Przycisk „NIE WYRAŻAM ZGODY” wyłącza zgodę. Nie wyłącza „uzasadnionego interesu”, czyli drugiej furtki, przez którą firmy wchodzą bez pytania. Na Onecie po odmowie dalej ma zielone światło 810 firm. Na Gazeta.pl przed jakimkolwiek kliknięciem jest ich 246, a po odmowie… te same 246.

Sprawdziłem to na 50 dużych serwisach, we wrześniu 2026. Cały raport możesz pobrać poniżej, bez podawania maila, a dane są publiczne.

Co wyłącza przycisk „nie wyrażam zgody”

Banery dużych serwisów działają na standardzie branży reklamowej IAB TCF. Po każdym kliknięciu strona zapisuje Twoją decyzję i przekazuje ją partnerom reklamowym. W tym zapisie są dwie listy firm: te ze zgodą i te z uzasadnionym interesem.

Odmowa czyści tylko pierwszą. Na sześciu serwisach informacyjnych lista uzasadnionego interesu po „nie” jest dokładnie taka sama jak po „akceptuję”. Te same firmy, co do jednej:

Serwis	Firmy na uzasadnionym interesie po odmowie
onet.pl	810
rmf24.pl	371
wp.pl	367
wyborcza.pl	336
gazeta.pl	246
natemat.pl	61

Dwoje drzwi do Twoich danych: „Akceptuj” otwiera zgodę i uzasadniony interes, „Nie wyrażam zgody” zamyka tylko zgodę, dopiero sprzeciw zamyka oba. Dwoje drzwi: „nie wyrażam zgody” zamyka tylko zgodę. Schemat uproszczony; licznik automatyczny, 4 września 2026. Grafika wygenerowana przez AI, sprawdzona przeze mnie.

Na Onecie Twoje „nie” wyłączyło mniej więcej co piątą firmę z 1013. Sprzeciw wobec reszty oczywiście jest. W tych samych ustawieniach, osiem ekranów niżej.

Żeby było uczciwie: dziesięć serwisów robi to czysto. Po odmowie na OLX, Otomoto, TVN24, MSN, Lidlu, Wykopie, Rzeczpospolitej, Allegro i TVP Info w zapisie nie zostaje żadna firma. Na naTemat dopiero po pełnej odmowie.

W raporcie: gdzie na każdym serwisie jest sprzeciw, ile kosztuje i dlaczego na Onecie trafiłem na coś, czego nie widziałem nigdzie indziej.

Czy trzeba akceptować pliki cookies

Nie. Ale „nie” kosztuje różnie, zależnie od tego, gdzie jesteś. „Tak” kosztuje zawsze jedno kliknięcie: na każdym serwisie, na którym mój licznik zmierzył akceptację, we wszystkich trzech przebiegach.

Każdy z dziesięciu globalnych gigantów w mojej próbie, który pokazuje baner, ma odmowę na pierwszym ekranie. YouTube: „Odrzuć wszystko”. Facebook: „Odrzuć opcjonalne pliki cookie”. LinkedIn: „Odrzuć”. Polskie sklepy, banki i usługi: 8 z 11.

YouTube: przyciski „Odrzuć wszystko” i „Zaakceptuj wszystko” na pierwszym ekranie banera. YouTube: „Odrzuć wszystko” obok „Zaakceptuj wszystko”, na pierwszym ekranie. Przejście przez przeglądarkę, 2 września 2026.

Polskie serwisy informacyjne? Zmierzyłem dziesięć. Odmowę na pierwszym ekranie ma jeden, rp.pl. I to w przewijanej ramce, cztery ekrany w dół. Na Onecie pełna odmowa to trzy kliknięcia i osiem ekranów przewijania. Na rmf24.pl i natemat.pl cztery kliknięcia.

rp.pl: pierwszy ekran banera z przyciskami „Ustawienia zaawansowane” i „Akceptuję”; odmowa leży na dnie przewijanej ramki. rp.pl: widać „Ustawienia zaawansowane” i „Akceptuję”, przycisk odmowy leży na dnie przewijanej ramki z tekstem. Licznik automatyczny, 4 września 2026.

