Jakie dane można zbierać bez zgody RODO na stronie WordPress?

Każdy właściciel strony na WordPressie prędzej czy później zderza się z tematem RODO i banerów cookie. Większość poradników skupia się na tym, jak prawidłowo zebrać zgodę od użytkownika. To oczywiście kluczowe, ale często prowadzi do paraliżu decyzyjnego i nadgorliwości, w wyniku której blokowane są nawet te skrypty, które do działania nie potrzebują żadnej zgody.

Tymczasem istnieje cała kategoria danych i technologii, których można używać legalnie, zanim użytkownik kliknie „Akceptuję”. Zrozumienie tej granicy jest fundamentalne dla zachowania funkcjonalności serwisu, zapewnienia bezpieczeństwa i prowadzenia podstawowej analityki bez naruszania prywatności i przepisów. W tym artykule skupimy się właśnie na tym aspekcie – wyjaśnimy, jakie dane można zbierać bez zgody RODO i jak to rozróżnienie wpływa na konfigurację Twojej strony.

Zamiast koncentrować się na blokowaniu wszystkiego, pokażemy, co jest dozwolone i dlaczego. To wiedza, która pozwoli Ci świadomie zarządzać skryptami, zoptymalizować działanie strony i uniknąć częstych błędów, które mogą kosztować utratę funkcjonalności lub, w drugą stronę, naruszenie przepisów.

Zgoda to nie wszystko – inne podstawy prawne przetwarzania danych

Wokół RODO narosło wiele mitów, a jednym z największych jest przekonanie, że na każde przetwarzanie danych osobowych potrzebna jest zgoda. W rzeczywistości zgoda (art. 6 ust. 1 lit. a RODO) jest tylko jedną z sześciu równorzędnych podstaw prawnych. Inne to między innymi niezbędność do wykonania umowy czy prawnie uzasadniony interes administratora.

Jednak w kontekście plików cookie i technologii śledzących kluczowe znaczenie ma nie tylko RODO, ale także dyrektywa ePrivacy (w Polsce wdrożona w ustawie Prawo Telekomunikacyjne). To właśnie ona precyzuje, że przechowywanie informacji lub uzyskiwanie dostępu do informacji już przechowywanej w urządzeniu końcowym użytkownika (czyli np. używanie cookies) wymaga jego uprzedniej zgody.

Ale i tutaj istnieje ważny wyjątek. Zgoda nie jest wymagana, jeśli dany plik cookie jest „niezbędny do wykonania transmisji komunikatu za pośrednictwem publicznej sieci łączności elektronicznej lub do dostarczania usługi społeczeństwa informacyjnego, wyraźnie zażądanej przez abonenta lub użytkownika”. Mówiąc prościej: jeśli coś jest absolutnie kluczowe, by strona działała poprawnie lub by dostarczyć funkcję, o którą prosi użytkownik (np. dodanie produktu do koszyka), zgoda nie jest potrzebna.

Kategoria nr 1: Ciasteczka absolutnie niezbędne (strictly necessary)

Ciasteczka absolutnie niezbędne to fundament poprawnego działania Twojej strony internetowej. Bez nich podstawowe funkcje, których oczekują użytkownicy, po prostu by nie działały. Ważne jest, aby rozumieć tę kategorię w sposób ścisły – nie chodzi tu o pliki „przydatne” dla Ciebie jako właściciela strony (np. do analityki), ale o te, które są esencjonalne z perspektywy użytkownika.

Czym charakteryzują się niezbędne cookies?

Są kluczowe dla funkcjonalności: Umożliwiają nawigację po stronie, logowanie, korzystanie z koszyka zakupowego czy zapewnienie bezpieczeństwa.
Są oczekiwane przez użytkownika: Ich działanie jest bezpośrednio związane z akcją, którą podejmuje użytkownik (np. loguję się, więc oczekuję, że pozostanę zalogowany).
Mają ograniczony czas życia: Zazwyczaj są to ciasteczka sesyjne, które wygasają po zamknięciu przeglądarki, choć istnieją wyjątki (np. zapamiętanie wyboru języka).
Nie służą do śledzenia ani profilowania: Ich celem nie jest analiza zachowania użytkownika w celach marketingowych.

Interpretacja „niezbędności” musi być wąska. Jeśli masz wątpliwości, czy dany plik cookie jest niezbędny, prawdopodobnie nie jest. Europejskie organy ochrony danych wielokrotnie podkreślały, że ten wyjątek nie może być nadużywany do usprawiedliwiania stosowania ciasteczek analitycznych czy reklamowych bez zgody.

Praktyczne przykłady niezbędnych cookies w WordPress i WooCommerce

Aby przełożyć teorię na praktykę, przyjrzyjmy się konkretnym plikom cookie, które w typowej instalacji WordPressa i WooCommerce można uznać za niezbędne. Identyfikacja tych plików jest kluczowa przy konfiguracji banera zgód.

