Regulácie cookies a ochrany súkromia: globálny prehľad

Súlad v oblasti cookies neupravuje jediný zákon. Formuje ho pestrá mozaika národných a regionálnych predpisov, ktoré sa výrazne líšia v rozsahu, požiadavkách aj vymáhaní. Pre každú webovú stránku s medzinárodným publikom — a na otvorenom internete je takou takmer každá stránka — je nevyhnutné pochopiť, ktoré zákony sa uplatňujú a v čom sa líšia.

Táto príručka mapuje globálne regulačné prostredie pre cookies a online sledovanie, od modelu EÚ založeného na súhlase, cez americký prístup „upozornenie a voľba" až po vznikajúce rámce inde vo svete.

Globálna mozaika

Neexistuje jediný „zákon o cookies". Súlad v oblasti cookies sa namiesto toho nachádza na priesečníku predpisov o ochrane súkromia, smerníc o elektronických komunikáciách a zákonov na ochranu spotrebiteľa. Výsledkom je zložité, niekedy protirečivé prostredie, kde tá istá webová stránka môže podliehať rôznym pravidlám v závislosti od toho, kde sa nachádzajú jej návštevníci.

Vytvorili sa dva široké modely:

• Model EÚ (najprv súhlas): Nepodstatné cookies sa smú nastaviť až po tom, čo používateľ udelil informovaný, konkrétny a slobodne daný súhlas. Predvolený stav je bez sledovania. Používateľ musí súhlas aktívne udeliť.
• Americký model (upozornenie a voľba): Podniky musia zverejniť svoje postupy zberu údajov a poskytnúť používateľom možnosť odhlásiť sa z niektorých spôsobov použitia (najmä z predaja alebo zdieľania osobných údajov). Predvoleným stavom je sledovanie, pričom používateľ sa môže odhlásiť.

Väčšina nových predpisov o ochrane súkromia na svete sa približuje k modelu EÚ, aj keď s miestnymi odchýlkami. Pochopenie oboch modelov — a konkrétnych zákonov v ich rámci — je nevyhnutné pre každú webovú stránku, ktorá funguje naprieč hranicami.

Rámec EÚ: smernica ePrivacy + GDPR

Prístup Európskej únie k regulácii cookies stojí na dvoch právnych nástrojoch, ktoré fungujú spoločne:

Smernica ePrivacy (2002/58/ES)

Smernica ePrivacy — často nazývaná „smernica o cookies" — je hlavným zákonom EÚ upravujúcim používanie cookies a podobných sledovacích technológií. Jej kľúčové ustanovenie, článok 5 ods. 3, uvádza:

Členské štáty zabezpečia, aby uchovávanie informácií alebo získavanie prístupu k už uchovávaným informáciám v koncovom zariadení účastníka alebo používateľa bolo povolené len pod podmienkou, že dotknutý účastník alebo používateľ vyjadril svoj súhlas na základe jasných a úplných informácií.

Jedinou výnimkou sú cookies, ktoré sú „nevyhnutne potrebné" na poskytovanie služby výslovne požadovanej používateľom — napríklad relačné cookies pre nákupný košík alebo stav prihlásenia.

Dôležité: smernica ePrivacy je smernica, nie nariadenie. To znamená, že každý členský štát EÚ ju transponoval do svojho vnútroštátneho práva s miestnymi odchýlkami. Základná zásada (súhlas potrebný pre nepodstatné cookies) je konzistentná, no detaily implementácie sa líšia. Napríklad:

• Francúzsko (CNIL): Vydalo podrobné usmernenia k cookies vrátane obmedzenej výnimky pre niektoré nástroje na meranie návštevnosti, ktoré spĺňajú prísne podmienky (anonymizácia, žiadne sledovanie naprieč stránkami, obmedzené uchovávanie).
• Nemecko: Implementované prostredníctvom zákona TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), ktorý nadobudol účinnosť v decembri 2021 a výslovne kodifikoval požiadavku súhlasu.
• Taliansko (Garante): V roku 2021 zverejnilo podrobné usmernenia k cookies, ktoré vyžadujú tlačidlo na odmietnutie na prvej vrstve a zakazujú cookie steny.
• Holandsko (AP): Zaujalo o niečo tolerantnejší postoj k cookie stenám a naznačuje, že môžu byť prijateľné, ak má používateľ skutočnú alternatívnu cestu k obsahu.