Na wp.pl odmowa ma cennik. Ścieżka kończy się ekranem „Odrzucam zgody i płacę od 5,75 do 7,50 zł / miesiąc”. Trzeba oddać WP jedno: cena jest napisana wprost.

WP po odmowie: ekran „Odrzucam zgody i płacę od 5,75 do 7,50 zł / miesiąc”. WP po odmowie: „Odrzucam zgody i płacę od 5,75 do 7,50 zł / miesiąc”. Przejście przez przeglądarkę, 2 września 2026.

Da się prościej. gov.pl i strona Komisji Europejskiej mają odmowę jednym kliknięciem.

W raporcie: liczba kliknięć i ekranów na każdym z 50 serwisów oraz przyciski, które brzmią jak wejście do artykułu, a są zgodą.

Uzasadniony interes w cookies: co to znaczy

RODO zna sześć podstaw do przetwarzania danych. Zgoda to tylko jedna z nich. Inna to „prawnie uzasadniony interes” (art. 6 ust. 1 lit. f).

Różnica jest prosta. Zgodę firma musi od Ciebie dostać. Uzasadniony interes ocenia najpierw sama. Ty możesz najwyżej zgłosić sprzeciw, jeśli wiesz, gdzie go szukać.

Standard TCF dzieli to, co firmy robią z danymi, na jedenaście celów. Na uzasadniony interes pozwala w sześciu, między innymi przy pomiarze reklam i wyborze reklam na podstawie ograniczonych danych. Kto jest na liście Onetu? Według rejestru IAB m.in. Google, Amazon, Microsoft, TikTok, LinkedIn, Criteo i RTB House.

Europejska Rada Ochrony Danych w projekcie wytycznych z października 2024 pisze, że przy zapisie i odczycie z urządzenia w marketingu bezpośrednim właściwą podstawą będzie raczej zgoda. Część tego, co zmierzyłem, trudno z tą wykładnią pogodzić. Oceniać zgodność z prawem to jednak rola organów i sądów, nie moja.

W raporcie: wszystkie sześć celów po ludzku, skąd wiem, kto ma zielone światło, i dlaczego to wejście bokiem.

Dokąd idzie ruch, zanim klikniesz i po odmowie

Zapis decyzji to deklaracja. Ruch sieciowy pokazuje, co przeglądarka naprawdę zrobiła. Liczę ostrożnie: 39 serwisów, na których odmowa udała się we wszystkich trzech przebiegach, tylko domeny reklamowe i analityczne.

Na 24 z 39 serwisów ruch do firm reklamowych lub analitycznych wychodzi, zanim cokolwiek klikniesz. Baner jeszcze pyta, a ruch już idzie.
Na 26 z 39 po pełnej odmowie ruch nadal idzie do takich firm.
Domeny reklamowe Google dostają ruch po odmowie z 25 z 39.

Ruch po pełnej odmowie: na ilu z 39 serwisów przeglądarka nadal łączy się z domenami tych firm. Licznik automatyczny, 4 września 2026, trzy przebiegi. Grafika wygenerowana przez AI, sprawdzona przeze mnie.

Na 13 serwisach po odmowie takiego ruchu nie ma wcale, w tym na YouTube, Facebooku, Allegro, mBanku i gov.pl. Strona Komisji Europejskiej to jedyny serwis, na którym licznik zobaczył, że po odmowie znikają ciasteczka analityczne ustawione przed decyzją.

Zastrzeżenie, bez którego ta sekcja byłaby nieuczciwa: samo zapytanie do domeny nie dowodzi przetwarzania danych osobowych. Pokazuję, dokąd poszedł ruch. Co z nim zrobiono, tego nie wiem.

W raporcie: rekordziści, nazwy firm i serwis, na którym zapis jest czysty, a ruch idzie do 13 firm.

Jak wycofać zgodę na cookies

RODO mówi to jednym zdaniem: „Wycofanie zgody musi być równie łatwe jak jej wyrażenie” (art. 7 ust. 3). Wyrażenie kosztuje jedno kliknięcie. Sprawdziłem drogę powrotną, bez logowania.

