Cookie lišta podle zákona: co musí splňovat

Co říká zákon

Ukládání informací do zařízení návštěvníka a přístup k nim, tedy cookies a podobné technologie, upravuje v Česku § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Od 1. ledna 2022 je souhlas návštěvníka základní pravidlo: bez něj smí web ukládat jen cookies nezbytné pro poskytnutí služby, kterou si návštěvník vyžádal. Dohled nad tím v Česku vykonává Úřad pro ochranu osobních údajů (ÚOOÚ).

Na Slovensku platí stejný princip v § 109 odst. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách. Dozor nad ním vykonává Úrad pre reguláciu elektronických komunikácií a poštových služieb, který k získávání souhlasu vydal vlastní stanovisko. Pokud cookies zpracovávají osobní údaje, přidává se navíc GDPR a dozor slovenského ÚOOÚ. Souhlas musí splňovat požadavky GDPR: svobodný, konkrétní, informovaný a jednoznačný.

Co musí lišta splňovat

Zákon nepředepisuje vzhled lišty, ale z výkladu úřadů a ze společných kontrol evropských dozorových orgánů vyplývají pravidla, která se v praxi uplatňují:

• Tlačítko Odmítnout (nebo Pouze nezbytné) na první vrstvě. Když je přijetí jedním klikem a odmítnutí schované v nastavení, souhlas není svobodný.
• Rovnocenná tlačítka. Podobná velikost, kontrast a umístění. Zelené velké Přijmout vedle šedého drobného odkazu je typický „dark pattern“.
• Žádná předzaškrtnutá pole. Každá kategorie mimo nezbytných je ve výchozím stavu vypnutá a návštěvník ji zapne sám.
• Souhlas po kategoriích. Alespoň analytika, marketing a případně preference, s možností volit zvlášť.
• Srozumitelná informace. Co se ukládá, k čemu, jak dlouho a kdo je příjemce, s odkazem na zásady cookies.
• Odvolání stejně snadné jako udělení. Trvalý odkaz nebo ikona, kterou souhlas kdykoliv změníte.
• Žádný souhlas kliknutím jinam. Pokračování v prohlížení nebo zavření lišty souhlasem není.

Lišta, která tohle všechno splňuje, ale ve skutečnosti nic nestráží, je stejně špatně. Zákon posuzuje, co web dělá, ne co lišta slibuje.

Které cookies souhlas nepotřebují

Souhlas se nevyžaduje u cookies, bez kterých by služba nefungovala, nebo která slouží jen k přenosu zprávy v síti. Na e-shopu jsou to typicky cookies košíku a relace, přihlášení zákazníka, volba jazyka a měny, ochrana před zneužitím formulářů a cookie, která si pamatuje samotnou volbu na liště.

Nezbytné nejsou analytika (GA4, Hotjar), reklamní a remarketingové značky (Meta Pixel, Google Ads, Sklik, TikTok), A/B testy ani většina vložených widgetů třetích stran, například mapy nebo videa. Rozlišuje se podle účelu, ne podle toho, jak se cookie jmenuje. Pozor také na „statistiky z vlastního zájmu“: pro zákon je to stále analytika.

Jak si lištu ověřit sami

Zkoušku děláme na čistém prohlížeči, aby vám nepřekážely uložené volby.

1. Otevřete e-shop v anonymním okně

   V Chrome stiskněte Ctrl+Shift+N (na Macu Cmd+Shift+N) a zadejte adresu e-shopu. Lišta se musí zobrazit hned při prvním načtení.

2. Zkontrolujte první vrstvu

   Bez klikání se podívejte, jaká tlačítka lišta nabízí. Najdete tlačítko pro odmítnutí? Je podobně velké a výrazné jako přijetí? Jsou v nastavení všechna volitelná pole vypnutá?

3. Podívejte se na cookies před kliknutím

   Stiskněte F12, otevřete záložku Application a vlevo Cookies. Bez jakékoli volby by měly být vidět jen nezbytné cookies e-shopu. Pokud tam jsou _ga, _fbp nebo _gcl_au, běží značky před souhlasem.

4. Odmítněte a projděte web

   Klikněte na Odmítnout, přejděte na kategorii, produkt a do košíku. Po každém kroku znovu zkontrolujte seznam cookies a záložku Network, jestli neodcházejí požadavky na facebook.com/tr nebo google-analytics.com/g/collect.

5. Zkuste změnit volbu

   Najděte odkaz pro změnu souhlasu (obvykle v patičce). Musí fungovat a změna se musí projevit: po odvolání souhlasu značky přestanou odesílat data.

Nejčastější chyby na e-shopech

• Lišta s jediným tlačítkem Souhlasím, nebo s odmítnutím až ve druhém kroku.
• Předzaškrtnutá kategorie Analytika nebo Marketing.
• Značky vložené v šabloně nebo v Google Tag Manageru bez podmínky souhlasu. Lišta pak jen „dekoruje“ stránku.
• Staré kódy z dob před lištou, například ručně vložený Meta Pixel v hlavičce.
• Lišta v češtině, ale texty a kategorie neodpovídají tomu, co web skutečně ukládá.

Detailní postup, jak zjistit, jestli reklamní pixel běží před souhlasem, najdete v návodu Jak zjistit, jestli Meta Pixel běží před souhlasem. K signálům souhlasu pro Google patří Consent Mode v2 na Shoptetu.

Souhlas a dokazatelnost

Provozovatel musí být schopen prokázat, že souhlas získal. U cookie lišty to znamená, aby lišta uchovávala záznam o volbě návštěvníka (co a kdy zvolil, v jaké verzi textů) a aby se volba po čase, obvykle v řádu měsíců, znovu vyžádala. Hodnotu pro „po jak dlouhé době se ptát znovu“ zákon neurčuje, rozumné je řídit se pokyny dozorového úřadu a nastavením vaší lišty.

Dokazatelnost se týká i změn na webu. Když přidáte nový nástroj, který ukládá další cookies, musí se text lišty a seznam cookies aktualizovat a souhlas se u dotčených kategorií doplnit. Jinak lišta popisuje web, který už neexistuje.

Co dělat, když lišta neprojde

Oprava má obvykle tři části: nastavit lištu s odmítnutím na první vrstvě a bez předzaškrtnutých polí, najít všechny značky, které se spouštějí mimo ni, a připojit je na souhlas. U Shoptetu, WooCommerce nebo Shopify se postup liší, ale princip je stejný.

Tohle děláme jako pevnou zakázku na stránce Cookie lišta a Consent Mode: oprava stojí 1 490 Kč bez DPH a platíte ji až po ověření. Text je praktický přehled, ne právní rada. U sporných případů, například nezbytnost konkrétní cookie, doporučujeme ověřit postup s právníkem.