Cookie upozornění: Průvodce souladem pro rok 2026 pro majitele webů

Cookie upozornění je jasné a snadno dostupné sdělení, které informuje návštěvníky webu o používání cookies a získává jejich souhlas tam, kde to zákon vyžaduje. Odborný termín pro základní mechanismus je „platforma pro správu souhlasu“ nebo „lišta souhlasu“, ale výraz „cookie upozornění“ popisuje viditelné oznámení, které uživatelé vidí. Podle GDPR, směrnice ePrivacy, CCPA a CPRA musí weby toto oznámení zobrazit dříve, než na zařízení návštěvníka umístí neesenciální cookies. Nesplnění této povinnosti vystavuje firmy regulatornímu vymáhání, pokutám a ztrátě důvěry uživatelů. Tento průvodce se věnuje tomu, co zákon vyžaduje, jak vytvořit vyhovující oznámení a jak jej udržovat v průběhu času.

Jaké předpisy vyžadují cookie upozornění?

Požadavky na cookie upozornění po celém světě určují tři hlavní regulatorní rámce. GDPR a směrnice ePrivacy se týkají webů zaměřených na obyvatele EU. CCPA a CPRA se vztahují na firmy zpracovávající data obyvatel Kalifornie. Brazilský LGPD sleduje podobný model založený na souhlasu. Každý rámec má odlišná pravidla, ale všechny sdílejí jeden princip: uživatelé musí mít smysluplnou kontrolu nad tím, jak jsou jejich data shromažďována.

Podle GDPR a PECR neesenciální cookies vyžadují předchozí, výslovný a jednoznačný souhlas dříve, než se spustí jakýkoli sledovací skript. „Nezbytně nutné“ cookies, jako jsou relační tokeny a data nákupního košíku, jsou z tohoto pravidla vyňaty. Analytické cookies, reklamní pixely a sledovače sociálních sítí vyňaty nejsou a vyžadují aktivní udělení souhlasu.

Zákony amerických států fungují jinak. CCPA a CPRA sledují model opt-out, což znamená, že weby mohou cookies umísťovat ve výchozím nastavení, ale musí nabídnout jasný mechanismus „Neprodávat ani nesdílet mé osobní údaje“. Mnoho amerických států také vyžaduje, aby weby respektovaly signály Global Privacy Control (GPC), což jsou signály na úrovni prohlížeče automaticky sdělující preferenci uživatele odhlásit se.

Klíčové principy sdílené napříč všemi hlavními rámci:

• Souhlas musí být udělen svobodně. Uživatelé nesmí být penalizováni za odmítnutí neesenciálních cookies.
• Souhlas musí být konkrétní. Plošné přijetí všech cookies nesplňuje požadavky GDPR.
• Souhlas musí být informovaný. Uživatelé musí před souhlasem rozumět tomu, co cookies dělají.
• Souhlas musí být odvolatelný. Odvolání souhlasu musí být stejně snadné jako jeho udělení.
• Nezbytně nutné cookies jsou vždy vyňaty z požadavků na souhlas.

Evropské úřady na ochranu osobních údajů vyžadují, aby možnosti Přijmout a Odmítnout měly stejnou vizuální výraznost. Skrytí tlačítka Odmítnout za další kliknutí nebo jeho zobrazení šedou barvou, zatímco tlačítko Přijmout je jasně zelené, je uznávaný nevyhovující vzorec.

Jak vytvořit účinné znění cookie upozornění

Účinné cookie upozornění jasně sděluje tři věci: jaké cookies web používá, proč je používá a co s tím může uživatel udělat. Sdělení se musí zobrazit dříve, než se spustí jakýkoli neesenciální cookie, nikoli po načtení stránky.

Text lišty by měl obsahovat:

• Srozumitelný popis používaných kategorií cookies (nezbytné, analytické, marketingové, preferenční).
• Účel každé kategorie, například „analytické cookies nám pomáhají porozumět, jak návštěvníci používají náš web.“
• Odkaz na samostatný dokument zásad používání cookies s úplnými technickými detaily.
• Jasná tlačítka Přijmout a Odmítnout se stejnou vizuální váhou.
• Odkaz nebo tlačítko pro podrobnou správu preferencí podle kategorií.