GDPR (nariadenie (EÚ) 2016/679)

Všeobecné nariadenie o ochrane údajov cookies výslovne nespomína, no upravuje spracúvanie osobných údajov — a cookies často zahŕňajú osobné údaje. GDPR je pre súlad v oblasti cookies relevantné v niekoľkých ohľadoch:

• Štandard súhlasu (článok 4 ods. 11, článok 7): GDPR vymedzuje, čo predstavuje platný súhlas: slobodne daný, konkrétny, informovaný, jednoznačný, udelený jasným potvrdzujúcim úkonom. Tento štandard sa vzťahuje na súhlas s cookies získaný podľa smernice ePrivacy.
• Transparentnosť (články 12 – 14): Keď cookies spracúvajú osobné údaje, uplatňujú sa požiadavky GDPR na transparentnosť. To znamená, že vaše zásady používania cookies musia poskytovať konkrétne informácie o príslušnom spracúvaní údajov.
• Právny základ (článok 6): Spracúvanie osobných údajov prostredníctvom cookies vyžaduje právny základ. Pre nepodstatné cookies je týmto základom súhlas. Niektorí prevádzkovatelia sa pokúšajú spoliehať na oprávnený záujem (článok 6 ods. 1 písm. f)), no orgány na ochranu údajov čoraz častejšie oprávnený záujem ako základ pre sledovanie na účely reklamy a analytiky odmietajú.
• Práva dotknutých osôb (články 15 – 22): Používatelia majú právo na prístup, opravu, vymazanie a prenosnosť svojich údajov — vrátane údajov zozbieraných prostredníctvom cookies.
• Extrateritoriálny dosah (článok 3): GDPR sa vzťahuje na každú organizáciu, ktorá spracúva osobné údaje osôb v EÚ, bez ohľadu na to, kde je organizácia usadená. Americká spoločnosť cieliaca na zákazníkov v EÚ musí byť v súlade.

Pripravované nariadenie ePrivacy

Európska komisia v roku 2017 navrhla nariadenie ePrivacy, ktoré má nahradiť smernicu ePrivacy, zjednotiť pravidlá naprieč členskými štátmi a aktualizovať ich pre moderné technológie. K začiatku roka 2026 nariadenie ešte nebolo dokončené. Rokovania sa naťahujú, pričom pretrvávajú nezhody ohľadom výnimiek na základe oprávneného záujmu, ustanovení o cookie stenách a mechanizmov súhlasu na úrovni prehliadača.

Po prípadnom prijatí sa nariadenie ePrivacy bude priamo uplatňovať vo všetkých členských štátoch (na rozdiel od súčasnej smernice, ktorá vyžaduje vnútroštátnu transpozíciu). Dovtedy zostáva rozhodujúcim právom existujúca smernica ePrivacy a jej vnútroštátne implementácie.

Americký rámec: zákony o ochrane súkromia na úrovni štátov

Spojené štáty nemajú (k začiatku roka 2026) federálny zákon o cookies ani federálny komplexný zákon o ochrane súkromia. Regulácia ochrany súkromia sa namiesto toho vyvinula na úrovni jednotlivých štátov, čím vznikla mozaika požiadaviek.

