V roce 2026 zůstávají cookies jednou z nejpřísněji kontrolovaných oblastí vymáhání ochrany osobních údajů v Evropské unii. Dozorové úřady v celé EU vydávají zásadní pokuty a podrobné směrnice. Problém se však zdaleka netýká jen jedné země: podle GDPR a směrnice ePrivacy 2002/58/ES musí každý web přístupný v rámci EU dodržovat přísná pravidla pro souhlas s cookies. S pokutami dosahujícími až 20 milionů eur nebo 4 % celosvětového ročního obratu jsou vyhovující zásady cookies nejen doporučené — jsou právní nutností.
Právní rámec pro cookies v EU
Regulace cookies stojí na dvou pilířích: směrnici ePrivacy 2002/58/ES a GDPR. Směrnice ePrivacy stanoví zásadu, že ukládání informací nebo přístup k informacím uloženým na zařízení uživatele vyžaduje předchozí souhlas, s omezenými výjimkami. Každý členský stát EU transponoval tuto směrnici do národního práva — v České republice prostřednictvím zákona o elektronických komunikacích.
GDPR (články 5, 6 a 7) upravuje podmínky platného souhlasu: musí být svobodně udělený, konkrétní, informovaný a jednoznačný. Článek 13 vyžaduje, aby uživatelé obdrželi úplné informace o zpracování dat spojeném s cookies. Pro ověření, zda se na váš web tyto povinnosti vztahují, si přečtěte náš kompletní průvodce tím, koho se GDPR skutečně týká.
Typy cookies a jejich pravidla
Ne všechny cookies podléhají stejným požadavkům. Dozorové úřady jasně rozlišují dvě kategorie:
Cookies osvobozené od souhlasu
Určité cookies jsou nezbytně nutné pro fungování webu a nevyžadují souhlas. Patří sem cookies relace (nákupní košík, přihlášení), cookies jazykových preferencí, cookies pro vyvážení zátěže serveru a cookies měření návštěvnosti, pokud jsou konfigurovány tak, aby neumožňovaly sledování mezi weby (například omezená konfigurace Matomo).
Cookies vyžadující výslovný souhlas
Předchozí souhlas je povinný pro reklamní a cílící cookies, cookies sociálních sítí (tlačítka sdílení, vložené widgety), cookies analýzy navigace používané pro komerční účely (Google Analytics ve standardní konfiguraci), cookies personalizace obsahu na základě profilů uživatelů a sledovací pixely třetích stran.
Zásadní bod zdůrazňovaný dozorovými úřady: pouhé pokračování v prohlížení webu nepředstavuje platný souhlas. Uživatel musí provést jasnou, pozitivní akci pro každý účel zpracování.
Vyhovující cookie banner: Co je vyžadováno
Cookie banner je mechanismus, jehož prostřednictvím získáváte souhlas uživatele. Dozorové úřady EU stanoví přesné požadavky, aby byl považován za vyhovující:
Jasně informovat uživatele: banner musí uvádět účely cookies, identitu správců dat (nebo odkaz na úplný seznam) a možnost přijmout nebo odmítnout.
Nabídnout skutečnou volbu: tlačítko „Odmítnout” (nebo „Pokračovat bez přijetí”) musí být stejně viditelné a přístupné jako tlačítko „Přijmout”. Dozorové úřady pokutují společnosti za klamavé designy, kde bylo odmítnutí záměrně ztíženo.
Umožnit podrobný souhlas: uživatel musí mít možnost přijmout nebo odmítnout cookies podle účelu (reklama, analytika, sociální sítě atd.), buď přímo z první obrazovky, nebo přes druhou úroveň dostupnou jedním kliknutím.
Nenastavovat cookies před souhlasem: nezbytné cookies nesmí být nastaveny, dokud uživatel neudělí souhlas. Načítání skriptů třetích stran (Google Analytics, Facebook Pixel atd.) musí být podmíněno souhlasem.
Uchovávat důkaz souhlasu: musíte být schopni prokázat, že uživatel souhlasil, kdy a pro jaké účely. Maximální doba platnosti souhlasu je 13 měsíců.
Pro nasazení vyhovujícího banneru bez technického úsilí nabízí WebLegal bezplatný GDPR cookie banner, který splňuje všechny tyto požadavky a lze ho nastavit během několika minut.
