Potřebujete cookie lištu? Pravidla souhlasu podle regionů

Projděte tyto kroky v novém anonymním okně prohlížeče s otevřenými vývojářskými nástroji:

1. Vypište každou cookie a každou položku úložiště, kterou váš web nastavuje, a každý požadavek na třetí stranu, který odešle dřív, než na cokoli kliknete.
2. Každou z nich zařaďte: nezbytně nutná, předvolby, analytika, reklama nebo vložený obsah.
3. Zjistěte, odkud jsou vaši návštěvníci. Pokud máte návštěvníky z EU nebo Spojeného království, vztahují se na nevyňaté položky pravidla souhlasu. Pokud obsluhujete jen USA, soustřeďte se na práva na odmítnutí a informační povinnosti.
4. Výjimky uplatňujte poctivě. Ve Spojeném království ověřte podmínky pro statistiku a vzhled. V zemích EU si ověřte národní pokyny k analytice.
5. Rozhodněte se. Pokud pro návštěvníky z EU nebo Spojeného království zbývá cokoli nevyňatého, potřebujete lištu se souhlasem, která to zablokuje, dokud lidé nesouhlasí.
6. Aktualizujte zásady ochrany osobních údajů, aby popisovaly cookies, chování souhlasu a způsob, jak volby změnit.

Pokud je seznam krátký, zvažte spíš odebrání nástrojů než přidání lišty. Písma hostovaná na vlastním serveru, vložený obsah načítaný až po kliknutí a odstranění nepoužívaných pixelů vám mohou ponechat jen nezbytné cookies. K samotným zásadám si přečtěte, jak vytvořit zásady ochrany osobních údajů pro web.

Výjimka pro nezbytně nutné cookies je užší, než mnoho cookie lišt tvrdí. Ptejte se, zda by služba, o kterou uživatel požádal, bez dané cookie přestala fungovat, a to z pohledu uživatele, ne firmy.

Obvykle vyňaté:

• Relační cookies, které udržují přihlášení nebo pamatují obsah nákupního košíku.
• Bezpečnostní cookies, které brání podvodům nebo chrání přihlašovací formuláře.
• Cookies pro rozložení zátěže, které směrují požadavky.
• Cookie, která si pamatuje volbu souhlasu návštěvníka.
• Podle výkladu některých dozorových úřadů předvolby, které si uživatel sám nastavil pro aktuální službu, například jazyk.

Obvykle nevyňaté:

• Reklamní, retargetingové pixely a pixely sociálních sítí.
• Většina analytiky třetích stran.
• Vložená videa a příspěvky ze sociálních sítí, které nastavují vlastní cookies.
• Nástroje pro A/B testování a personalizaci.

Některé dozorové úřady uznávají úzkou střední cestu. Francouzský úřad CNIL například připouští, že měření návštěvnosti může být vyňato, pokud je striktně omezeno na měření webu pro jeho provozovatele, vytváří anonymní statistiky a nesleduje lidi napříč weby, a to za podmínek týkajících se životnosti cookies a uchovávání dat. Než se na takovou výjimku spolehnete, ověřte si pokyny v každé zemi, na kterou cílíte.

Pokud souhlas potřebujete, musí ho cookie lišta získat správně. Evropské dozorové úřady se k běžným chybám vyjádřily jasně. Zpráva pracovní skupiny Evropského sboru pro ochranu osobních údajů pro cookie lišty (Cookie Banner Taskforce) zjistila, že většina úřadů považuje lištu bez možnosti odmítnutí na stejné úrovni jako tlačítko přijetí za porušení, a kritizovala klamavý design tlačítek i cookies nesprávně označené jako nezbytné.