Serwis	Wejście do ustawień zgody
Żabka	ikona widoczna od razu, 0 ekranów
gov.pl	stopka, niecałe 4 ekrany
ikea.com	około 14 ekranów w dół
gazeta.pl	około 23 ekranów
interia.pl	około 24 ekranów
tvn24.pl	około 31 ekranów
msn.com	strona nie ma dołu (nieskończone przewijanie, „infinite scroll”)

MSN: baner odsyła do „Zarządzaj preferencjami” na dole strony. MSN: zmiana wyboru „w obszarze „Zarządzaj preferencjami” na dole tej strony”. Przejście przez przeglądarkę, 2 września 2026.

MSN obiecuje w banerze link „na dole tej strony”. Strona główna to niekończący się strumień: im dalej przewijasz, tym jest dłuższa. Wykop odsyła do ikony na dole po lewej, której tam nie ma.

W raporcie: kto obiecuje w banerze miejsce, którego nie ma, i gdzie da się normalnie.

Ustawić raz, w przeglądarce: art. 88b i kto go nie chce

Komisja Europejska 19 listopada 2025 zaproponowała art. 88b RODO, w pakiecie Digital Omnibus. Zgodę, odmowę albo sprzeciw ustawiasz raz, przeglądarka przekazuje je stronom, a strony musiałyby to uszanować. Media są z tego obowiązku zwolnione.

Organizacje branży medialnej i tak napisały do ministrów 5 czerwca 2026, że przepis trzeba „odrzucić i usunąć”. W tekście kompromisowym Rady UE z 18 czerwca 2026 art. 88b jest skreślony w całości. 10 września koalicja Kill the Cookie Banner (m.in. noyb, EDRi, BEUC, EFF) poprosiła o jego przywrócenie. To stan na 14 września 2026.

Po co walczyć z przepisem, który cię nie dotyczy? Moją interpretację, z liczbami, zostawiam w raporcie.

Moje zdanie: wiążący sygnał w przeglądarce to dobry pomysł. Baner cookie nie pyta o zgodę. Produkuje ją.

W raporcie: tabela „komu to na rękę” (wydawcy, IAB, Google, Meta, banki, dostawcy banerów) i pięć najmocniejszych argumentów obrońców banera, z odpowiedzią na każdy.

Jak mierzyłem

Dwa narzędzia. Najpierw 42 serwisy w przeglądarce, 2 i 3 września 2026: klikał i notował agent AI (Claude in Chrome), a ja nadzorowałem każdy krok. Potem licznik automatyczny: wszystkie 50 serwisów, każdy trzy razy, 4 września 2026, z odczytem zapisu decyzji, ciasteczek i ruchu sieciowego.

Zwykły Chrome po polsku, bez blokerów i logowania, przez polskiego dostawcę internetu, tylko na komputerze. 13 września serwisy z mojej listy zmierzył niezależnie Grok, agent xAI, nie znając moich wyników. Nigdzie nie wyszło mu odwrotnie, czasem inaczej, bo serwisy się zmieniają.

Przy raporcie dużo pracowałem z AI i piszę o tym wprost: modele Claude, agent w przeglądarce, kontrola Groka. Infografiki wygenerowało AI, każdą sprawdziłem z danymi. Zrzuty ekranu są prawdziwe. Podpisuję się ja.

W raporcie: rozdział „Metoda i gdzie mogę się mylić”, z pomyłkami, które znalazłem po drodze.

Pobierz raport i dane

Raport ma dziesięć rozdziałów, dwa załączniki z wynikami serwis po serwisie i przypisy do każdego twierdzenia. Dane pomiaru na GitHubie to wyniki (CSV i JSON), zapisy obu narzędzi, zrzuty ekranu i lista domen z moim podziałem na kategorie, z opisem i słownikiem kolumn po polsku i angielsku.

Licencja: tekst i wyniki CC BY 4.0. Zrzuty ekranu i cytaty z banerów należą do serwisów i są przytoczone w celu udokumentowania pomiaru.

O autorze

Nazywam się Marcin Rybak. Bezpieczeństwo i prywatność to u mnie zajawka, nie etat. Prowadzę HeadFlash, newsletter i podcast o AI, prywatności i bezpieczeństwie. Raport zrobiłem za własne pieniądze i w swoim czasie. Nikt mi za niego nie zapłacił.

Skoro piszę o banerach: ta strona nie ustawia ciasteczek i nie pokazuje banera.

Pytania, uwagi i sprostowania są mile widziane. Czytam każde.