1. Strona główna
2. Dziennik
3. Analityka i pomiar

Analityka bez ciasteczek: jak działa i co można zmierzyć

• Jacek Ślesicki
• 26 October 2026
• ok. 18 min czytania

Co to jest analityka bez ciasteczek?

Analityka bez ciasteczek to pomiar korzystania ze strony bez zapisywania lub odczytywania cookies na potrzeby tego pomiaru, charakteryzujący się zbieraniem zdarzeń, określonym zakresem danych i własnymi definicjami metryk. Umami opisuje taki model w dokumentacji v3. Nie oznacza on automatycznie anonimowości: osobno trzeba ocenić RODO oraz art. 399 Prawa komunikacji elektronicznej.

Chcesz, żebym zajął się tym w Twojej firmie? Szczegóły znajdziesz w ofercie: Audyt SEO.

Patrzę na ten temat od strony wydawcy: raport powinien pomagać podejmować decyzje o treściach, a zakres zbieranych informacji powinien mieć uzasadnienie. Sama zmiana narzędzia nie rozwiązuje wszystkich problemów. Audyt SEO i kontrola strony pozwalają połączyć ocenę witryny ze sprawdzeniem skryptów, zdarzeń i odbiorców danych.

Pomiar bez cookies: czy oznacza brak przetwarzania danych?

Nie, pomiar bez cookies nadal może obejmować przesyłanie adresów stron, informacji o urządzeniu i zdarzeń, a ich kwalifikacja zależy od zawartości oraz możliwości identyfikacji.

Przykładowo kliknięcie przycisku „Pobierz poradnik” można zapisać jako zdarzenie z nazwą materiału. Dodanie do niego adresu e-mail zmienia zakres informacji. Technologia pozostaje bezciasteczkowa, ale dane przestają być wyłącznie opisem popularności poradnika. Dokumentacja Umami v3 wyraźnie rozdziela domyślne działanie produktu od danych przekazywanych przez administratora.

Analityka cookieless: jakie elementy trzeba rozdzielić?

Zacznij od rozdzielenia technologii pomiaru, zawartości danych, sposobu identyfikacji oraz celu raportowania, ponieważ każdy z tych elementów wymaga osobnej oceny.

• Technologia pomiaru określa, czy skrypt korzysta z cookies lub innych mechanizmów przeglądarki.
• Zakres danych obejmuje konkretne pola przesyłane do odbiorcy, również parametry własnych zdarzeń.
• Identyfikacja użytkownika określa możliwość łączenia aktywności między wizytami lub urządzeniami.
• Cel raportu wyjaśnia, jaką decyzję ma umożliwić zbieranie określonych informacji.

To rozróżnienie chroni przed prostym błędem: uznaniem pustej zakładki cookies za dowód, że strona niczego nie zbiera. Brak cookies opisuje mechanizm techniczny, a nie pełny status prawny wdrożenia.

Dane i identyfikatory: jak działa pomiar bez cookies?

Pomiar bez cookies działa przez przesyłanie zdarzeń do serwera, który przetwarza je i tworzy raport według reguł konkretnego narzędzia. Zakres pomiaru wynika z konfiguracji skryptu oraz serwera. Dokumentacja Umami v3 rozróżnia zdarzenia, sesje i własne identyfikatory; definicji tych nie należy automatycznie przenosić na Google Analytics 4.

Sesja i użytkownik: jak rozpoznaje się wizytę bez stałego cookie?

Zacznij od sprawdzenia algorytmu identyfikacji sesji w używanej wersji narzędzia, ponieważ brak stałego cookie nie wyklucza tworzenia identyfikatorów po stronie serwera.

Dokumentacja Distinct IDs w Umami opisuje wykorzystanie adresu IP, informacji o przeglądarce i identyfikatora witryny przy rozpoznawaniu sesji. Opisuje też opcjonalne łączenie aktywności przez identyfikator przekazany przez administratora. „Unikalny odwiedzający” nie jest zatem pewnym odpowiednikiem jednej osoby.

Przykład: osoby korzystające ze wspólnej sieci biurowej i podobnych przeglądarek mogą być trudne do rozróżnienia. Z kolei jedna osoba otwierająca stronę na telefonie i komputerze może pozostawić odrębne ślady. Nie wyciągam z takich liczników wniosku o dokładnej liczbie ludzi.

