Ciasteczka i zgody: co się dzieje, zanim klikniesz „akceptuję”

Ciasteczko to nie program. To karteczka z numerkiem

Zacznijmy od słowa, które brzmi groźniej, niż jest.

Ciasteczko to mały zapis, który strona zostawia w Twojej przeglądarce. Nic nie robi samo z siebie. Nie chodzi, nie liczy, nie wysyła. Leży i czeka, aż ktoś je odczyta.

Google w pomocy do Chrome tłumaczy to prosto. Pliki cookie tworzą witryny, które odwiedzasz, po to, żeby ułatwić Ci korzystanie z sieci. Dzięki nim strona wie, że jesteś zalogowany, i pamięta Twoje wybory.

Najbliższy obraz to numerek z szatni. Sam numerek nic o Tobie nie mówi. Ale ten, kto ma wieszak, po numerku od razu wie, który płaszcz jest Twój.

To porównanie ma jedną granicę i warto ją znać. Numerek z szatni oddajesz przy wyjściu. Ciasteczko zostaje u Ciebie i czeka na następny raz.

I teraz rzecz, która dzieli wszystko na dwie kupki. Ciasteczka bywają własne i cudze.

Własne zakłada strona, na której właśnie jesteś. To one pamiętają, że jesteś zalogowany i że wybrałeś polski język. Bez nich sklep gubiłby koszyk przy każdym kliknięciu.

Warto to docenić, bo o własnych ciasteczkach mało kto mówi dobrze. To dzięki nim nie logujesz się od nowa na każdej podstronie.

Sklep bez nich musiałby pytać o wszystko za każdym razem. Kto by tam wtedy cokolwiek kupił.

Cudze zakłada ktoś inny, czyj kawałek siedzi na tej stronie. Google wyjaśnia, że inne witryny mogą ich używać do dopasowania treści i poznawania działań na wielu stronach.

Ta druga kupka jest powodem, dla którego w ogóle powstały ramki ze zgodą. Nie chodzi o to, że strona pamięta Twój koszyk. Chodzi o to, że ktoś trzeci widzi Cię na wielu stronach naraz.

Dlatego pytanie „czy ciasteczka są niebezpieczne” nie ma jednej odpowiedzi. Numerek z szatni nie jest niebezpieczny. Numerek czytany w wielu miejscach to już inna rozmowa. Ten drugi mechanizm opisaliśmy szerzej we wpisie o tym, dlaczego reklama chodzi za Tobą po internecie.

Co się dzieje w tej sekundzie, zanim klikniesz

Wygląda to na jedno zdarzenie, a jest ich kilka i mają kolejność.

Najpierw wczytuje się strona. Potem widać ramkę. I dopiero potem, w zależności od tego, co klikniesz, odzywają się narzędzia pomiarowe albo nie odzywają wcale.

To ostatnie zdanie jest sednem. Narzędzia nie czekają w kolejce po prostu grzecznie. Ktoś musiał je tak ustawić.

Google nazywa ten mechanizm trybem uzyskiwania zgody. W swojej dokumentacji opisuje go tak: pozwala dostosowywać działanie tagów na podstawie wyborów użytkowników dotyczących zgody.

Rozłóżmy to na czynniki. Tag to mały kawałek kodu, który mierzy jedną rzecz. Zgoda to Twoje kliknięcie. Tryb zgody to reguła, która łączy jedno z drugim.

Bez tej reguły ramka jest tylko obrazkiem. Klikasz, ona znika, a pod spodem wszystko może działać tak samo jak wcześniej. Podobną różnicę między tekstem a zapisem w systemie pokazujemy we wpisie o tym, co oznacza kliknięcie zgody w formularzu.

Da się to sprawdzić po jednym objawie. Wejdź na stronę, nie klikaj nic w ramce i zobacz, czy coś już się u Ciebie zapisało.

Jeśli tak, to ramka pyta o zgodę już po fakcie. Pyta grzecznie, tylko trochę za późno.

Skąd się to bierze? Rzadko ze złej woli. Częściej stąd, że ramkę wkleił kto inny niż ten, kto wpinał narzędzia, i nikt tych dwóch rzeczy nie zestawił ze sobą.

To jest różnica, której z zewnątrz nie widać. Dwie strony mogą mieć identyczną ramkę i zachowywać się zupełnie inaczej.

Jeśli prowadzisz stronę, to właśnie tu leży cała robota. Nie w tym, żeby ramka ładnie wyglądała, tylko w tym, żeby kliknięcie faktycznie coś zmieniało.

