Śledzenie bez ciasteczek w 2026: 5 metod, które działają

Śledzenie bez ciasteczek oznacza mierzenie zachowań bez opierania się na ciasteczkach third-party, a coraz częściej bez opierania się na jakichkolwiek identyfikatorach przechowywanych w przeglądarce. To nie jest jedna technika. To pięć technik, a każda rozwiązuje inną połowę problemu.

W skrócie: tagowanie server-side plus Consent Mode v2 z modelowaniem to praktyczna baza dla większości firm w UE w 2026 roku. Wszystko inne na tej liście jest albo uzupełnieniem tego, albo wyspecjalizowaną odpowiedzią na konkretną lukę.

Oto część, której nie powie Ci żaden dostawca: żadna z tych metod nie odzyska danych, które straciłeś. One ograniczają stratę. Użytkownik, który odmówił zgody, pozostaje odmawiający i żadna architektura tego nie zmieni. Ktokolwiek sprzedaje Ci 100% odzysku, albo źle rozumie prawo, albo je ignoruje, a w Unii ta różnica prędzej czy później robi się kosztowna.

W tym artykule opisuję pięć metod, które działają, co każda naprawia, ile kosztuje i gdzie zawodzi.

Co się właściwie zepsuło i skąd wzięło się śledzenie bez ciasteczek

Wydarzyły się dwie osobne rzeczy, a ludzie zwykle zauważają tylko pierwszą.

Ciasteczka third-party umarły. Śledzenie międzywitrynowe się skończyło. Pule remarketingowe się skurczyły, atrybucja view-through się posypała, dopasowywanie audiencji pogorszyło. To ta zmiana, o której wszyscy mówią.

Ciasteczka first-party zostały skrócone. I to ta boli po cichu bardziej.

Intelligent Tracking Prevention w Safari ogranicza ciasteczka ustawiane JavaScriptem do 7 dni, a w pewnych sytuacjach do 24 godzin. Firefox robi coś podobnego. Twój identyfikator klienta GA4 siedzi w ciasteczku first-party ustawianym przez JavaScript, więc w Safari Twój powracający po dziewięciu dniach użytkownik jest zupełnie nowym użytkownikiem.

Efekt: zawyżone liczby użytkowników, zepsuty pomiar powrotów i okna atrybucji, które po cichu się skracają. 30-dniowego cyklu decyzyjnego nie zmierzysz 7-dniowym identyfikatorem, a większość firm nigdy nie zauważa tej niezgodności.

Nie wiesz, ile traci Twoja obecna konfiguracja? Darmowy audyt GTM sprawdza, jak Twoje tagi obsługują zgody i gdzie są luki. Podajesz adres, dostajesz raport w około 10 minut. Bez rejestracji.

Metoda 1: Tagowanie server-side

Co naprawia: żywotność ciasteczka, straty przez adblocki i kontrolę nad danymi.

Uruchamiasz serwer tagujący na własnej subdomenie (analytics.twojastrona.pl). Przeglądarka wysyła tam zdarzenia, a serwer przekazuje je do GA4, Meta, Google Ads i gdzie tam jeszcze trzeba. Ponieważ ciasteczko ustawia teraz Twój serwer nagłówkiem HTTP, a nie JavaScript, 7-dniowy limit ITP go nie dotyczy. Odzyskujesz normalną żywotność.

To oznacza też, że adblocki, które w większości działają blokując żądania do znanych domen third-party, nie widzą już żądania do google-analytics.com. Widzą żądanie do Twojej własnej domeny.

Ile kosztuje: mniej więcej €50-200/miesiąc hostingu w chmurze dla średniej wielkości strony, plus wdrożenie. To nie jest projekt na weekend, a zrobienie tego źle jest gorsze niż nierobienie w ogóle.

Czego NIE naprawia: zgody. To najważniejsza część i ta, która bywa nadużywana. Tagowanie server-side nie czyni zgody opcjonalną. Jeśli użytkownik odmówi przechowywania danych analitycznych, nadal nie możesz ustawić ciasteczka analitycznego, a przeniesienie kodu na serwer niczego w tym nie zmienia od strony prawnej. Używanie server-side do obejścia odmowy zgody to zwyczajne naruszenie RODO przebrane za decyzję architektoniczną.

Audytowałem konfiguracje, gdzie agencja wdrożyła server-side właśnie po to, żeby klient "nie musiał się już przejmować bannerem cookie". To nie jest rozwiązanie techniczne. To odpowiedzialność prawna z miesięcznym rachunkiem za hosting. Jeśli chcesz poznać mechanikę, zacznij od poradnika o server-side GTM.

Metoda 2: Consent Mode v2 z modelowaniem

Co naprawia: lukę pomiarową powstałą przez odmowy zgody.

Kiedy użytkownik odmawia zgody, tagi Google się nie zatrzymują. Wysyłają ping bez ciasteczek: bez identyfikatorów, bez zapisu, tylko sygnał, że coś się wydarzyło. Google używa potem zachowań użytkowników wyrażających zgodę, żeby statystycznie zamodelować, co prawdopodobnie zrobili ci, którzy jej odmówili.