Przepływ danych najlepiej rozpisać na kolejne operacje:

1. Przeglądarka uruchamia skrypt i przygotowuje dane o odsłonie lub działaniu użytkownika.
2. Żądanie pomiarowe przekazuje wybrane pola pod określony adres odbiorcy.
3. Serwer analityczny przetwarza żądanie zgodnie z konfiguracją identyfikacji i filtrowania.
4. Agregacja łączy zdarzenia w metryki według definicji przyjętych przez producenta.
5. Raport pokazuje wyniki dla wybranego okresu, filtrów i zakresu danych.

Każdy etap może zmienić wynik. Dlatego interpretację raportu zaczynam od definicji, nie od samego wykresu.

Adres IP, localStorage i URL: gdzie pojawia się ryzyko?

Ryzyko pojawia się w konkretnych polach i mechanizmach, dlatego najpierw sprawdź adresy URL, identyfikatory, pamięć przeglądarki oraz treść wysyłanych zdarzeń.

localStorage jest innym mechanizmem niż cookies. Fingerprinting wykorzystuje cechy środowiska do rozpoznawania urządzenia. Zamiana technologii nie przesądza o poprawie prywatności ani o obowiązku zgody, co wynika z technicznego zakresu oceny opisanego przez EROD.

Przykładowy parametr „email=adres_użytkownika” może trafić do pomiaru wraz z URL. Podobny problem tworzy tytuł strony zawierający nazwisko klienta. Definicje metryk Umami wskazują, że adresy i parametry zapytań należą do danych pomiarowych. Takie pola trzeba kontrolować u źródła.

Umami i GA4: czym różnią się rozwiązania?

Umami i Google Analytics 4 różnią się modelem produktu, sposobem utrzymania i powiązaniem z ekosystemem reklamowym. Porównuję je według potrzeb raportowych oraz przepływu danych. Umami v3 opisuje pomiar bez cookies, natomiast Google dokumentuje różne zachowanie tagów zależnie od konfiguracji Consent Mode. To nie są równoważne mechanizmy.

Umami Cloud i własny hosting: jak podzielić odpowiedzialność?

Zacznij od ustalenia, kto będzie odpowiadał za aktualizacje, kopie zapasowe, dostęp do panelu i obsługę awarii wybranego wdrożenia.

Umami Analytics można uruchomić jako usługę Cloud albo na własnej infrastrukturze. Własny hosting daje kontrolę nad środowiskiem, ale wymaga jego utrzymania. Nie przedstawiam go jako rozwiązania bez kosztów: poza serwerem trzeba uwzględnić czas administracji. Nie jest też automatycznym potwierdzeniem zgodności prawnej.

Kryterium	Umami	Google Analytics 4
Zakres raportów	Ruch, zdarzenia i funkcje analityki produktu opisane dla v3.	Analiza aktywności w ekosystemie Google Analytics.
Zdarzenia	Obsługuje własne nazwy i właściwości zdarzeń.	Wymaga konfiguracji zdarzeń odpowiedniej do celu pomiaru.
Hosting	Cloud albo własna infrastruktura.	Usługa utrzymywana przez Google.
Administracja	Przy własnym hostingu obejmuje utrzymanie aplikacji i bazy.	Obejmuje konfigurację usługi, dostępu i tagów.
Integracje reklamowe	Ich przydatność trzeba sprawdzić dla konkretnego zastosowania.	Consent Mode współpracuje z pomiarem Google Analytics i Google Ads.
Ograniczenia	Brak cookies nie wyklucza własnych identyfikatorów.	Odmowa zgody nie zawsze oznacza brak transmisji.

Tabela opisuje kryteria wyboru na podstawie dokumentacji producentów sprawdzonej 18.10.2026. Nie stanowi rankingu prywatności ani opinii organu nadzorczego.

Consent Mode: czy odmowa oznacza brak wysyłania danych?

To zależy od wdrożenia: podstawowy Consent Mode blokuje tagi bez zgody, a zaawansowany może wysyłać pomiary bez cookies przy stanie odmowy.