Praktický kontrolní seznam:

• Blokujte před souhlasem: nepodstatné cookies a skripty se nesmějí načíst, dokud návštěvník nesouhlasí.
• Odmítnutí stejně snadné jako přijetí: na první úrovni nabídněte vedle tlačítka přijetí i tlačítko pro odmítnutí.
• Žádná předem zaškrtnutá políčka: kategorie jsou na začátku vypnuté.
• Podrobná volba: umožněte lidem přijmout analytiku bez přijetí reklamy.
• Jasné informace: uveďte účely a zapojené třetí strany a odkažte na své zásady ochrany osobních údajů.
• Snadné odvolání: trvalý odkaz, například Nastavení cookies, umožní lidem změnit názor stejně snadno, jako souhlas udělili.
• Záznamy: tam, kde se o souhlas opíráte, uchovávejte jeho doklady.

Evropské pokyny také uvádějí, že cookie zdi (cookie walls), které blokují přístup, dokud lidé nesouhlasí, obecně platný souhlas nezakládají. Lišta, která jen oznamuje „používáním tohoto webu souhlasíte s cookies“, nesplňuje téměř žádný bod tohoto seznamu.

Pravidlo EU vychází z čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích (ePrivacy), nikoli ze samotného GDPR. Stanoví, že ukládat informace do zařízení uživatele nebo získávat přístup k informacím v něm již uloženým je povoleno jen tehdy, pokud uživatel dal souhlas poté, co obdržel jasné a úplné informace. Každá země EU směrnici provádí ve vlastním zákoně, takže se podrobnosti mírně liší.

Existují dvě výjimky:

1. Ukládání nebo přístup, jejichž jediným účelem je uskutečnit přenos sdělení po síti.
2. Ukládání nebo přístup, které jsou nezbytně nutné k tomu, aby poskytovatel mohl poskytnout službu, o kterou uživatel výslovně požádal.

Tři body mnoho provozovatelů webů překvapí:

• Nejde jen o cookies. Pod pravidlo mohou spadat i local storage, pixely, SDK a techniky otisku zařízení (fingerprinting).
• Platí bez ohledu na to, zda jde o osobní údaje. Spouštěčem je přístup k zařízení.
• Souhlas se řídí standardem GDPR. Musí být svobodný, konkrétní, informovaný a jednoznačný a udělený jasným potvrzujícím úkonem. Soudní dvůr EU ve věci Planet49 rozhodl, že předem zaškrtnuté políčko platný souhlas nezakládá.

Často ano, pravidla ve Spojeném království se však změnila. Britským protějškem pravidla ePrivacy je regulation 6 předpisu Privacy and Electronic Communications Regulations. Data (Use and Access) Act 2025 ho novelizoval a příslušná ustanovení nabyla účinnosti 5. února 2026.

Pokyny ICO nyní popisují pět výjimek z požadavku na souhlas:

1. Komunikace: výhradně k přenosu sdělení.
2. Nezbytně nutné: nezbytné k poskytnutí služby, o kterou uživatel žádá.
3. Statistické účely: výhradně ke shromažďování statistických informací o tom, jak se vaše služba používá, s cílem ji zlepšit.
4. Vzhled: výhradně k přizpůsobení vzhledu nebo funkcí služby předvolbám uživatele.
5. Pomoc v nouzi: výhradně k lokalizaci zařízení za účelem poskytnutí nouzové pomoci.

Výjimky pro statistiku a vzhled mají podmínky. Musíte poskytnout jasné a úplné informace a jednoduchý, bezplatný způsob, jak vznést námitku. U analytiky ICO uvádí, že data musí být agregovaná, nesmějí sloužit ke sledování nebo profilování lidí ani k reklamě a případný poskytovatel třetí strany smí jednat jen vaším jménem, nikoli data používat pro vlastní účely. Online reklama do výjimky nikdy nespadá. Britský web, který používá jen agregovanou analytiku první strany, se tak může žádosti o souhlas vyhnout, většina reklamních nastavení ji však stále potřebuje.

V USA neexistuje obecný zákon, který by před nastavením cookies vyžadoval předchozí souhlas (opt-in). Americký model se soustředí na informování a možnost odmítnutí (opt-out), takže lišta evropského typu často není ze zákona povinná, i když ji mnoho amerických firem používá ke správě voleb.

Co americké zákony skutečně očekávají:

• Kalifornská CCPA: firmy, které splňují její prahové hodnoty a prodávají nebo sdílejí osobní údaje, včetně behaviorální reklamy napříč kontexty (cross-context behavioral advertising), musí nabídnout možnost odmítnutí, typicky odkaz Do Not Sell or Share My Personal Information, a musí respektovat signály preferencí odmítnutí, například Global Privacy Control.
• Další státní zákony o ochraně soukromí: mnohé dávají spotřebitelům právo odmítnout cílenou reklamu a několik jich vyžaduje, aby firmy respektovaly univerzální mechanismy odmítnutí. Některé vyžadují předchozí souhlas u citlivých údajů.
• CalOPPA: vyžaduje, aby vaše zásady ochrany osobních údajů uváděly, jak reagujete na signály Do Not Track a zda mohou třetí strany shromažďovat informace o online aktivitách návštěvníků napříč weby v průběhu času.
• COPPA: weby zaměřené na děti mladší 13 let obecně potřebují ověřitelný souhlas rodičů, než začnou shromažďovat trvalé identifikátory pro behaviorální reklamu.

V přehledu státních zákonů USA o ochraně soukromí zjistíte, které státy se vás týkají a jak se liší jejich pravidla pro odmítnutí.

Google k zákonu přidává smluvní požadavky. Jeho zásady souhlasu uživatelů z EU (EU user consent policy) se vztahují na koncové uživatele v Evropském hospodářském prostoru, ve Spojeném království a ve Švýcarsku. Pokud používáte produkty Google, například Google Analytics, Google Ads nebo AdSense, musíte získat právně platný souhlas s cookies nebo jiným místním úložištěm tam, kde to zákon vyžaduje, a se shromažďováním, sdílením a používáním osobních údajů pro personalizaci reklam. Musíte také uchovávat záznamy o souhlasu, srozumitelně vysvětlit, jak ho odvolat, a uvést každou stranu, která může osobní údaje shromažďovat, přijímat nebo používat.

Dva praktické důsledky:

• Vydavatelé: Google vyžaduje, aby vydavatelé používající AdSense, Ad Manager nebo AdMob při zobrazování reklam uživatelům v EHP a Spojeném království používali platformu pro správu souhlasu certifikovanou společností Google.
• Inzerenti a uživatelé analytiky: režim souhlasu Google (consent mode) umožňuje vaší cookie liště předávat značkám Google stav souhlasu s ukládáním, s uživatelskými daty pro reklamy a s personalizací reklam a značky podle toho upraví své chování.

Cokoli zavedete, popište ve svých zásadách ochrany osobních údajů. Návod k zásadám ochrany osobních údajů pro Google Analytics a informace o analytice v zásadách vysvětlují související formulace.

Ve většině případů ano, protože plní různé úkoly. Cookie lišta získává nebo zaznamenává volby ve chvíli, kdy člověk na web přijde. Zásady ochrany osobních údajů vysvětlují vaše zpracování v plném rozsahu: co jednotlivé nástroje shromažďují, proč, kdo data dostává, jak dlouho se uchovávají a jak mohou lidé změnit názor.

Obojí musí být v souladu. Pokud vaše zásady uvádějí, že analytika běží až po udělení souhlasu, musí ji lišta do té doby skutečně blokovat. Pokud se značky spouštějí ještě před volbou, vaše zásady nesmějí tvrdit opak.

Legal Policy Generator píše stranu zásad, ne cookie lištu. Neposkytuje cookie lištu ani nástroj pro správu souhlasu. Jeho dotazník se ptá, jaké sledovací technologie používáte, zda nepodstatné sledování začíná až po souhlasu, nebo už před ním s možností odmítnutí, a jak mohou lidé změnit své předvolby, a poté vybere odpovídající klauzule pro regiony, které obsluhujete. Můžete začít s generátorem zásad ochrany osobních údajů a výsledek spojit s nástrojem pro souhlas podle svého výběru.

Pokud chcete také samostatný dokument o cookies, přečtěte si článek zásady ochrany osobních údajů vs. zásady používání cookies a rozhodněte se, zda má pro váš web přidanou hodnotu.