zanim użytkownik zdąży cokolwiek kliknąć, zgoda zebrana sekundę później jest prawnie bezwartościowa, bo dane wyciekły przed decyzją. Dlatego sam banner z przyciskiem „akceptuję” nie wystarcza. Potrzebujesz technicznej blokady, która faktycznie wstrzymuje wykonanie kodu.

Consent Mode v2 to nie to samo, co blokowanie skryptów

Częste nieporozumienie: wdrożenie Google Consent Mode v2 bywa mylone z pełnym blokowaniem skryptów, a to dwa różne mechanizmy. Consent Mode steruje tagami Google i tylko nimi. W trybie zaawansowanym (Advanced) tag Google ładuje się i uruchamia od razu, a bez zgody wysyła pomiary bez plików cookie; tryb podstawowy (Basic) wstrzymuje tagi Google do decyzji użytkownika (dokumentacja Google). Sam mechanizm Consent Mode opisaliśmy szerzej w tekście o Consent Mode v2 i utracie danych.

To ważna różnica prawna: Consent Mode reguluje, co Google robi z danymi po swojej stronie, ale nie zwalnia Cię z obowiązku niewłączania zbędnych cookies w przeglądarce użytkownika. Prawidłowe wdrożenie łączy oba mechanizmy: CMP blokuje wykonanie skryptu do czasu zgody, a Consent Mode dodatkowo przekazuje Google sygnał o stanie tej zgody.

Jak wygląda poprawne blokowanie skryptów w praktyce

Poprawna blokada składa się z kilku elementów, które muszą działać razem: od kategoryzacji tagów po test na czystej sesji przeglądarki.

• Kategoryzacja skryptów w CMP — każdy tag (analityczny, marketingowy, funkcjonalny) przypisany do kategorii zgody, z domyślnym stanem odmowy (denied) dla wszystkiego poza niezbędnymi.
• Blokada na poziomie Google Tag Managera — wyzwalacze tagów warunkowane zmienną zgody zamiast samego załadowania strony; tag czeka na sygnał inicjalizacji i aktualizacji zgody, zanim się odpali.
• Skrypty ładowane asynchronicznie dopiero po zgodzie zamiast znacznika wpiętego w kod strony bez żadnego warunku.
• Test w trybie incognito przed każdą zmianą bannera — jedyny pewny sposób, żeby zobaczyć, co faktycznie ładuje się na czystej sesji bez wcześniejszych zgód zapisanych w pamięci przeglądarki.

Ile kosztuje brak blokowania — kary i ryzyko

Egzekwowanie tego obowiązku nie jest teoretyczne. Francuski regulator CNIL nałożył w grudniu 2020 r. kary 100 mln euro na Google (decyzja SAN-2020-012) i 35 mln euro na Amazon (decyzja SAN-2020-013) za niedopełnienie wymogu blokowania cookies przed zgodą, a w styczniu 2022 r. kolejne kary 150 mln euro na Google (decyzja SAN-2021-023) i 60 mln euro na Facebooka (decyzja SAN-2021-024) za utrudnianie odmowy zgody względem jej udzielenia (decyzje z 31 grudnia 2021 r., ogłoszone w styczniu 2022 r.). W Polsce przepisy o cookies, czyli art. 399 ustawy Prawo komunikacji elektronicznej (Dz.U. 2024 poz. 1221), egzekwuje Prezes UKE. Ustawa pozwala mu nałożyć karę pieniężną za ich naruszenie (art. 444 i 446). UODO wchodzi do gry wtedy, gdy przy okazji dochodzi do naruszenia RODO, np. przetwarzania danych osobowych bez podstawy prawnej. Europejskie organy nadzoru coraz częściej testują strony także technicznie, w kodzie i ruchu sieciowym.

Jak sprawdzić, czy Twoja strona faktycznie blokuje skrypty

Najszybszy sposób to otwarcie konsoli przeglądarki (zakładka Network) w trybie incognito, zanim klikniesz cokolwiek w bannerze. Jeśli w żądaniach sieciowych widać już wywołania do google-analytics.com albo facebook.com/tr, blokada nie działa, niezależnie od tego, jak wygląda sam banner. To samo sprawdzenie robi automatycznie nasz darmowy test Consent Mode i zgód cookies: skanuje stronę w trzech przebiegach (przed zgodą, po akceptacji, po odmowie) i pokazuje dokładnie, które skrypty odpalają się, zanim powinny.

• Czy trackery (GA4, Meta Pixel, piksele reklamowe) milczą przed jakąkolwiek decyzją użytkownika
• Czy po odmowie zgody skrypty marketingowe zostają zablokowane trwale, nie tylko przy pierwszym załadowaniu strony
• Czy Consent Mode v2 przekazuje oba wymagane parametry: ad_user_data i ad_personalization
• Czy domyślny stan zgody to denied (odmowa)

Najczęstsze błędy przy blokowaniu skryptów

• Blokada tylko na pierwszej wizycie — po powrocie użytkownika bez poprawnie odczytanej zgody skrypty i tak się odpalają, bo zapis zgody w pliku cookie albo localStorage „pamięta” starą decyzję inaczej, niż zakładał deweloper.
• CMP zintegrowany z bannerem, ale nie z Tag Managerem — banner wygląda poprawnie, lecz kontener GTM i tak ładuje wszystkie tagi od razu przy starcie strony.
• Blokada tylko w warstwie wizualnej — skrypt jest ukryty na ekranie, ale nadal wykonuje się i zapisuje cookies w tle.
• Wyjątek dla „ważnych” tagów marketingowych — część firm świadomie nie blokuje Google Ads czy Meta, bo „szkoda budżetu na naukę algorytmu”. To prosta droga do kary.
• Brak testu po każdej zmianie strony — nowy formularz, integracja czy skrypt czatu dokładany bez sprawdzenia, czy podlega tej samej blokadzie co reszta tagów.

Blokowanie skryptów przed zgodą to fundament, na którym stoi cały pomiar. Jeśli ta warstwa przecieka, żadna optymalizacja kampanii w Google Ads czy Meta Ads nie ma solidnych danych wejściowych. Konfigurację server-side GTM i pomiaru w GA4 prowadzimy jako Zest zawsze od audytu warstwy zgody, bo błąd na tym poziomie skaża wszystkie liczby powyżej. Czy GA4 poprawnie mierzy ruch po zgodzie, sprawdzisz w naszym darmowym audycie GA4.

Chcesz sprawdzić, czy Twoja strona faktycznie blokuje skrypty, zanim użytkownik zdąży podjąć decyzję? Porozmawiajmy. Audytujemy wdrożenie CMP razem z Consent Mode i pokazujemy, co wycieka przed zgodą.

Najczęstsze pytania (FAQ)