„When consent is denied, consent state and measurements without cookies are sent.”

Google, Consent mode overview, wariant zaawansowany, dostęp 2026.

Dokumentacja Google opisuje zachowanie technologii, nie rozstrzyga legalności każdej konfiguracji. Przy analizie Consent Mode v2 w GA4 proponuję sprawdzić:

• Wariant wdrożenia określa, czy tagi ładują się przed decyzją użytkownika.
• Stan domyślny musi odpowiadać przyjętemu scenariuszowi obsługi zgód.
• Google Tag Manager wymaga sprawdzenia reguł również dla tagów innych dostawców.
• Test odmowy powinien obejmować rzeczywiste żądania, nie tylko wygląd banera.

Przycisk „Odrzuć” i brak cookies nie wystarczają do opisania całego pomiaru.

Zgoda użytkownika: co trzeba sprawdzić?

Zacznij od sprawdzenia rzeczywistych operacji na urządzeniu i zakresu danych, ponieważ sama etykieta „cookieless” nie rozstrzyga potrzeby zgody. Prawo komunikacji elektronicznej oraz RODO wymagają odrębnej analizy. Wytyczne EROD 2/2023, przyjęte w wersji finalnej 7 października 2024 roku i opublikowane na stronie EROD 16 października 2024 roku, wyjaśniają techniczny zakres regulacji wykraczający poza klasyczne cookies.

PKE i RODO: czym różnią się zakresy oceny?

PKE dotyczy między innymi przechowywania informacji w urządzeniu końcowym i dostępu do nich, natomiast RODO reguluje przetwarzanie danych osobowych.

Art. 399 PKE przewiduje uprzednią informację i zgodę oraz wyjątki związane z koniecznością transmisji lub dostarczenia usługi żądanej przez użytkownika. Nie należy utożsamiać przydatności statystyk dla właściciela strony z koniecznością wykonania usługi dla odwiedzającego.

„It should be noted that the term used is not ’personal data’, but ‘information’.”

EROD, Guidelines 2/2023, punkt 6 lit. a, 2024.

Ten fragment wytycznych EROD wskazuje, że ocena dostępu do informacji nie ogranicza się do danych osobowych. Wytyczne nie rozstrzygają automatycznie zastosowania wyjątków dla każdej analityki.

Jeżeli występują dane osobowe, dochodzą wymagania dotyczące podstawy przetwarzania, minimalizacji, retencji i informacji dla użytkownika. Wynikają one między innymi z art. 4, 5, 6 i 13 RODO.

Konfiguracja narzędzia: czy deklaracja producenta wystarcza?

Nie, deklaracja producenta opisuje produkt, ale nie obejmuje automatycznie własnych zdarzeń, dodatkowych integracji i całej infrastruktury administratora strony.

Przykładowo dodanie identyfikatora konta do wcześniej zbiorczego pomiaru zmienia możliwości łączenia aktywności. Podobnie hash adresu e-mail nie daje automatycznej anonimowości. Do oceny przygotuj:

• Opis celu wskazujący, dlaczego konkretne informacje są potrzebne.
• Wykaz operacji obejmujący zapis i odczyt informacji na urządzeniu.
• Mapę odbiorców zawierającą dostawcę analityki oraz podwykonawców.
• Politykę retencji określającą czas przechowywania i sposób usuwania danych.

Zgoda na analitykę bez ciasteczek wymaga oceny konkretnego wdrożenia. Interpretacji zagranicznego regulatora nie należy automatycznie przenosić na Polskę ani przedstawiać jako stanowiska UODO.

Źródła prawne sprawdzone: 18.10.2026. Wykorzystano tekst ujednolicony PKE oznaczony datą 16.10.2026. Materiał informacyjny, nie zastępuje indywidualnej porady prawnej ani konsultacji ze specjalistą ochrony danych.

Wdrożenie: jak sprawdzić rzeczywisty przepływ danych?

Zacznij od testów przeglądarki i konfiguracji serwera, porównując plan pomiaru z rzeczywiście wysyłanymi danymi w co najmniej czterech scenariuszach. Proponuję pierwszą wizytę, powrót, odmowę zgody i wejście z parametrami URL. Umami, Google Analytics 4 oraz Google Tag Manager trzeba oceniać w konfiguracji działającej na stronie.

