Czym jest audyt banera cookies? (Checklista 2026)
Audyt banera sprawdza projekt, domyślne wartości, dark patterns oraz wszystko, co ładuje się przed jakimkolwiek gestem zgody. Ścieżki po Akceptuj i Odrzuć trzeba przejść ręcznie. Checklista 2026.
Baner cookies to najczęściej audytowana powierzchnia zgodności. Pierwsza rzecz, którą widzi regulator; najłatwiejsza do uchwycenia dla skarżącego; źródło większości publicznych kar RODO.
Audyt banera cookies mówi, czy Twój przeszedłby kontrolę. Oto checklista 2026.
Co audytor sprawdza
1. Pierwsze wrażenie
- Baner pojawia się przed każdym nieesencjalnym skryptem.
- Widoczny bez przewijania, także na wąskim mobile. Sprawdź to ręcznie przy realnej szerokości telefonu: automatyczne skanery, nasz również, renderują w jednym widoku desktopowym i nigdy nie zobaczą banera, który psuje się dopiero przy 375px.
- Nie zamyka się automatycznie.
2. Wybory na pierwszej warstwie
- Akceptuj i Odrzuć na tym samym poziomie i z porównywalnym ciężarem.
- Trzecia opcja "Zarządzaj preferencjami".
- Bez zaznaczonych domyślnie pól.
3. Warstwa granularna
- Minimum: ściśle niezbędne, funkcjonalne, statystyczne, marketingowe.
- Opis kategorii prostym językiem.
- Bez "uzasadnionego interesu" dla reklam.
- Przycisk "Zapisz" respektujący wybory częściowe.
4. Wycofanie zgody
- Stały link "Cookies" w stopce otwiera ten sam baner.
- Wycofanie tak proste jak udzielenie.
5. Weryfikacja zachowania (ręcznie)
Tego kroku nie wykona za Ciebie żaden skaner i warto zrozumieć dlaczego. Sprawdzenie, co dzieje się po Akceptuj albo po Odrzuć, wymaga kliknięcia Akceptuj albo Odrzuć, a kliknięcie jest gestem zgody. Crawler, który naciśnie przycisk, niszczy dokładnie ten pomiar, który liczy się najbardziej: co Twoja strona ładuje odwiedzającemu, który jeszcze niczego nie wybrał. Veracly podejmuje tę decyzję świadomie, my wykonujemy pomiar przed zgodą, a ścieżki po niej zostawiamy Tobie. W świeżym oknie prywatnym odśwież po każdej ścieżce, Akceptuj, Odrzuć, częściowy wybór granularny, i sprawdź, czy skrypty respektują wybór. Częsty błąd: kontener GTM ładujący się bezwarunkowo.
Dark patterns wskazane przez regulatorów
- Brak Odrzuć na pierwszej warstwie.
- Zaznaczone domyślnie pola.
- Wyszarzony Odrzuć, zielony Akceptuj.
- Wprowadzający w błąd język.
- Uzasadniony interes dla reklam.
- Cookie wall bez alternatywy.
- Powtórne pytanie po odrzuceniu.
Veracly odwiedza stronę jako nowy użytkownik i rejestruje wywołania sieciowe do podmiotów trzecich, pliki cookie oraz klucze pamięci przeglądarki, które pojawiają się przed jakimkolwiek gestem zgody. Żądania do Twojego własnego hosta nie są rejestrowane, a pamięć odczytujemy jako nazwy kluczy i baz, nigdy jako wartości. Następnie badamy sam kod banera, parytet przycisku Odrzuć, opcje odrzucenia ukryte w podmenu lub wypchnięte poza widok, wstępnie zaznaczone kategorie. Ustalenia dotyczące banera niosą jedną parę odniesień, decyzję CNIL 2020-091 i raport EDPB Cookie Banner Taskforce; nie dopasowujemy cytowania do UODO ani do innego krajowego organu. Jeśli przycisków banera nie da się wyliczyć, werdykt o parytecie zostaje wstrzymany, a nie zgadnięty. Uruchom skan.
Częste pytania
Czy baner cookies jest obowiązkowy?
Tak, gdy używane są nieesencjalne cookies lub trackery a użytkownicy UE/UK mogą dotrzeć do strony. Podstawa: art. 5(3) ePrivacy, w Polsce art. 397 Prawa komunikacji elektronicznej (obowiązuje od 10 listopada 2024 i zastąpił uchylony art. 173 Prawa telekomunikacyjnego), oraz art. 7 RODO.
Co czyni baner niezgodnym?
Odrzuć ukryte za linkiem ustawień, zaznaczone domyślnie kategorie, tracking przed interakcją, brak granularnych przełączników, "dalsze korzystanie oznacza zgodę", trudne wycofanie.
Czy Akceptuj i Odrzuć muszą być na tym samym poziomie?
We Francji tak: decyzja CNIL 2020-091 wymaga, by odmowa była możliwa na pierwszej warstwie jednym kliknięciem, skoro zgoda jest. EDPB Cookie Banner Taskforce podaje, że zdecydowana większość, choć nie wszystkie, krajowych organów oczekuje opcji odmowy na każdej warstwie z przyciskiem zgody. Włochy stanowią częściowy wyjątek: Garante (provvedimento 231/2021) uznaje zamknięcie krzyżykiem za skuteczną odmowę na pierwszej warstwie. Projekt, który spełnia wymagania wszędzie: równoważne przyciski na pierwszej warstwie plus link do ustawień granularnych.
A kolor przycisku Odrzuć?
Nie istnieje ogólnounijna reguła kolorów. EDPB Cookie Banner Taskforce wprost odmówiła narzucenia ogólnego standardu koloru lub kontrastu; potępia wyłącznie kontrast, przy którym tekst staje się nieczytelny. Włochy pozostają najsurowszym wyjątkiem. Bezpieczne wszędzie: dwa elementy, które oba czyta się jako przyciski, o porównywalnym rozmiarze i ciężarze, różniące się kolorem, a nie widocznością. Wyszarzenie Odrzuć lub stylizacja jako tekst ciągły to wzorzec, który ściąga skargi.
Sprawdź, jak wypada Twoja strona.
Uruchom bezpłatny skan Veracly i otrzymaj raport wielo-jurysdykcyjny, EAA, RODO, ADA, UK Equality Act, AODA, z gotowymi do wklejenia poprawkami dla programistów.
Uruchom bezpłatny skan