A jeśli tylko odwiedzasz strony, warto wiedzieć, że Twój wybór jest wart tyle, ile ustawienia po drugiej stronie. Nie ma jak tego sprawdzić z zewnątrz i nie ma sensu udawać, że jest.

Nie jeden przełącznik, tylko siedem

Ramka ma zwykle dwa guziki. Pod spodem nie ma dwóch stanów, tylko siedem osobnych.

Google ma siedem nazwanych rodzajów zgody i każdy dotyczy czegoś innego. Można się zgodzić na jedno, a odmówić drugiego, i to nie jest sprzeczność.

Warto na tę listę spojrzeć, choćby raz. Nagle widać, że „zgadzam się na ciasteczka” to skrót myślowy, który skleja siedem różnych decyzji w jedną.

Zwróć uwagę na dwie ostatnie pozycje. Zgoda na logowanie i na wykrywanie oszustw to też rodzaje zgody, tylko nikt o nich nie myśli, bo nikt ich nie odrzuca.

Jest w tej siódemce jeszcze coś ciekawego. Trzy pierwsze pozycje dotyczą reklam, a mimo to znaczą co innego.

Można trzymać dane u siebie w telefonie, ale nie wysyłać ich dalej. Można wysyłać je dalej, ale nie pozwolić dobierać reklam pod siebie. To trzy osobne decyzje, nie jedna.

Co leci do Google, gdy klikniesz „odrzuć”

To jest pytanie, którego prawie nikt nie zadaje wprost, a siedzi pod każdym kliknięciem.

Zależy to od tego, jak stronę zrobiono, i są dwa warianty. Google nazywa je podstawowym i zaawansowanym.

W wariancie podstawowym sprawa jest krótka. Google pisze, że uruchamianie tagów jest wtedy całkowicie zablokowane. Kod się nawet nie wczytuje. Nic nie leci.

W wariancie zaawansowanym tagi się wczytują, ale działają w ograniczonym zakresie. I tu robi się ciekawie.

Google mówi jasno, czego wtedy nie ma. Nie można zapisać nowych ciasteczek reklamowych. Własne ciasteczka Analytics nie będą ani odczytane, ani zapisane.

Nie znaczy to jednak, że do Google nie wychodzi żadne żądanie. Dokumentacja wymienia stan zgody, czas, dane przeglądarki, stronę odsyłającą i losowy numer tworzony przy każdym wczytaniu strony.

Google określa część tych informacji jako zbiorcze lub niewskazujące osoby. Nie jest to jednak obietnica, że każde żądanie jest puste. Zakres zależy od rodzaju zgody i ustawień tagu.

Co z tego wynika dla zwykłego człowieka? Kliknięcie w „odrzuć” na stronie zrobionej porządnie naprawdę coś zmienia. To nie jest guzik atrapa.

A co z tego wynika dla kogoś, kto ma stronę? W trybie zaawansowanym pomiary bez ciasteczek mogą zasilać pomiar podstawowy i modelowanie. Nie odtwarzają jednak pełnej drogi konkretnej osoby.

Odmowa nie zawsze oznacza więc to samo. W trybie podstawowym tag Google nie wysyła danych. W zaawansowanym może wysłać ograniczony pomiar bez ciasteczek.

I jeszcze jedno, dla porządku. Wszystko powyżej dotyczy narzędzi Google, bo to ich zasady opisaliśmy. Inne firmy mają własne i tych nie sprawdzaliśmy.

Ta różnica jest większa, niż brzmi. Bez trwałego identyfikatora trudniej połączyć kilka wejść w jedną drogę. Dlatego liczby między systemami mogą się rozchodzić, co szerzej opisujemy w tekście o tym, dlaczego Google Ads i GA4 pokazują inne wyniki.

Warto też wiedzieć jedno, po obu stronach ramki. Jeśli klikniesz odmowę, a potem zmienisz zdanie, nic się nie odtworzy wstecz. Zgoda działa od chwili kliknięcia w przód.

Kwadrans: zobacz to u siebie

Dość teorii. Wszystko powyżej da się obejrzeć na własne oczy i zajmuje to kwadrans.

Poniższe kroki są dla Chrome. W innych przeglądarkach nazwy są inne, ale układ podobny.

Jedna uwaga, zanim zaczniesz kasować. Usuwanie ciasteczek ma skutki i lepiej o nich wiedzieć wcześniej.

