Kary za brak Consent Mode v2 — co grozi w 2026

Ile realnie kosztuje niezgodny baner cookies i zły Consent Mode v2 — na przykładzie kar UODO, decyzji CNIL i konsekwencji reklamowych. Bez straszenia, na danych z rejestrów.

Aktualizacja: 7 września 2026 · Czas czytania: 8 min · Kategoria: Compliance i tracking

Krążą po rynku dwie odwrotne bajki. Pierwsza — że UODO nie karze polskich sklepów za cookies, bo „to jeszcze nikt nie ma poukładane”. Druga — że każdy błąd w banerze to natychmiastowa kara siedmiocyfrowa. Ani jedna, ani druga nie jest prawdziwa. Rzeczywistość jest bardziej niewygodna: reżim prawny zaostrzył się w listopadzie 2024 (PKE), Google zaostrzył wymogi w marcu 2024 (Consent Mode v2), a organy zaczęły egzekwować sekwencyjnie — najpierw duże cele, teraz przechodzą na średnie sklepy.

Ten tekst nie jest o straszeniu. Jest o tym, ile Twój sklep naprawdę ryzykuje w 2026, jakich ram prawnych trzeba się trzymać, żeby to ryzyko sprowadzić do zera, i jaka jest realna cena — wdrożenia i zaniechania.

Trzy warstwy prawne, które karzą za cookies

Karać za brak zgody na cookies można z trzech aktów naraz — i to jest chyba najczęściej mylona rzecz w polskich dyskusjach o compliance.

RODO — 20 mln EUR albo 4% globalnego obrotu

Podstawa: art. 4 pkt 11, art. 6, art. 7. Zgoda musi być „dobrowolna, konkretna, świadoma i jednoznaczna” — i musi istnieć w chwili, kiedy dane osobowe są przetwarzane. Cookies identyfikujące użytkownika (Google Analytics, Meta Pixel, remarketing) to dane osobowe w rozumieniu RODO od co najmniej 2019. Kara max: 20 mln EUR albo 4% globalnego obrotu, którakolwiek wyższa.

PKE — 1 mln zł albo 3% przychodu

Podstawa: art. 399–402 i art. 435 Prawa Komunikacji Elektronicznej, obowiązującego od 10 listopada 2024. To polski akt, który zastąpił artykuł 173 Prawa telekomunikacyjnego z 2004. Wprowadza wprost obowiązek uzyskania zgody przed zapisem lub odczytem informacji w urządzeniu końcowym użytkownika. Kara max: 1 mln zł albo 3% przychodu ukaranej firmy — do wyboru dla UODO ta wyższa.

ePrivacy Directive — poprzez implementację krajową

Art. 5 ust. 3 dyrektywy 2002/58/WE, na której PKE się opiera. W praktyce nakłada się na RODO i PKE — nie ma osobnej kary z tego tytułu w Polsce, ale organy europejskie (CNIL we Francji, DSB w Austrii) sięgają po nią bezpośrednio przy karach dla platform.

Realne precedensy — co i za co dostało karę

Prezentacja szeregu decyzji pokazuje trend: karane są konkretne dark patterns, a stawki idą w górę.

W Polsce UODO, według stanu na wrzesień 2026, nie wydał jeszcze kary bezpośrednio nazwanej „za Consent Mode v2”. Ale w kilku decyzjach z 2024–2025 UODO karał za brak zgody na cookies analityczne i marketingowe — kwoty rzędu 20–150 tys. zł dla średnich sklepów. Postępowania są zwykle sekwencyjne: wezwanie do wyjaśnień, kilka rund pisemnych, decyzja po 6–12 miesiącach.

Jakie konkretne błędy prowadzą do kary

Ze wszystkich decyzji europejskich i wytycznych EDPB można wyprowadzić katalog naruszeń, które statystycznie kończą się karą. To nie są rzeczy egzotyczne — to konfiguracja standardowego banera z rynku.

1. Brak przycisku „Odrzuć wszystko” na pierwszym ekranie

Numer jeden na liście. CNIL karze za to od 2021. Google zapłacił 150 mln EUR (2022) i ponownie 325 mln EUR (2025) głównie za tę patologię — przycisk „Akceptuję” był widoczny, „Odrzucam” schowany za dodatkowym kliknięciem. UODO w polskich sprawach systemowo powołuje się na tę linię orzeczniczą.

2. Cookies opcjonalne zapisane przed zgodą

Tryb basic bez wdrożenia albo advanced z domyślnym stanem „granted” — obie te sytuacje oznaczają, że Google Analytics, Meta Pixel czy Hotjar zapisują cookies zanim użytkownik cokolwiek kliknął. Klasyczne złamanie art. 399 PKE i art. 6 RODO. SHEIN dostał za to 150 mln EUR w 2025.

3. Domyślnie zaznaczone checkboxy w banerze granularnym

TSUE w wyroku Planet49 z 2019 uznał, że zgoda z domyślnie zaznaczonymi checkboxami nie jest zgodą w rozumieniu RODO. Mimo to wciąż spotykamy takie bannery na polskich sklepach. Sam brak wyboru = brak zgody. Karne.