Co musí vaše zásady cookies obsahovat
Nad rámec banneru jsou zásady cookies samostatný dokument, který podrobně popisuje vaši celou praxi s cookies. Podle článků 12 a 13 GDPR musí obsahovat:
- Identifikační a kontaktní údaje správce dat
- Vyčerpávající seznam používaných cookies (název, účel, životnost, vydavatel)
- Účely každého cookie, popsané jasně a srozumitelně
- Právní základ zpracování (souhlas pro nezbytné cookies, oprávněný zájem pro technické cookies)
- Příjemce shromážděných dat (reklamní partneři, analytické nástroje atd.)
- Případné přenosy dat mimo EU
- Doby uchovávání dat
- Práva uživatelů (přístup, oprava, výmaz, námitka) a způsob jejich uplatnění
- Jak spravovat cookies (jak změnit nebo odvolat souhlas)
Tyto zásady musí být trvale přístupné, obvykle přes odkaz v patičce, a musí být oddělené od vašich zásad ochrany osobních údajů, i když se oba dokumenty vzájemně doplňují.
Nejčastější chyby
Mnoho webů stále dělá chyby, které je vystavují vymáhacím opatřením:
„Cookie wall” bez alternativy. Blokování přístupu na web, pokud uživatel odmítne cookies, je obecně považováno za nesouladné, protože podkopává svobodnou povahu souhlasu.
Klamavý design (dark patterns). Výrazně barevné tlačítko „Přijmout vše” spárované s nenápadným šedým odkazem „Nastavení” představuje dark pattern. Dozorové úřady vyžadují rovnocennou viditelnost možností přijetí a odmítnutí.
Žádná možnost odvolat souhlas. Uživatel musí mít možnost odvolat souhlas kdykoli, stejně snadno jako byl udělen. Trvalý odkaz na nastavení cookies (často přes malý widget ve spodní části stránky) je nezbytný.
Nastavování cookies před souhlasem. Mnoho webů načítá Google Analytics, Facebook Pixel nebo jiné trackery ihned při načtení stránky, před jakoukoli interakcí s bannerem. To je přímé porušení pravidel ePrivacy.
Sankce: Co vám hrozí
Dozorové úřady v celé EU mají škálu sankcí přiměřených závažnosti porušení:
Formální upozornění: úřad může nařídit soulad v stanovené lhůtě, obvykle 1–3 měsíce. Toto je často první krok, ale bývá zveřejněn a může poškodit vaši pověst.
Správní pokuty: podle GDPR mohou pokuty dosáhnout 20 milionů eur nebo 4 % celosvětového ročního obratu.
Příkazy k zastavení: úřad může nařídit okamžité zastavení nesouladného zpracování, což může vyžadovat deaktivaci všech analytických a reklamních nástrojů.
Penále za prodlení: v případě nesplnění příkazu mohou být uloženy sankce až 100 000 eur za den prodlení.
Jak dosáhnout souladu: Vaše možnosti
Najměte si specializovaného právníka (300–800 EUR): specialista na digitální právo vám vypracuje zásady cookies na míru. Nejvíce personalizované řešení, ale s vysokými náklady a lhůtou několika týdnů.
Použijte bezplatné online šablony (zdarma, ale riskantní): šablony zásad cookies existují, ale jsou zřídka aktualizované a vyžadují 3–5 hodin přizpůsobení. Bez technických znalostí je obtížné sestavit přesný seznam cookies nasazených na vašem webu.
Použijte obecnou AI (zdarma + revize za 150–300 EUR): tyto nástroje mohou vytvořit první návrh, ale zásady cookies vyžadují přesné technické informace, které AI bez předchozího auditu nezná. Právní revize zůstává nezbytná.
Použijte specializovanou právní AI (19,90–49,90 EUR): řešení jako WebLegal.ai generují vyhovující zásady cookies během několika minut. Dokument pokrývá požadavky GDPR a ePrivacy a je připraven k publikaci. Pro kompletní ochranu je zkombinujte se 4 základními právními dokumenty pro váš web.
Závěr
Zásady cookies a vyhovující banner souhlasu již v roce 2026 nejsou volitelné: jsou to právní povinnosti, jejichž porušení vás vystavuje značným pokutám a významným reputačním rizikům. S rostoucím vymáháním v celé EU musí mít každý web vyhovující banner a kompletní, aktuální zásady cookies. Nečekejte, až vás zastihne šetření — zajistěte si soulad ještě dnes. Pro kontrolu aktuálního stavu souladu svého webu použijte bezplatný skener WebLegal.