Ciasteczka sesyjne i uwierzytelniające WordPressa

Gdy logujesz się do panelu administracyjnego WordPressa lub na swoje konto klienta w sklepie, system musi jakoś zapamiętać, że jesteś zalogowany. Do tego służą ciasteczka uwierzytelniające.

wordpress_logged_in_[hash]: To ciasteczko potwierdza, że jesteś zalogowany. Bez niego musiałbyś wprowadzać login i hasło przy każdym przejściu na nową podstronę. Jest to klasyczny przykład ciasteczka niezbędnego do świadczenia usługi (utrzymania sesji).
wp-settings-{time}-[UID]: Przechowuje indywidualne ustawienia interfejsu panelu administracyjnego. Również uznawane za niezbędne do poprawnego działania usługi dla zalogowanego użytkownika.

Ciasteczka funkcjonalne WooCommerce

Sklep internetowy oparty na WooCommerce nie mógłby funkcjonować bez ciasteczek zarządzających procesem zakupowym. Użytkownik, dodając produkt do koszyka, jednoznacznie żąda tej funkcjonalności.

woocommerce_cart_hash: Zawiera informacje o zawartości koszyka i pozwala systemowi wiedzieć, kiedy dane w koszyku się zmieniają.
woocommerce_items_in_cart: Pomaga WooCommerce śledzić, ile produktów znajduje się w koszyku.
wp_woocommerce_session_: Zawiera unikalny kod dla każdego klienta, który pozwala powiązać zawartość koszyka z konkretnym użytkownikiem.

Inne przykłady niezbędnych skryptów i cookies

Bezpieczeństwo: Wiele wtyczek security (np. Wordfence) używa cookies do ochrony przed atakami typu CSRF (Cross-Site Request Forgery) lub do weryfikacji tożsamości. Zapewnienie bezpieczeństwa jest fundamentalną częścią usługi.
Load balancing (równoważenie obciążenia): Jeśli Twoja strona działa na kilku serwerach, ciasteczka mogą być używane do „przypinania” sesji użytkownika do jednego serwera, co zapewnia spójność i wydajność. To technicznie niezbędne do stabilnego działania serwisu.
Zapamiętanie wyboru dot. zgód: Paradoksalnie, ciasteczko, które przechowuje informację o tym, czy użytkownik udzielił zgody, czy jej odmówił, jest również uznawane za niezbędne. Bez niego musielibyśmy pytać o to samo przy każdej wizycie.

Czy analityka bez cookies (np. Plausible, Fathom) wymaga zgody?

To jedno z najciekawszych pytań ostatnich lat. W odpowiedzi na rosnącą potrzebę ochrony prywatności powstały narzędzia analityczne, które rezygnują z plików cookie i zbierają dane w sposób zanonimizowany. Czy to oznacza, że można ich używać bez zgody?

Odpowiedź brzmi: najczęściej tak, ale diabeł tkwi w szczegółach.

Narzędzia takie jak Plausible, Fathom czy Matomo (w trybie cookieless) zostały zaprojektowane, by nie zbierać danych osobowych. Kluczowe mechanizmy to:

Brak cookies: Nie przechowują żadnych plików na urządzeniu użytkownika.
Anonimizacja IP: Adresy IP są anonimizowane (np. przez usunięcie ostatniego oktetu) lub hashowane z tzw. „solą”, która zmienia się każdego dnia. Uniemożliwia to śledzenie tego samego użytkownika w dłuższym okresie.
Brak fingerprintingu: Nie tworzą unikalnego „odcisku palca” przeglądarki użytkownika.
Agregacja danych: Skupiają się na ogólnych trendach (liczba odwiedzin, najpopularniejsze strony, źródła ruchu), a nie na indywidualnych ścieżkach użytkowników.

Ponieważ tego typu analityka nie opiera się na dostępie do urządzenia użytkownika (brak cookies) i nie przetwarza danych osobowych w sposób umożliwiający identyfikację, można ją wdrożyć na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO), a nie zgody. Oczywiście, nadal należy poinformować o tym użytkowników w polityce prywatności.

Uzasadniony interes administratora – kiedy można go zastosować do śledzenia?

Prawnie uzasadniony interes to potężne, ale i wymagające narzędzie. Aby się na nie powołać, trzeba przeprowadzić tzw. test równowagi (LIA – Legitimate Interest Assessment), który składa się z trzech kroków:

Test celu: Czy cel przetwarzania jest prawnie uzasadniony? (np. analiza popularności treści w celu ulepszenia serwisu, zapewnienie bezpieczeństwa sieci).
Test konieczności: Czy przetwarzanie tych danych jest niezbędne do osiągnięcia tego celu? Czy nie da się go osiągnąć w mniej inwazyjny sposób?
Test równowagi: Czy interes administratora przeważa nad prawami, wolnościami i interesami osoby, której dane dotyczą?