Odzyskujesz konwersje modelowane. Nie prawdziwe, tylko modelowane, i Google mówi wprost, że to szacunki.

Ile kosztuje: nic ponad poprawne wdrożenie.

Czego wymaga: wolumenu. Modelowanie potrzebuje wystarczająco dużo ruchu ze zgodą, żeby się czegokolwiek nauczyć. Poniżej mniej więcej 1000 zdarzeń dziennie i kilkuset konwersji miesięcznie Google w ogóle nie zamodeluje i nie dostaniesz nic. Małe strony są z tego odzysku strukturalnie wykluczone, o czym nikt nie wspomina, polecając tę metodę.

Błąd, który znajduję najczęściej: tryb zaawansowany wzorowo skonfigurowany w GTM, a modelowanie nigdy niewłączone w usłudze GA4. Cała instalacja, zero wody. Te dwie połówki mieszkają w różnych produktach i ludzie konfigurują jedną. Cały łańcuch sygnałów opisuje poradnik Consent Mode v2.

Metoda 3: Dane first-party

Co naprawia: tożsamość. Na stałe.

Jeśli użytkownik się loguje, zapisuje albo kupuje, masz jego adres email. Zahaszuj go, a masz identyfikator, który przeżywa każdą zmianę przeglądarki, każdą aktualizację ITP i każdą deprecjację ciasteczek, bo w ogóle nie mieszka w przeglądarce.

To właśnie zasila GA4 User-ID, konwersje rozszerzone w Google Ads i Meta Conversions API. To jedyna metoda z tej listy, która z czasem robi się lepsza, a nie degraduje.

Ile kosztuje: pracy produktowej, nie trackingowej. Potrzebujesz powodu, dla którego ludzie się identyfikują, a ten powód musi być dla nich wart więcej niż ich anonimowość.

Gdzie zawodzi: obejmuje wyłącznie zidentyfikowanych użytkowników. Dla serwisu medialnego, gdzie 98% czytelników nigdy się nie loguje, dane first-party nie rozwiązują prawie nic w analityce ruchu. Dla sklepu, gdzie każdy kupujący podaje email w koszyku, rozwiązują prawie wszystko w pomiarze konwersji.

Ustal, którym z nich jesteś, zanim tu zainwestujesz.

Metoda 4: Pomiar zagregowany i modelowany

Co naprawia: pytania strategiczne, nie pojedyncze ścieżki.

Jeśli nie możesz śledzić osoby, mierz agregat. Marketing mix modeling koreluje wydatki z wynikami na poziomie kanału i nie potrzebuje żadnych danych na poziomie użytkownika. Testy inkrementalności wyłączają kanał w jednym regionie i porównują z grupą kontrolną.

Brzmi jak krok wstecz. W rzeczywistości to jedyna metoda z tej listy, która nigdy Cię nie okłamie, bo w ogóle nie zależy od trackingu. Jeśli wyłączysz kanał, a przychód spadnie bardziej, niż mu przypisano, to znaczy, że wytwarzał popyt, który Twój model atrybucji zaliczał komuś innemu.

Ile kosztuje: czasu analitycznego i wystarczających wydatków, żeby matematyka miała sens.

Gdzie zawodzi: nie powie Ci, który przycisk przesunąć na landing page'u. Złe narzędzie do optymalizacji, właściwe do alokacji budżetu.

Metoda 5: Fingerprinting, i dlaczego nie

Co robi: buduje probabilistyczny identyfikator z cech przeglądarki, rozmiaru ekranu, czcionek, strefy czasowej, GPU i dziesiątek innych sygnałów. Jest skuteczny, trwały i nie potrzebuje ciasteczka.

Dlaczego nie powinieneś używać go w UE: to jest przechowywanie i dostęp w rozumieniu ePrivacy oraz przetwarzanie danych osobowych w rozumieniu RODO. Wymaga zgody dokładnie tak samo jak ciasteczko, i jest wręcz gorszy, bo użytkownik go nie widzi, nie może go wyczyścić i nie może się z niego wypisać. Regulatorzy wypowiadali się w tej sprawie jednoznacznie, a "dostawca powiedział, że to cookieless, więc było w porządku" ani razu nie zadziałało jako linia obrony.

Część dostawców sprzedaje fingerprinting jako "analitykę bez ciasteczek" i technicznie to prawda. To także powód, żeby czytać, co narzędzie naprawdę robi, zanim je kupisz, a nie w jakiej kategorii samo siebie umieszcza.

Jeśli narzędzie obiecuje Ci pełny pomiar bez wymaganej zgody, robi jedną z dwóch rzeczy: fingerprinting albo kłamie. Od obu warto odejść.

