Bannery cookie, które nic nie zmieniają: trackery przed zgodą

Banner to część widoczna. Liczy się to, jakie żądania opuszczają przeglądarkę przed kliknięciem Akceptuję — i jak je zobaczyć.

Prywatność · Opublikowano: 28 sierpnia 2026 · 3 min czytania · Ольга Мирошник

Baner zgody ma dziś niemal każda witryna. Zaskakująco wiele z nich jest dekoracyjnych: skrypty, które baner ma przytrzymać, zdążyły się załadować, zanim się pojawił. Baner prosi o zgodę na coś, co już się wydarzyło.

Na co naprawdę patrzy regulator

Nie na wygląd banera. Pytanie jest wąskie i techniczne: czy między załadowaniem strony a kliknięciem Akceptuję opuściło przeglądarkę cokolwiek, co identyfikuje odwiedzającego? Wliczają się w to sygnały analityczne, piksele reklamowe, nagrywarki sesji, osadzone odtwarzacze wideo, widżety czatu, usługi czcionek logujące IP i każde cookie z identyfikatorem w środku.

Wynikają z tego dwie rzeczy. Odmowa musi być tak samo łatwa jak zgoda — przycisk "Odrzuć wszystko" na pierwszym ekranie, a nie trzy kliknięcia w głąb ustawień. A wstępnie zaznaczone pole nigdzie w UE nie jest zgodą; przesądziła to sprawa Planet49.

Skąd biorą się wycieki

Menedżery tagów. Sam kontener zwykle jest nieszkodliwy; tagi w środku odpalają się przy odsłonie, o ile każdy z nich nie jest powiązany z wyzwalaczem zgody. Jeden zapomniany tag to jedno naruszenie.

Osadzenia zewnętrzne. Iframe YouTube albo mapa ustawiają cookie w chwili renderowania. Lekiem jest zastępnik ładowany po kliknięciu, a nie akapit w polityce.

Złudzenie własnego hostingu. Czcionka albo skrypt z CDN wysyła IP odwiedzającego do tego CDN. To transfer danych niezależnie od tego, czy uważasz CDN za tracker.

Sam skrypt banera. Kilka platform zgód ustawia identyfikator przed jakimkolwiek wyborem — jak na ironię, właśnie to narzędzie kupiono dla zgodności.

Jak zobaczyć prawdę

Czytanie kodu nie odpowie; odpowie sieć. Otwórz stronę w czystym profilu, nie klikaj niczego i zapisz wszystkie żądania:

żądania przed zgodą
  .filter(r => r.ustawiaCookie || r.zewnętrzne)
  .groupBy(r => r.domena)

Wszystko na tej liście, co nie jest ściśle niezbędne do działania strony, jest znaleziskiem. Powtórz po kliknięciu "Odrzuć wszystko" — przygnębiająco wiele witryn wysyła te same żądania w obu przypadkach. I jeszcze raz po "Akceptuję", by potwierdzić, że tagi, które mają się odpalić, faktycznie to robią.

Strony, o których się zapomina

Stan zgody musi obowiązywać w całej witrynie, nie tylko na stronie głównej. Landingi kampanijne budowane poza CMS-em, stare mikrowitryny na subdomenie, koszyk i wszystko serwowane innym stosem — tam mieszkają wyjątki. Crawl po każdej podstronie je znajdzie, ręczne sprawdzenie strony głównej nigdy.

Utrzymuj strony prawne w prawdzie

Polityka prywatności powinna wymieniać tych samych przetwarzających, których widać w logu sieciowym. Gdy oba się rozjeżdżają, nieaktualna jest prawie zawsze polityka: dostawcę zmieniono rok temu i nikt nie powiedział prawnikom. Zestawienie polityki, listy cookie i faktycznych żądań zajmuje jeden crawl i zamyka pytanie, na które inaczej trzeba będzie odpowiedzieć regulatorowi pod presją czasu.