Samotné zásady používání cookies jsou samostatným právním dokumentem. Zásady používání cookies by měly vysvětlit všechny používané cookies, jejich kategorie, právní základy pro zpracování a práva uživatelů. Ukrytí těchto informací uvnitř obecných zásad ochrany osobních údajů nesplňuje regulatorní očekávání.

Tip: Nikdy předem nezaškrtávejte políčka souhlasu. Předem zaškrtnutá políčka nepředstavují podle GDPR platný souhlas. Každá kategorie souhlasu musí začínat nezaškrtnutá a uživatel ji musí aktivně vybrat.

Klamavé vzorce (dark patterns) jsou častým selháním souladu. „Cookie zeď“, která blokuje přístup na web, dokud uživatelé nepřijmou všechny cookies, je v rozporu s GDPR, protože souhlas není udělen svobodně, když na něm závisí přístup. Regulátoři vydali donucovací opatření zaměřená konkrétně na tuto praxi.

Dobré znění lišty je přímé a konkrétní. „Používáme analytické cookies k měření návštěvnosti a marketingové cookies k zobrazování relevantní reklamy. Můžete přijmout vše, odmítnout vše nebo spravovat své preference.“ Špatné znění lišty je vágní a manipulativní: „Používáme cookies pro zlepšení vašeho zážitku“ s viditelným pouze tlačítkem Přijmout.

Technická implementace: blokování skriptů a ukládání souhlasu

Nejčastějším selháním souladu je zobrazení lišty souhlasu, zatímco se na pozadí stále načítají sledovací skripty. Neesenciální skripty musí být ve výchozím nastavení zablokovány, dokud uživatel aktivně neudělí souhlas. Pouhé zpoždění skriptu o několik sekund tento požadavek nesplňuje.

Správný technický přístup zahrnuje tři vrstvy:

1. Blokování skriptů ve výchozím nastavení. Označte všechny neesenciální skripty atributem type, který zabrání prohlížeči v jejich spuštění. Platforma pro správu souhlasu poté nahradí zablokovanou značku aktivní teprve poté, co uživatel udělí souhlas s příslušnou kategorií.
2. Mapování kategorií souhlasu. Seskupte skripty do kategorií: nezbytné, analytické, marketingové a preferenční. Když uživatel přijme analytické, ale odmítne marketingové, měly by se spustit pouze analytické skripty.
3. Ukládání souhlasu a auditní záznamy. Záznamy o souhlasu musí obsahovat časové razítko, přijaté kategorie souhlasu a verzi zásad používání cookies platnou v daný okamžik. Postačuje hashovaný identifikátor. Ukládání jmen nebo e-mailových adres pro tento účel je zbytečné a vytváří další datové riziko.

Tip: Otestujte svou implementaci otevřením vývojářských nástrojů prohlížeče a kontrolou karty Network před interakcí s lištou souhlasu. Žádné analytické ani marketingové požadavky by se neměly objevit, dokud nekliknete na Přijmout.

Poskytnutí trvalého mechanismu pro změnu souhlasu je rovněž požadováno. Malý odkaz „Nastavení cookies“ v patičce webu, který znovu otevře správce souhlasu, tento požadavek splňuje. Odstranění tohoto odkazu po první návštěvě je mezerou v souladu, kterou regulátoři při auditech označili.

Udržování souladu: audit cookies a aktualizace upozornění

Soulad v oblasti cookies není jednorázový úkol. Weby se neustále mění. Nové pluginy, widgety třetích stran, vložená videa a reklamní skripty mohou zavést cookies, které nikdy nebyly uvedeny v původním upozornění o souhlasu. Nekategorizované cookies spouštějící se bez souhlasu uživatele představují přímé porušení předpisů, i když je lišta přítomna.

Pravidelný audit cookies zahrnuje skenování webu za účelem identifikace každého používaného cookie a sledovací technologie a následné ověření, že je každý z nich správně kategorizován a zveřejněn. Skeny by měly pokrývat všechny hlavní stránky, nejen domovskou stránku, protože skripty třetích stran se často na různých typech stránek načítají odlišně.