Żądania i pamięć przeglądarki: jak wykonać kontrolę?

Otwórz stronę w czystym profilu przeglądarki, uruchom narzędzia deweloperskie i obserwuj żądania od pierwszego załadowania, jeszcze przed obsługą banera.

Najpierw przygotuj spodziewany wynik testu. Jeżeli określony tag ma czekać na zgodę, zapisz to jako warunek. Dzięki temu test kończy się porównaniem zachowania z założeniem, a nie oglądaniem przypadkowych wpisów w panelu.

1. Zakładka Network powinna pokazać adres odbiorcy, moment wysłania i typ każdego żądania pomiarowego.
2. Sekcja cookies wymaga sprawdzenia domen oraz wartości przed decyzją i po decyzji użytkownika.
3. localStorage i sessionStorage należy porównać przed uruchomieniem pomiaru oraz po nim.
4. Payload żądania trzeba przejrzeć pod kątem URL, tytułu strony, identyfikatorów i pól zdarzenia.
5. Test powrotu powinien uwzględniać ponowne otwarcie strony oraz zachowanie wcześniejszego wyboru.
6. Konfiguracja serwera wymaga kontroli logów, retencji, dostępu i dalszych odbiorców danych.

Przykład: po wysłaniu formularza raport ma otrzymać informację o powodzeniu operacji. Nie potrzebuje treści wiadomości ani numeru telefonu. Drugi przykład: kliknięcie numeru telefonu oznacza zamiar kontaktu, nie potwierdzoną rozmowę.

Raport i logi: czego nie pokaże sama przeglądarka?

Przeglądarka nie pokaże całej dalszej obróbki danych u dostawcy, dlatego wyniki kontroli trzeba zestawić z konfiguracją, dokumentacją i warunkami usługi.

Proponuję zapisać godzinę kontrolnej odsłony i kliknięcia, a następnie sprawdzić ich obecność w raporcie. Logi serwera potraktuj pomocniczo: żądania zasobów i ruch automatów nie są prostym odpowiednikiem odsłon.

Jeżeli kliknięcie pojawia się dwukrotnie, sprawdź, czy skrypt nie działa jednocześnie z szablonu WordPress i Google Tag Managera. Udany test transmisji nie dowodzi jeszcze poprawnej retencji ani zgodności z RODO. Tam, gdzie są wymagane, potrzebne są również odpowiednie umowy powierzenia.

Wybór narzędzia: kiedy prostsza analityka wystarczy?

Prostsza analityka wystarczy wtedy, gdy pozwala podejmować potrzebne decyzje o treściach, źródłach wizyt i działaniach użytkowników bez dodatkowej identyfikacji. Wybór między Umami a Google Analytics 4 powinien wynikać z listy pytań biznesowych. Sama liczba funkcji nie przesądza o przydatności narzędzia dla wydawcy, sklepu czy kampanii reklamowej.

Raporty wydawcy: jak dobrać zakres pomiaru?

Zacznij od zapisania decyzji, które chcesz podejmować, i przypisz każdej z nich konkretny raport oraz minimalny zestaw potrzebnych danych.

Przykładowe potrzeby można rozpisać bez tworzenia rozbudowanych profili odbiorców:

• Poradnik potrzebuje pomiaru wejść i przejść do powiązanej oferty, żeby ocenić jego rolę.
• Newsletter potrzebuje spójnych oznaczeń kampanii, żeby porównywać zainteresowanie poszczególnymi wysyłkami.
• Formularz kontaktowy potrzebuje potwierdzenia skutecznego wysłania, żeby odróżnić próbę od realizacji.
• Sklep potrzebuje ustalonego sposobu rozliczania zakupów i zwrotów, żeby nie zawyżać wyników.

Przykład: artykuł może mieć mniej wejść niż inny, a częściej prowadzić do formularza. Sama popularność nie rozstrzyga jego przydatności. Z kolei rozbudowany raport nie pomoże, jeśli zdarzenie „kontakt” uruchamia się przy samym otwarciu strony.

Różnice raportów: jak ustalić przyczynę rozbieżności?