4. Preselekcja „Zgoda uzasadniony interes”

Ulubiony trik firm, które nie chcą, żeby użytkownik naprawdę odmówił. Frame IAB TCF pozwala rozdzielić „zgodę” i „uzasadniony interes”. Preselekcja tego drugiego to naruszenie. CNIL i DSB (Austria) karzą.

5. Brak łatwego wycofania zgody

Art. 7 ust. 3 RODO wprost: wycofanie zgody musi być tak samo łatwe jak jej wyrażenie. Jeśli baner zamyka się kliknięciem, a wycofanie wymaga przejścia przez politykę prywatności i wysłania maila — złamanie. American Express dostał za to 1,5 mln EUR w 2025.

6. Cookie wall

„Zaakceptuj cookies albo nie wchodź na stronę”. EDPB w wytycznych 5/2020 uznaje to za wymuszoną zgodę, więc nieważną. Kilku wydawców w Europie już dostało za to kary — polskie sklepy stosujące ten model są na czerwonej liście.

Wymierne konsekwencje niezależne od kary

Ryzyko UODO to jedna oś. Druga, dla większości sklepów bardziej dotkliwa krótkoterminowo, to utrata danych z Google Ads i GA4.

Sklep bez Consent Mode v2 (albo z Consent Mode v1) w praktyce od marca 2024:

• traci modelowanie konwersji w Google Ads — reklamy pokazują 40–60% rzeczywistych transakcji jako niezliczone;
• traci audiencje remarketingowe w Google Ads — lista „porzucających koszyk” topnieje z tygodnia na tydzień;
• traci Enhanced Conversions — dopasowanie po e-mailu przestaje działać na użytkownikach bez zgody;
• traci pełne dane w GA4 — raporty pokazują 40–70% ruchu jako „(not set)” w wymiarach źródło/medium.

Dla sklepu wydającego 30 tys. zł miesięcznie na Google Ads to zwykle strata rzędu 8–15 tys. zł miesięcznie na źle podjętych decyzjach reklamowych. W skali roku — 100–180 tys. zł. Wdrożenie kosztuje jednorazowo 2–3 tys. zł. To jedna z tych kalkulacji, których nie da się nie zrobić.

Ile faktycznie kosztuje audyt UODO

Przyjmijmy najgorszy scenariusz: sklep dostaje wezwanie z UODO. Co dalej?

Etap 1: wezwanie do wyjaśnień (14 dni)

Standardowe pierwsze pismo. Trzeba przedstawić: jakie cookies stosuje sklep, na jakiej podstawie prawnej, jak wygląda baner, jak przechowywana jest zgoda, jak wykazuje się jej odbiór. Koszt sporządzenia odpowiedzi u kancelarii RODO: 3–6 tys. zł.

Etap 2: kolejne wezwania i przesłuchanie

Typowo 2–4 rundy pytań. Zwykle chcą zobaczyć: nagranie ekranu z procesem akceptacji, konfigurację Consent Mode w GTM, dowody na audyt zgód. Kancelaria kompletująca odpowiedzi: kolejne 4–10 tys. zł.

Etap 3: decyzja

UODO albo umarza (jeśli sklep w międzyczasie naprawił), albo nakłada karę. W praktyce kary dla polskich MŚP zaczynają się od 5 tys. zł i sięgają 300 tys. zł. Kwota bazowana głównie na obrocie firmy i skali naruszenia.

Etap 4: odwołanie

W WSA — 2–3 tys. zł kancelaria + wpis sądowy. Statystycznie 15% odwołań w sprawach cookie kończy się obniżeniem kary.

Jak sprowadzić ryzyko do zera

Skoro znamy katalog błędów, znamy też sposoby ich uniknięcia. W Centrum ZW pilnujemy sklepów w abonamencie w oparciu o powtarzalny checklist:

1. Baner cookies z równorzędnymi przyciskami „Akceptuj wszystkie” i „Odrzuć wszystkie” na pierwszym ekranie.
2. Granularne wybory kategorii z domyślnie odznaczonymi checkboxami (poza „niezbędne”).
3. Consent Mode v2 w trybie advanced z domyślnymi stanami „denied” dla wszystkich parametrów opcjonalnych.
4. Wycofanie zgody dostępne z każdej podstrony (link „Ustawienia cookies” w stopce).
5. Log zgód z timestampem i wersją banera — obowiązkowe pod audyt.
6. Regularny przegląd cookies (raz na kwartał) i weryfikacja, że nowo doszłe wtyczki nie łamią modelu zgód.

Techniczna strona wdrożenia jest opisana szczegółowo w tekście o wdrożeniu w PrestaShop — dla sklepów na WordPressie logika jest identyczna, różni się tylko wybór wtyczki (rekomendujemy Cookiebot lub CookieYes, oba spinają się z GTM tak samo jak w Prestashopie).

Najczęściej zadawane pytania