Osvědčené postupy pro průběžný soulad:

• Naplánujte skeny cookies alespoň čtvrtletně nebo po každé významné aktualizaci webu.
• Zdokumentujte každý nalezený cookie, včetně jeho názvu, poskytovatele, kategorie, doby trvání a účelu.
• Aktualizujte zásady používání cookies a kategorie lišty vždy, když jsou přidány nebo odstraněny nové cookies.
• Přezkoumejte toky souhlasu při vstupu na nové geografické trhy, protože regionální pravidla se liší.
• Uchovávejte záznamy o souhlasu alespoň po dobu vyžadovanou platnými zákony.

Geografické cílení přidává další vrstvu. Web obsluhující návštěvníky z EU i USA může potřebovat zobrazit opt-in lištu evropským návštěvníkům a opt-out oznámení obyvatelům Kalifornie na základě zjištěné polohy každého uživatele. Kontrolní seznam souladu cookies pomáhá ověřit, že každý regionální tok splňuje správný standard.

Nástroje pro skenování cookies od Passiro automatizují proces vyhledávání a kategorizace, čímž snižují manuální úsilí potřebné k udržování přesného inventáře cookies napříč více doménami.

Časté chyby a jak je opravit

Většina selhání cookie upozornění spadá do malého počtu opakujících se vzorců. Jejich včasná identifikace předchází vystavení donucovacím opatřením.

• Předem zaškrtnutá políčka souhlasu. Odstraňte je. Každá kategorie souhlasu musí být podle GDPR ve výchozím nastavení nezaškrtnutá.
• Cookie zdi. Odstraňte omezení přístupu vázaná na přijetí cookies. Souhlas musí být udělen svobodně.
• Skryté možnosti odmítnutí. Tlačítko Odmítnout nebo Odmítnout vše musí být stejně viditelné a přístupné jako tlačítko Přijmout.
• Chybějící auditní záznam. Zaveďte logování souhlasu s časovými razítky, kategoriemi a čísly verzí zásad.
• Skripty spouštějící se před souhlasem. Použijte řádné blokování pomocí atributu type skriptu, nejen opožděné načítání.
• Chybějící mechanismus odvolání. Přidejte trvalý odkaz „Nastavení cookies“ do patičky.
• Zastaralé zásady používání cookies. Přezkoumejte a aktualizujte zásady po každé změně webu, která přidá nebo odstraní sledování.

Tip: Použijte okno anonymního prohlížení k otestování lišty souhlasu jako návštěvník poprvé. Zkontrolujte, že se v úložišti prohlížeče před interakcí s lištou neobjeví žádné analytické ani reklamní cookies.

Testování napříč prohlížeči a zařízeními je důležité. Chování souhlasu se může lišit mezi Chrome, Firefox, Safari a mobilními prohlížeči. Lišta, která na desktopu skripty blokuje správně, může na mobilu selhat, pokud se implementace spoléhá na funkce prohlížeče s nekonzistentní podporou. Před spuštěním ověřte celý tok souhlasu alespoň na třech kombinacích prohlížeče a zařízení.

Klíčové poznatky

Vyhovující cookie upozornění vyžaduje blokování neesenciálních skriptů ve výchozím nastavení, nabídku rovnocenných možností Přijmout a Odmítnout, ukládání záznamů o souhlasu s časovým razítkem a pravidelný audit cookies pro udržení přesnosti zveřejnění.

Proč se vyplatí udělat soulad správně napoprvé

Soulad se souhlasem s cookies vypadá zvnějšku jednoduše. Objeví se lišta, uživatel klikne a web pokračuje dál. Realita je náročnější. Zkontroloval jsem desítky implementací, které zobrazují lištu a zároveň na pozadí načítají Google Analytics, Meta Pixel a reklamní skripty. Lišta poskytuje právní krytí pouze tehdy, pokud základní technické chování odpovídá tomu, co slibuje.

