Google Analytics a zgoda użytkowników - jak to zrobić zgodnie z polskim prawem

Google Analytics jest na większości polskich stron firmowych, w sklepach i na blogach. Bardzo często trafia tam w najprostszy sposób: ktoś wkleja kod do motywu albo włącza go jedną opcją we wtyczce. Termly w swoim poradniku z października 2026 r. przypomina, że takie podejście nie wystarcza - korzystanie z GA podlega przepisom o ochronie danych, a strona musi zarządzać zgodą odwiedzających. Amerykański poradnik skupia się na RODO i prawie USA. Poniżej przekładamy te zasady na realia polskiej strony.

Co Google Analytics wie o odwiedzającym

Termly opisuje trzy podstawowe sposoby, w jakie Google Analytics przetwarza dane osób odwiedzających stronę:

• cookies - skrypt generuje losowy, unikalny identyfikator klienta, który pozwala łączyć działania w ramach wizyt, zwykle bez zapisywania imion czy adresów e-mail;
• adresy IP - GA domyślnie nie przechowuje pełnych adresów IP, używa ich do przybliżonego ustalenia lokalizacji i podstawowych zabezpieczeń;
• identyfikatory w aplikacjach - w aplikacjach mobilnych losowy identyfikator tworzy zestaw narzędzi programistycznych (SDK).

Na tej podstawie właściciel strony dostaje raporty: liczbę nowych i powracających użytkowników, dane demograficzne (przybliżona lokalizacja, język, wiek, zainteresowania), przeglądarki i urządzenia, odsłony, czas zaangażowania, zdarzenia (kliknięcia, odtworzenia wideo, pobrania plików, przewijanie), źródła ruchu, dane kampanii z parametrami UTM i konwersje, np. zakup albo zapis na newsletter.

Brak imienia i nazwiska nie oznacza braku danych osobowych. Identyfikator przypisany do przeglądarki pozwala wyodrębnić konkretną osobę spośród innych odwiedzających, a RODO wprost wymienia identyfikatory internetowe wśród danych osobowych. Termly słusznie zwraca uwagę, że wiele z tych informacji mieści się w szerokiej definicji danych osobowych.

Jakie przepisy obowiązują polską stronę

Termly wymienia RODO, dyrektywę ePrivacy oraz szereg przepisów amerykańskich i brazylijskich. Dla strony kierowanej do odbiorców w Polsce kluczowe są dwa akty:

• Prawo komunikacji elektronicznej (PKE), art. 399 - polskie wdrożenie dyrektywy ePrivacy. Przechowywanie informacji w urządzeniu użytkownika i dostęp do nich wymaga zgody, chyba że jest to niezbędne do dostarczenia usługi, o którą użytkownik prosi. Cookies analityczne nie są niezbędne, więc GA wymaga zgody.
• RODO - reguluje dalsze przetwarzanie danych zebranych przez GA: obowiązek informacyjny, podstawę prawną, prawa osób, których dane dotyczą, i obowiązek wykazania, że zgoda została wyrażona (art. 7 ust. 1).

Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Zaznaczone z góry pola, „dalsze korzystanie ze strony oznacza zgodę” czy baner bez przycisku odmowy tego warunku nie spełniają. Wycofanie zgody ma być tak samo łatwe jak jej wyrażenie (art. 7 ust. 3 RODO).

Dane trafiają do Google - co z tego wynika

Termly odpowiada wprost: jeśli korzystasz z Google Analytics, udostępniasz dane o użytkownikach podmiotowi trzeciemu, czyli Google, który ma dostęp do zebranych informacji. W GA4 cookies takie jak _ga są zapisywane w domenie Twojej strony, ale dane z nich i tak trafiają na serwery Google.

Dla polskiej strony oznacza to trzy rzeczy. Po pierwsze, w polityce prywatności trzeba wskazać Google jako odbiorcę danych. Po drugie, warto zaakceptować warunki przetwarzania danych w ustawieniach konta Google Analytics. Po trzecie, w obowiązku informacyjnym należy wspomnieć o przekazywaniu danych poza Europejski Obszar Gospodarczy.

Sześć elementów zgodnego wdrożenia

Termly wymienia sześć narzędzi, które pozwalają legalnie zarządzać zgodą na GA. Każde ma swój odpowiednik w polskiej praktyce:

1. Prawidłowo skonfigurowany baner zgody. W Polsce oznacza to model opt-in: GA nie uruchamia się, dopóki odwiedzający nie kliknie „Akceptuję” albo nie włączy kategorii statystycznej. Przyciski „Akceptuję” i „Odrzucam” powinny być równie widoczne.
2. Link do polityki cookies na banerze. Odwiedzający musi wiedzieć, na co się zgadza, zanim kliknie.
3. Polityka cookies z listą cookies GA. Nazwy, cel, czas przechowywania i informacja, że dostawcą jest Google.
4. Centrum preferencji. Stały link albo ikona, dzięki którym można w każdej chwili zmienić decyzję - także cofnąć zgodę na analitykę.
5. Rejestr zgód. Termly radzi przechowywać zapisy decyzji na wypadek audytu lub postępowania. W Polsce wynika to wprost z obowiązku wykazania zgody w RODO.
6. Formularz realizacji praw. Odpowiednik amerykańskiego DSAR - prosty sposób, by złożyć wniosek o dostęp do danych, ich usunięcie czy sprzeciw.