W przypadku standardowej analityki (np. Google Analytics) test równowagi niemal zawsze wypada na niekorzyść administratora, ponieważ gromadzenie szczegółowych danych o zachowaniu, demografii i zainteresowaniach jest zbyt inwazyjne. Jednak w przypadku analityki cookieless, gdzie dane są zagregowane i zanonimizowane, szala przechyla się na korzyść administratora. Jego interes w zrozumieniu ogólnego ruchu na stronie nie narusza w znaczący sposób prywatności użytkowników.

Jak poprawnie skonfigurować baner, by nie blokował kluczowych skryptów?

Wiedząc już, które skrypty wymagają zgody, a które nie, kluczowe staje się odpowiednie wdrożenie banera cookie. Profesjonalna platforma do zarządzania zgodami (CMP), taka jak Cookiebaner, jest tutaj nieoceniona. Jej zadaniem jest:

Skanowanie strony i kategoryzacja skryptów: Automatyczne lub ręczne przypisanie każdego skryptu i ciasteczka do odpowiedniej kategorii (niezbędne, analityczne, marketingowe itp.).
Uruchamianie skryptów niezbędnych od razu: Skrypty z kategorii „niezbędne” muszą być ładowane natychmiast, jeszcze przed jakąkolwiek interakcją użytkownika z banerem. Błędna konfiguracja, która blokuje te skrypty, może zepsuć stronę.
Blokowanie pozostałych skryptów: Wszystkie inne skrypty (analityczne, reklamowe) muszą być domyślnie zablokowane i uruchamiane dopiero po uzyskaniu jednoznacznej, świadomej zgody użytkownika na daną kategorię.

Ręczne zarządzanie tym procesem za pomocą prostych wtyczek typu „ukryj baner po kliknięciu” jest nieskuteczne i niezgodne z prawem. Tylko zaawansowane narzędzie jest w stanie realnie zarządzać ładowaniem skryptów w zależności od wyborów użytkownika.

Checklista: Dane i skrypty, które (prawdopodobnie) nie wymagają zgody

Poniżej znajdziesz listę kontrolną, która pomoże Ci zidentyfikować elementy na Twojej stronie WordPress, które najprawdopodobniej mogą działać bez uprzedniej zgody użytkownika. Pamiętaj, że ostateczna ocena zawsze zależy od konkretnego wdrożenia.

✅ Ciasteczka sesyjne zalogowanego użytkownika (np. wordpress_logged_in_)
✅ Ciasteczka przechowujące zawartość koszyka w WooCommerce
✅ Ciasteczka zapamiętujące jednorazowy wybór (np. wersja językowa, zamknięcie pop-upu informacyjnego)
✅ Skrypty i ciasteczka zapewniające bezpieczeństwo (np. ochrona formularzy przed spamem, tokeny anty-CSRF)
✅ Skrypty do równoważenia obciążenia serwera (load balancing)
✅ Ciasteczko przechowujące ustawienia zgód (informacja o tym, co wybrał użytkownik)
✅ Skrypty analityki cookieless (np. Plausible), pod warunkiem anonimizacji danych i oparcia na uzasadnionym interesie

Ważna uwaga: Ta lista ma charakter informacyjny. Zawsze analizuj cel i sposób działania każdego skryptu. W razie wątpliwości skonsultuj się z ekspertem ds. ochrony danych lub prawnikiem.

FAQ – Najczęściej zadawane pytania

A co z Google Analytics? Czy mogę go używać bez zgody?

Nie. Standardowa implementacja Google Analytics (zarówno Universal Analytics, jak i GA4) instaluje pliki cookie, zbiera dane osobowe (jak identyfikatory online, adresy IP) i wykorzystuje je do tworzenia szczegółowych profili użytkowników. Takie działanie jest na tyle inwazyjne, że bezwzględnie wymaga uprzedniej, świadomej zgody. Istnieją zaawansowane tryby (np. Consent Mode v2, wdrożenia server-side), które modyfikują jego działanie, ale podstawowa zasada pozostaje ta sama: na pełne śledzenie potrzebna jest zgoda.

Mój motyw WordPress ustawia jakieś ciasteczka. Czy są one niezbędne?

To zależy. Należy dokładnie sprawdzić, do czego służy dany plik cookie. Czasami motywy używają ich do przechowywania preferencji wizualnych (np. tryb ciemny/jasny), co można uznać za funkcję żądaną przez użytkownika. Jednak wiele motywów niestety dołącza skrypty śledzące lub analityczne od swoich twórców, które absolutnie nie są niezbędne i wymagają zgody. Zawsze audytuj ciasteczka dodawane przez motywy i wtyczki.

Czy muszę informować o niezbędnych ciasteczkach?

Tak. Brak wymogu uzyskania zgody nie zwalnia z obowiązku informacyjnego. Użytkownik ma prawo wiedzieć, jakie technologie są używane na Twojej stronie. Informacje o niezbędnych plikach cookie, ich celu i czasie przechowywania powinny znaleźć się w Twojej Polityce Prywatności lub Polityce Cookies. Przejrzystość jest kluczowa dla budowania zaufania.