Hodnota dobře implementovaného oznámení o souhlasu přesahuje pouhé vyhnutí se pokutám. Uživatelé, kteří vidí jasnou, poctivou lištu se skutečnou možností odmítnutí, spíše webu důvěřují a v průběhu času spíše udělí souhlas. Míra souhlasu u transparentních lišt trvale překonává míru u manipulativních návrhů, protože uživatelé, kteří se cítí donuceni, často web zcela opustí.

Požadavek na průběžnou údržbu je místem, kde většina malých a středních firem selhává. Aktualizace pluginu, nový reklamní partner nebo vložené video z YouTube mohou přes noc zavést nezveřejněné cookies. Bez naplánovaného procesu auditu se tyto přídavky tiše hromadí, dokud je neodhalí stížnost nebo regulatorní kontrola.

Správné provedení technické implementace jednou a následné zabudování čtvrtletní revize do standardního provozu webu je nákladově nejefektivnější cestou k trvalému souladu. Alternativou je reaktivní náprava po regulatorním dotazu, která stojí výrazně více času, právních poplatků a poškozuje reputaci.

— Bo

Passiro dělá soulad se souhlasem s cookies jednoduchým

Vytvoření vyhovujícího nastavení souhlasu s cookies nevyžaduje podnikový software ani právní tým na výplatní pásce. Passiro poskytuje bezplatné nástroje pro souhlas s cookies, které podporují GDPR, ePrivacy, CCPA, CPRA a LGPD, čímž pokrývají regulatorní rámce ovlivňující většinu dnes provozovaných webů.

Passiro se integruje přímo s WordPress, Wix, Squarespace a Webflow, s podrobnou dokumentací, která provede nastavením bez nutnosti vývojářských znalostí. Konkrétně pro tvůrce webů řešení Passiro pro tvůrce webů zajišťuje nasazení lišty souhlasu, blokování skriptů a ukládání souhlasu ihned po instalaci. Uživatelé WordPress mohou nainstalovat plugin Passiro pro WordPress pro bezplatné nastavení souhlasu v souladu s TCF 2.3, které se automaticky aktualizuje s vývojem předpisů. Agentury spravující více klientských domén mohou škálovat napříč všemi weby z jediného účtu.

Časté dotazy

Co je cookie upozornění?

Cookie upozornění je oznámení zobrazené na webu, které informuje návštěvníky o používání cookies a tam, kde to zákon vyžaduje, získává jejich souhlas dříve, než jsou na jejich zařízení umístěny neesenciální cookies.

Je cookie upozornění zákonem vyžadováno?

Weby zaměřené na obyvatele EU musí podle GDPR a směrnice ePrivacy zobrazit lištu souhlasu dříve, než umístí neesenciální cookies. Americké weby obsluhující obyvatele Kalifornie musí podle CCPA a CPRA poskytnout mechanismus opt-out.

Jaký je rozdíl mezi cookie upozorněním a zásadami používání cookies?

Cookie upozornění je viditelná lišta nebo oznámení, které shromažďuje souhlas. Zásady používání cookies jsou samostatný právní dokument, který podrobně popisuje každý používaný cookie, jeho účel, právní základ a práva uživatelů.

Mohu použít předem zaškrtnuté políčko souhlasu?

Předem zaškrtnutá políčka nepředstavují podle GDPR platný souhlas. Každá kategorie souhlasu musí být ve výchozím nastavení nezaškrtnutá a uživatelé musí aktivně vybrat kategorie, se kterými souhlasí.

Jak často mám aktualizovat cookie upozornění?

Přezkoumejte a aktualizujte své cookie oznámení po každé významné změně webu a proveďte úplný audit cookies alespoň čtvrtletně, abyste zachytili jakékoli nezveřejněné sledovací technologie zavedené pluginy nebo skripty třetích stran.

Doporučené

• Kontrolní seznam souladu cookies – 25bodové ověření vašeho webu | Passiro
• Soulad cookies – Kompletní průvodce souhlasem s cookies a předpisy o ochraně soukromí | Passiro
• Souhlas s cookies pro Wix, Squarespace & Webflow | Passiro
• Cookie lišty – Průvodce návrhem, implementací a souladem | Passiro