Śledzenie przed zgodą: czym jest i dlaczego organy regulacyjne traktują je jako naruszenie

Żądania sieciowe przenoszące identyfikatory wysyłane zanim użytkownik wyrazi zgodę. Najczęstszy defekt RODO / ePrivacy w europejskim internecie i ten, za który organy regulacyjne były najbardziej skłonne nakładać kary.

Lukas Kontur · · 5 min czytania

Śledzenie przed zgodą to klasa wykrycia w naszym skanerze. Aktywuje się, gdy w okresie między rozpoczęciem świeżego ładowania strony a momentem podjęcia przez użytkownika jakiejkolwiek akcji w banerze zgody przeglądarka wysyła co najmniej jedno żądanie sieciowe przenoszące identyfikatory, zawierające niepodstawowe ładunki analityczne lub ustawiające niepodstawowe pliki cookie.

To najczęściej wykrywany defekt. W naszym skanowaniu 97 000 europejskich witryn większość klasyfikacji wysokiego ryzyka była powodowana właśnie śledzeniem przed zgodą, a nie brakiem banerów czy niedziałającymi przyciskami odrzucenia.

Czego szuka skaner

Detektor obserwuje sieć od momentu, gdy przeglądarka wysyła żądanie dokumentu, do jednego z trzech zdarzeń:

  1. Użytkownik klika przycisk w banerze zgody (akceptuj, odrzuć, ustawienia).
  2. Zostaje zapisany mierzalny plik cookie stanu zgody lub wpis w localStorage.
  3. Upływa limit czasu (domyślnie 8 sekund) bez żadnego sygnału zgody.

Każde żądanie wysłane w tym oknie jest badane pod kątem trzech sygnałów:

Wystarczy jeden z tych warunków, aby uruchomić wykrycie. Wszystkie trzy razem to typowy wzorzec dla kontenera Google Tag Manager, który uruchamia się przed bramką zgody.

Ramy prawne, w skrócie

Nie jesteśmy Twoim prawnikiem. Nagie fakty:

Implementacje krajowe różnią się w szczegółach. Niemiecka TTDSG (obecnie TDDDG) i francuska transpozycja przez Loi Informatique et Libertés egzekwowana przez CNIL doprowadziły do najbardziej widocznych działań egzekucyjnych. DPAs w całej UE ostrzegały przed wzorcami śledzenia przed zgodą; konkretne progi egzekucyjne różnią się w zależności od jurysdykcji. Zasada leżąca u podstaw jest wszędzie ta sama: najpierw zgoda, potem tracker.

Co naprawdę zrobiły organy regulacyjne

Krótka, częściowa oś czasu decyzji, w których śledzenie przed zgodą było centralnym wykryciem:

To nie są jedyne sprawy — to te kluczowe. Wzorzec we wszystkich jest spójny: organ regulacyjny zmierzył zachowanie sieciowe i potraktował rzeczywistość techniczną jako rozstrzygającą, niezależnie od tekstu polityki.

Skrypty, które najczęściej to powodują

W przybliżonej kolejności częstości występowania jako pierwotna przyczyna w skanie wysokiego ryzyka:

Wspólnym czynnikiem prawie nigdy nie jest sam skrypt — to wdrożenie. Każdy z tych dostawców publikuje udokumentowany sposób bramkowania uruchamiania na sygnale zgody; domyślne instrukcje instalacji jednak często go nie wspominają.

Jak wygląda czysty skan

Witryna, która przechodzi naszą kontrolę przed zgodą, robi jedną z następujących rzeczy:

  1. Nie ładuje żadnego śledzenia od stron trzecich, dopóki nie zostanie udzielona zgoda. Funkcjonalne pliki cookie (sesja, preferencja językowa, CSRF) są w porządku.
  2. Ładuje menedżera tagów w stanie "denied", ze wszystkimi niepodstawowymi tagami bramkowanymi za jawnymi sygnałami zgody, i aktualizuje stan przez Google Consent Mode v2 lub równoważny mechanizm po działaniu użytkownika.
  3. Ładuje stuby trackerów, które nie przekazują identyfikatorów, dopóki flaga zgody nie zostanie ustawiona.

W naszym korpusie z I kw. 2026 obejmującym 97 000 witryn UE, 68% miało aktywną usługę śledzącą przed jakąkolwiek decyzją o zgodzie. Mniejszość witryn, która przechodzi kontrolę przed zgodą, ma zwykle wspólny profil: sieć w oknie przed zgodą jest zdominowana przez sam dokument, pliki CSS i fontów oraz favikonę — nic, co przenosiłoby identyfikator z urządzenia.

Sample scan

78 / 100

High Risk · 23 trackers · pre-consent tracking: yes

See sample report →

Jak to naprawić

Uczciwa wersja: nie ma drogi na skróty. Każdy tag musi być zaudytowany pod kątem tego, czy uruchamia się przed ustawieniem sygnału zgody. Kroki, które działają w praktyce:

  1. Otwórz witrynę w czystym profilu przeglądarki z otwartymi narzędziami deweloperskimi.
  2. Filtruj sieć do "third-party" i przeładuj.
  3. Wszystko, co uruchamia się przed kliknięciem przycisku w banerze, to kandydat.
  4. Dla każdego kandydata znajdź loader (zwykle tag skryptu, wyzwalacz menedżera tagów lub fragment inline) i zabramkuj go na sygnale zgody.
  5. Przetestuj ponownie. Powtarzaj, aż okno przed zgodą będzie wolne od trackerów.

Jeśli używasz platformy zarządzania zgodą, tryb "blokuj do zgody" platformy jest niezbędny, ale niewystarczający — wiele CMP blokuje tylko zapis pliku cookie, a nie samo żądanie. Article 5(3) ePrivacy Directive wymaga zgody przed przechowywaniem lub uzyskiwaniem dostępu do informacji w urządzeniu użytkownika (pliki cookie, local storage, podobne identyfikatory). Czy konkretne żądanie sieciowe sprzed zgody uruchamia ten obowiązek, zależy od tego, co żądanie odczytuje z urządzenia lub do niego zapisuje — to kwestia zależna od faktów.

Aby zobaczyć przykład działania na własnej domenie, uruchom skan i przyjrzyj się panelowi "sieć przed zgodą" w raporcie. Każde naruszające żądanie jest wymienione ze swoim stosem inicjatora, dzięki czemu można je wyśledzić do pliku źródłowego w bazie kodu.

Ostatnia aktualizacja: