Firma spouští nový web s Google Analytics a reklamním pixelem a webdesignér se ptá, jakou cookie lištu nasadit. Cookies na webu mimo technicky nezbytné smí web ukládat jen se souhlasem návštěvníka. Platí to od 1. ledna 2022 podle § 89 odst. 3 zákona o elektronických komunikacích a týká se to i analytiky. Lišta musí nabízet tlačítko Odmítnout stejně viditelné jako Souhlasím. Dozor vykonává Úřad pro ochranu osobních údajů a pokutuje podle GDPR.
Věta „pokračováním na webu souhlasíte s cookies“ ani nastavení prohlížeče souhlas nenahrazují. Tento výklad z let před rokem 2022 už neplatí.
Ve zkratce
- Souhlas se vyžaduje u všech cookies kromě technicky nezbytných, včetně analytiky.
- Stejné pravidlo platí pro local storage, fingerprinting a sledovací pixely.
- Tlačítko Odmítnout musí být ve stejné vrstvě jako Souhlasím a ve srovnatelném vzhledu.
- Předem zaškrtnutá políčka, scrollování ani zavření lišty souhlas nejsou.
- Souhlas musí jít odvolat stejně snadno, jako se uděluje.
- Dozor má ÚOOÚ, pokuta podle GDPR až 20 milionů eur nebo 4 % obratu.
Kdy je potřeba souhlas
Podle § 89 odst. 3 zákona o elektronických komunikacích lze ukládat údaje do zařízení uživatele nebo k nim přistupovat jen s jeho souhlasem, pokud nejde o technické uložení nezbytné pro poskytnutí služby, o kterou si uživatel výslovně řekl. Tento princip opt in platí od 1. ledna 2022. Soudní dvůr EU v rozsudku Planet49 potvrdil, že nezáleží na tom, zda jde o osobní údaje.
| Druh cookies | Souhlas | Příklad |
|---|---|---|
| Technicky nezbytné | Není potřeba | Košík, přihlášení, uložení volby na cookie liště |
| Analytické | Potřeba | Měření návštěvnosti |
| Preferenční | Potřeba, pokud nejde o výslovně vyžádanou funkci | Zapamatování nastavení, které uživatel nežádal |
| Marketingové | Potřeba | Reklamní pixely, remarketing |
Výjimku pro anonymní analytiku české právo nezná. Když web používá jen technicky nezbytné cookies, cookie lišta potřeba není. Informace o zpracování osobních údajů je ale nutné zveřejnit jinak, například odkazem na viditelném místě. Obecné povinnosti popisuje článek o GDPR v malé firmě.
Jak má vypadat cookie lišta
Podle Úřadu pro ochranu osobních údajů a pokynů Evropského sboru pro ochranu osobních údajů musí souhlas být svobodný, konkrétní, informovaný a jednoznačný. V praxi to znamená:
- tlačítko Odmítnout ve stejné vrstvě jako Souhlasím, ideálně hned v první a ve srovnatelném vzhledu,
- žádná předem zaškrtnutá políčka,
- zavření lišty, scrollování ani nečinnost se za souhlas nepovažují a nepotřebné cookies zůstávají vypnuté,
- žádná cookie wall, tedy podmínění přístupu k obsahu souhlasem,
- informace o účelech, době platnosti cookies a třetích stranách, které k nim mají přístup,
- možnost souhlas kdykoli odvolat stejně snadno, například odkazem v patičce.
Platnost souhlasu a evidence
Úřad pro ochranu osobních údajů považuje souhlas obecně za platný 12 měsíců. Po odmítnutí by lišta neměla návštěvníka znovu obtěžovat dříve než za 6 měsíců. Samostatnou povinnost evidovat souhlasy zákon nestanoví, správce ale musí umět udělení souhlasu doložit. Nástroje pro správu souhlasů to obvykle umožňují.
Analytika a reklamní nástroje
Měřicí a reklamní skripty se smějí spustit až po udělení souhlasu. Nástroje jako Google Consent Mode upravují chování měření podle volby návštěvníka. Jejich právní hodnocení úřad samostatně nezveřejnil, proto je vhodné je nastavit tak, aby bez souhlasu neukládaly žádné netechnické údaje. Souhlas s uložením cookies a právní titul pro další zpracování údajů jsou podle úřadu dvě různé věci, které lze získat zároveň.
E-mailový marketing se řídí jinými pravidly, jak vysvětluje článek o obchodních sděleních a newsletteru.
Dozor a pokuty
Dozor vykonává Úřad pro ochranu osobních údajů, ne Český telekomunikační úřad. Zákon o elektronických komunikacích za porušení § 89 odst. 3 samostatný přestupek nemá. Úřad proto posuzuje ukládání cookies bez souhlasu jako porušení zásady zákonnosti podle čl. 5 GDPR, kde horní hranice pokuty činí 20 milionů eur nebo 4 % celosvětového obratu. V roce 2023 uložil úřad za cookies pokuty v celkové výši přes 4 miliony Kč.
Návrh evropského nařízení ePrivacy, které mělo pravidla sjednotit, Evropská komise v roce 2025 stáhla. Platí tedy dosavadní úprava.
Šest kroků ke správné cookie liště
Postup pro firemní web a e-shop.
- Zjistěte, jaké cookies a skripty web používá, včetně pixelů a vložených videí.
- Rozdělte je na nezbytné, analytické, preferenční a marketingové.
- Nastavte blokování, aby se nepotřebné skripty spustily až po souhlasu.
- Dejte Odmítnout a Souhlasím vedle sebe ve stejném vzhledu.
- Doplňte informace o účelech, době platnosti a třetích stranách.
- Umožněte odvolání souhlasu kdykoli, například odkazem v patičce.
Další povinnosti webů a e-shopů shrnuje článek o obchodních podmínkách e-shopu a náš průvodce firmou, živností a smlouvami.
Časté otázky
Potřebuje Google Analytics souhlas návštěvníka?
Ano. Analytické cookies nejsou technicky nezbytné a české právo pro ně výjimku nemá.
Stačí cookie lišta jen s tlačítkem Souhlasím?
Ne. Tlačítko Odmítnout musí být ve stejné vrstvě a ve srovnatelném vzhledu jako souhlas.
Je pokračování na webu souhlasem s cookies?
Ne. Scrollování, zavření lišty ani nečinnost se za souhlas nepovažují.
Kdo kontroluje cookies na webech?
Úřad pro ochranu osobních údajů. Pokutuje podle GDPR, až 20 milionů eur nebo 4 % obratu.
Jak dlouho platí souhlas s cookies?
Úřad pro ochranu osobních údajů ho obecně považuje za platný 12 měsíců.
Musí mít cookie lištu web jen s technickými cookies?
Ne. Informace o zpracování osobních údajů je ale nutné zveřejnit jiným způsobem.
Zdroje
- Zákon o elektronických komunikacích, § 89 odst. 3, zákon č. 127/2005 Sb. (zakonyprolidi.cz)
- Otázky a odpovědi ke cookies, Úřad pro ochranu osobních údajů (uoou.gov.cz)
- Rozsudek SDEU Planet49, C-673/17, Soudní dvůr EU (eur-lex.europa.eu)
- Report cookie banner taskforce, Evropský sbor pro ochranu osobních údajů (edpb.europa.eu)