Google ostrzega o tym wprost: po usunięciu strony, które Cię pamiętają, mogą Cię wylogować, a zapisane wybory mogą zniknąć. Blokowanie cudzych ciasteczek może sprawić, że część witryn zacznie się dziwnie sprawować.

Nie jest to powód, żeby nic nie robić. Jest to powód, żeby nie robić tego pięć minut przed ważnym logowaniem.

Jeszcze jedna praktyczna uwaga, bo to pytanie wraca w wyszukiwarce bardzo często. To samo zrobisz w telefonie.

W Chrome na telefonie te same rzeczy leżą w ustawieniach aplikacji, a nie w ustawieniach samego telefonu. To najczęstsze miejsce, w którym ludzie się gubią.

• Wejdź w ustawienia Chrome, potem w „Prywatność i bezpieczeństwo”, potem w pliki cookie. Wybierz podgląd wszystkich danych.
• Popatrz na długość tej listy i sprawdź, które nazwy naprawdę rozpoznajesz.
• Znajdź na liście stronę, na której byłeś raz. Sprawdź, czy nadal tam jest.
• Skasuj wpisy pojedynczych stron, których nie kojarzysz. To bezpieczniejsze niż kasowanie wszystkiego naraz.
• Poszukaj ustawienia o plikach cookie innych witryn i zobacz, w jakim stanie jest u Ciebie.
• Jeśli prowadzisz stronę, wejdź na nią w oknie prywatnym, odrzuć zgodę i sprawdź, czy po odmowie coś nadal się zapisuje.
• Ten ostatni krok jest najważniejszy z całej listy. Odpowiada na pytanie, czy Twoja ramka cokolwiek robi.

Czego w tym tekście nie znajdziesz

Teraz część, przez którą ten tekst wygląda na niepełny. Tak jest celowo.

Nie powiemy Ci, czy musisz mieć ramkę o ciasteczkach na swojej stronie. Nie ocenimy, czy Twoja obecna ramka jest w porządku. Nie damy wzoru polityki do skopiowania.

Powód jest prosty: to są pytania do prawnika, a my nim nie jesteśmy. Opisujemy, jak działa technika. Kto ma jaki obowiązek, rozstrzyga ktoś inny.

Zrób zresztą pewien test, bo dobrze pokazuje, gdzie leży problem. Wpisz w Google pytanie o zgodę na ciasteczka i przejrzyj pierwszą stronę.

Wiele wyników odpowiada na pytanie prawne. W podpowiedziach powtarzają się też pytania praktyczne: gdzie ciasteczka są, jak je zobaczyć i jak wyczyścić.

Ten tekst zajmuje się właśnie mechanizmem i tymi praktycznymi pytaniami.

Widać w tym pewną prawidłowość, która wraca w wielu tematach. Gdy coś ma wymiar prawny, cała branża pisze o przepisach, bo to łatwiej sprzedać.

A człowiek, który wpisał pytanie, chciał tylko wiedzieć, gdzie te ciasteczka są i jak je skasować.

Jeśli idziesz z tym do prawnika, weź ze sobą trzy konkrety, a rozmowa pójdzie szybciej. Po pierwsze, listę narzędzi, które masz wpięte w stronę. Po drugie, informację, czy odmowa naprawdę je blokuje. Po trzecie, zrzut listy ciasteczek, które strona zakłada.

Bez tych trzech rzeczy prawnik pracuje na domysłach. Z nimi ma na czym stanąć. My umiemy przygotować pierwsze dwa, trzeciego nauczysz się w kwadrans z listy wyżej.

Skąd to wiemy

Wszystkie zdania o mechanizmie pochodzą z materiałów Google, nie z cudzych opracowań. Oba adresy sprawdziliśmy 7 września 2026.

Opis samych ciasteczek, podział na własne i cudze oraz skutki ich kasowania pochodzą z pomocy Chrome.

Siedem rodzajów zgody, oba warianty działania i lista tego, co leci po odmowie, pochodzą z dokumentacji Google dla twórców stron.

Pytania ludzi zebraliśmy ze strony wyników Google, z bloków z podpowiedziami. To nasza obserwacja z jednego dnia, nie badanie - i celowo nie podajemy stamtąd żadnych nazw ani liczb.

Nazw stron z tamtej listy nie podajemy z jeszcze jednego powodu. Sporo z nich to nasza konkurencja i nie ma sensu udawać, że to obiektywny przegląd.