Consent Mode v2: jak zgoda dociera do GA4

Żeby GA4 respektował decyzję z banera, trzeba mu ją przekazać. Służy do tego Google Consent Mode v2 - mechanizm, w którym baner ustawia stan zgody, a tagi Google dostosowują swoje działanie. Domyślnie wszystkie sygnały mają wartość denied, a baner zmienia je na granted po zgodzie.

Sygnał	Czego dotyczy	Kategoria w banerze
analytics_storage	Cookies analityczne GA4	Statystyczne
ad_storage	Cookies reklamowe	Marketingowe
ad_user_data	Przekazywanie danych do reklam Google	Marketingowe
ad_personalization	Reklamy spersonalizowane, remarketing	Marketingowe

Consent Mode działa w dwóch trybach. W podstawowym tagi Google nie ładują się wcale przed zgodą. W zaawansowanym ładują się, ale bez zgody nie zapisują cookies i wysyłają jedynie sygnały bez identyfikatorów, na podstawie których Google modeluje brakujące dane. Wybór trybu warto świadomie opisać w polityce cookies.

Jak sprawdzić, czy to działa? Najprostszy test zajmie kilka minut i nie wymaga specjalnych narzędzi:

1. Otwórz stronę w oknie prywatnym przeglądarki, nie klikaj nic w banerze.
2. Uruchom narzędzia deweloperskie (F12), zakładka z danymi aplikacji, sekcja cookies. Przed decyzją nie powinno tam być cookies zaczynających się od _ga.
3. Kliknij „Odrzucam” i odśwież stronę. Cookies _ga nadal nie powinny się pojawić.
4. Wyczyść dane strony, wejdź ponownie i kliknij „Akceptuję”. Teraz cookies GA powinny zostać zapisane.
5. Otwórz centrum preferencji, wyłącz statystyki i sprawdź, czy strona przestaje zapisywać nowe dane analityczne.

Przykład z praktyki: sklep internetowy na WordPressie ma wtyczkę banera i osobną wtyczkę „GA4 jednym kliknięciem”. Baner działa, ale druga wtyczka wstrzykuje tag Google przed nim, więc punkt 2 testu wypada negatywnie. Rozwiązaniem jest jedno miejsce, z którego ładowane są wszystkie tagi - menedżer tagów albo sam baner - i usunięcie kodu wstawianego bokiem.

Najczęstsze błędy na polskich stronach

Przeglądając strony sklepów, firm usługowych i blogów, najczęściej trafiamy na te same problemy. Większość z nich wynika nie ze złej woli, tylko z tego, że kod analityczny i baner wdrażały różne osoby w różnym czasie:

• Kod GA wklejony w motyw obok banera. Baner się wyświetla, a GA i tak startuje od razu.
• Brak przycisku „Odrzucam” na pierwszym ekranie. Odmowa schowana w ustawieniach to nacisk na zgodę.
• Consent Mode ustawiony domyślnie na granted. Formalnie mechanizm jest, ale nie chroni nikogo.
• Brak możliwości zmiany decyzji. Baner znika na zawsze po pierwszym kliknięciu.
• Polityka cookies skopiowana z innej strony. Wymienia narzędzia, których nie ma, a pomija te, które działają.
• Brak dowodu zgody. Przy skardze albo kontroli nie ma czym wykazać, że odwiedzający się zgodził.

Najczęstsze pytania

Czy Google Analytics 4 wymaga zgody, skoro nie przechowuje pełnego IP?

Tak. Zgodę na podstawie art. 399 PKE wywołuje już samo zapisanie identyfikatora w przeglądarce, niezależnie od tego, jak Google traktuje adres IP.

Czy mogę uruchomić GA na podstawie prawnie uzasadnionego interesu?

Nie w zakresie cookies. Dostęp do urządzenia na potrzeby analityki wymaga zgody z PKE, więc interes prawnie uzasadniony z RODO tego nie zastąpi.

Jak długo przechowywać zapisy zgód?

Tak długo, jak może być potrzebne wykazanie zgody - co najmniej przez czas jej obowiązywania i ewentualnych roszczeń. Okres warto opisać w polityce prywatności.

Jak pomaga CookieBanerPro

Termly słusznie zauważa, że ręczne wdrożenie tych wszystkich elementów wymaga sporo czasu, wiedzy technicznej i znajomości przepisów. CookieBanerPro łączy je w jednym miejscu: baner z równorzędnymi przyciskami blokuje GA do czasu zgody i przekazuje decyzję do Google Consent Mode v2, ikona preferencji pozwala ją zmienić w każdej chwili, rejestr zgód przechowuje dowód decyzji, a generator polityk przygotuje politykę cookies i prywatności z opisem Google Analytics po polsku.

Źródło: Termly

Google Analyticszgoda na cookiesConsent Mode v2RODOPrawo komunikacji elektronicznej