Zacznij od porównania okresu, strefy czasowej, definicji metryk i zakresu zdarzeń, a następnie sprawdź blokowanie skryptów oraz obsługę zgód.

Różnice danych GA4 i Umami nie oznaczają automatycznie błędu jednego produktu. Pomocna jest tabela zgodności zdarzeń: co wywołuje odsłonę, kiedy powstaje sesja i które działania są wykluczane. Dopiero po takim porównaniu warto oceniać odchylenia.

Chcesz uporządkować pomiar na swojej stronie? Napisz przez formularz kontaktowy i opisz potrzebne raporty oraz obecne narzędzia. Proponuję zacząć od kontroli technicznej i zakresu danych. Decyzja o usunięciu banera wymaga również oceny prawnej.

Najczęściej zadawane pytania

Czy Umami jest anonimowe w każdej konfiguracji?

Nie, Umami umożliwia przekazywanie własnych identyfikatorów i właściwości zdarzeń, które mogą pozwalać na powiązanie aktywności z użytkownikiem. Dokumentacja Distinct IDs opisuje takie możliwości wprost. Ocenie podlega konkretny zestaw danych, a nie wyłącznie nazwa produktu.

Czy Consent Mode v2 zastępuje baner zgody?

Nie, Consent Mode v2 steruje zachowaniem tagów na podstawie stanu zgody, lecz sam nie zbiera decyzji użytkownika. Potrzebuje współpracy z odpowiednim mechanizmem, na przykład platformą zarządzania zgodami. Google rozdziela uzyskanie wyboru od przekazania go do tagów.

Czy analityka bez ciasteczek wymaga Google Tag Managera?

Nie, Google Tag Manager nie jest koniecznym elementem analityki bez ciasteczek, ponieważ sposób instalacji zależy od wybranego produktu. Umami można wdrożyć przez umieszczenie skryptu na stronie. Menedżer tagów jest opcją organizacji wdrożenia, nie warunkiem pomiaru.

Czy identyfikator sesji powinien zawierać adres e-mail?

Nie, do podstawowej analizy ruchu nie należy dodawać adresu e-mail tylko po to, żeby wygodniej rozpoznawać odwiedzających. Zwiększa to zakres danych i wymaga odrębnego uzasadnienia. Zastąpienie e-maila hashem również nie przesądza o anonimowości.

Jak często ponawiać kontrolę analityki bez cookies?

Ponawiaj kontrolę po każdej zmianie skryptu, konfiguracji zgód, formularzy, integracji lub wersji narzędzia wpływającej na pomiar. To zalecenie organizacyjne, a nie uniwersalny termin ustawowy. Zachowuj opis testów, żeby móc porównać zachowanie wdrożenia przed zmianą i po niej.

Źródła i literatura

Podstawą opisu są dokumenty prawne oraz dokumentacja producentów sprawdzone 18.10.2026. Rozdzielam ich role: PKE, RODO i wytyczne EROD pomagają oceniać obowiązki, a materiały Umami i Google wyjaśniają działanie produktów. Dokumentacja techniczna nie zastępuje oceny konkretnego wdrożenia.

Przepisy i wytyczne

1. Prawo komunikacji elektronicznej, ustawa z 12 lipca 2024 r. - art. 399; tekst ujednolicony z 16.10.2026.
2. RODO, rozporządzenie (UE) 2016/679 - art. 4, 5, 6 i 13 dotyczą danych, zasad, podstaw i informacji.
3. EROD, Guidelines 2/2023, wersja 2.0 - dokument przyjęty 7.10.2024 opisuje zakres techniczny art. 5 ust. 3 dyrektywy ePrivacy.
4. EROD, karta publikacji wytycznych - potwierdza status wersji finalnej i datę publikacji na stronie; datę przyjęcia 7.10.2024 podaje oficjalny PDF.

Dokumentacja techniczna

• Umami, Introduction - dokumentacja v3 opisuje funkcje i modele hostingu.
• Umami, Distinct IDs - dokumentacja opisuje opcjonalne identyfikatory użytkowników.
• Umami, Metric definitions - dokumentacja definiuje pola i metryki pomiaru.
• Google Tag Platform, Consent mode overview - dokumentacja rozróżnia podstawowy i zaawansowany tryb zgody.