Twoja mapa drogowa śledzenia bez ciasteczek, po kolei

Dla większości firm w UE, w tej właśnie kolejności:

1. Najpierw napraw zgody. Lepszy banner z jaśniejszym tekstem podnosi współczynnik zgód bardziej niż jakakolwiek zmiana architektury. Każdy punkt procentowy zgody to dane, które dostajesz za darmo i na stałe.
2. Włącz Consent Mode v2 Advanced i sprawdź, czy modelowanie faktycznie działa w GA4. Za darmo, a to najczęstsza rzecz, którą znajduję wdrożoną w połowie.
3. Zbieraj dane first-party wszędzie tam, gdzie wymiana jest uczciwa. Logowania, newslettery, konta. Nie ciemne wzorce.
4. Dopiero potem rozważ tagowanie server-side. To największy wysiłek techniczny i najbardziej się opłaca, gdy pierwsze trzy punkty są już zrobione. Robienie tego jako pierwszego to częsty i kosztowny błąd kolejności.
5. Do decyzji budżetowych używaj pomiaru zagregowanego. Przestań zmuszać tracking na poziomie użytkownika do odpowiadania na pytania, na które strukturalnie nie może odpowiedzieć.

Zwróć uwagę, że najtańsze działania są pierwsze, a to drogie jest czwarte. Ta kolejność jest celowa i jest odwrotnością tego, jak większość agencji sprzedaje tę robotę.

Najczęstsze pytania

Czym jest śledzenie bez ciasteczek? To mierzenie zachowań użytkowników bez opierania się na ciasteczkach third-party, a często bez identyfikatorów przechowywanych w przeglądarce. W praktyce łączy tagowanie server-side, modelowanie w Consent Mode, dane first-party i pomiar zagregowany.

Czy śledzenie bez ciasteczek oznacza, że nie potrzebuję bannera cookie? Nie. Zgoda w prawie unijnym dotyczy przechowywania lub dostępu do informacji na urządzeniu i przetwarzania danych osobowych, a nie słowa "ciasteczko". Tagowanie server-side, fingerprinting i local storage nadal wymagają zgody. Dostawca, który twierdzi inaczej, sprzedaje Ci problem prawny.

Czy tagowanie server-side omija wymóg zgody? Nie, a używanie go w ten sposób jest naruszeniem RODO. Server-side naprawia żywotność ciasteczek i straty przez adblocki. Nie zmienia tego, co wolno Ci zrobić, gdy użytkownik powie nie.

Czy odzyskam wszystkie utracone dane dzięki śledzeniu bez ciasteczek? Nie. Te metody ograniczają stratę, nie eliminują jej. Użytkownik, który odmówił zgody, pozostaje odmawiający. Modelowanie w Consent Mode zwraca statystyczne szacunki dla części luki, i tylko jeśli masz wystarczający wolumen ruchu, żeby model w ogóle zadziałał.

Czy fingerprinting jest legalny w UE? Nie bez zgody. Fingerprinting podlega przepisom ePrivacy o przechowywaniu i dostępie oraz przetwarzaniu danych osobowych z RODO. Nazwanie go "cookieless" niczego nie zwalnia, a regulatorzy odnieśli się do tego wprost.

Co jest najtańszą rzeczą, którą mogę zrobić najpierw? Poprawić współczynnik zgód. Jaśniejszy banner nie kosztuje nic architektonicznie, a każda dodatkowa zgoda to dane trwałe, niemodelowane i w pełni dokładne. Większość firm przeskakuje od razu do drogiej infrastruktury i zostawia to na stole.

Co dalej

Śledzenie bez ciasteczek nie jest produktem, który się kupuje. To sekwencja decyzji, a kolejność ma większe znaczenie niż narzędzia.

Zacznij od ustalenia, co faktycznie tracisz. Sprawdź swój odsetek odmów zgody, a potem sprawdź, czy modelowanie w Consent Mode jest naprawdę włączone w GA4, a nie tylko skonfigurowane w GTM. Ta jedna kontrola rozstrzyga zaskakująco wiele rozmów w stylu "nasze dane są zepsute" i nie kosztuje nic.

Potem bądź uczciwy co do tego, która metoda pasuje do Twojego biznesu. Zalogowany produkt SaaS i anonimowy serwis medialny mają zupełnie inne problemy z cookieless, a kopiowanie swoich rozwiązań nawzajem marnuje pieniądze w obie strony.

I traktuj każdego, kto obiecuje pełny pomiar bez zgody, jako czerwoną flagę, a nie dostawcę. W Unii ta obietnica to albo fingerprinting, albo fikcja.

Jeśli chcesz, żeby ktoś porządnie sprawdził Twoją obecną konfigurację, darmowy audyt GTM prześwietla, jak Twoje tagi obsługują zgody. A jeśli chcesz mieć to wdrożone albo niezależnie weryfikowane co miesiąc, od tego jest monitoring GTM i GA4. €150/miesiąc za GTM, €250/miesiąc za GTM plus GA4. Wdrożenie server-side wyceniane osobno, €80/godzinę. Pełny cennik tutaj.

---

Źródła

• Intelligent Tracking Prevention i żywotność ciasteczek (WebKit)
• Consent Mode i modelowanie behawioralne (Google)
• Wytyczne EDPB do art. 5(3) dyrektywy ePrivacy (EDPB)