Kalifornia: CCPA a CPRA

Kalifornský zákon o ochrane súkromia spotrebiteľov (CCPA), v znení zmien podľa Kalifornského zákona o právach na súkromie (CPRA), je najkomplexnejším americkým štátnym zákonom o ochrane súkromia. Kľúčové ustanovenia relevantné pre cookies:

• Právo odhlásiť sa z predaja/zdieľania. Spotrebitelia majú právo odhlásiť sa z „predaja" alebo „zdieľania" svojich osobných údajov. Podľa CPRA „zdieľanie" zahŕňa zdieľanie údajov s tretími stranami na účely behaviorálnej reklamy naprieč kontextmi — čo je presne to, čo robí väčšina reklamných cookies.
• Predchádzajúci súhlas sa nevyžaduje. Na rozdiel od modelu EÚ CCPA/CPRA nevyžaduje predchádzajúci súhlas pre cookies. Predvoleným stavom je, že sledovanie je povolené, a používatelia sa z neho musia aktívne odhlásiť.
• Odkaz „Nepredávať ani nezdieľať". Podniky musia na svojej webovej stránke uviesť viditeľný odkaz „Nepredávať ani nezdieľať moje osobné údaje".
• Global Privacy Control (GPC). Podniky musia rešpektovať signál prehliadača GPC ako platnú žiadosť o odhlásenie. Ak prehliadač používateľa odošle signál GPC, podnik s ním musí zaobchádzať, akoby používateľ klikol na „Nepredávať ani nezdieľať".
• Upozornenie pri zbere. Podniky musia pri zbere alebo pred ním zverejniť kategórie zbieraných osobných údajov a účely, na ktoré sa použijú.

Ďalšie zákony amerických štátov

Podľa vzoru Kalifornie prijalo komplexné zákony o ochrane súkromia mnoho amerických štátov. K začiatku roka 2026 medzi štáty s účinnými zákonmi o ochrane súkromia patria:

Ďalšie štáty prijali zákony s dátumami účinnosti v rokoch 2025 a 2026. Trend je jasný: regulácia ochrany súkromia na úrovni štátov sa rozširuje a väčšina nových zákonov zahŕňa práva na odhlásenie z cielenej reklamy, ktoré priamo ovplyvňujú postupy pri cookies.

Ďalšie významné predpisy

Spojené kráľovstvo: UK GDPR a PECR

Po brexite si Spojené kráľovstvo ponechalo GDPR ako „UK GDPR" a naďalej vymáha nariadenia o ochrane súkromia a elektronických komunikáciách (PECR), ktoré implementujú smernicu ePrivacy. Požiadavky na cookies sú v podstate totožné s EÚ: pre nepodstatné cookies sa vyžaduje predchádzajúci súhlas s úzkou výnimkou pre nevyhnutne potrebné cookies. Tieto pravidlá vymáha Úrad komisára pre informácie (ICO), ktorý zverejnil podrobné usmernenia k cookies.

Brazília: LGPD

Brazílsky zákon Lei Geral de Protecao de Dados (LGPD), účinný od roku 2020, je silno inšpirovaný GDPR. Vyžaduje právny základ pre spracúvanie osobných údajov vrátane údajov zozbieraných prostredníctvom cookies. Hoci LGPD nemá priamy ekvivalent ustanovenia smernice ePrivacy špecificky venovaného cookies, pre spracúvanie údajov na základe cookies musí byť preukázaný súhlas alebo oprávnený záujem. ANPD (národný orgán na ochranu údajov) postupne vydáva usmernenia k cookies a súhlasu.

Kanada: PIPEDA a návrh zákona C-27

Kanadský zákon o ochrane osobných údajov a elektronických dokumentoch (PIPEDA) vyžaduje „zmysluplný súhlas" na zber, používanie a sprístupňovanie osobných údajov. Pri cookies, ktoré zbierajú osobné údaje, musia organizácie získať súhlas a poskytnúť jasné informácie o svojich postupoch. Návrh zákona C-27, navrhovaný zákon o ochrane súkromia spotrebiteľov, by modernizoval kanadský rámec prísnejšími požiadavkami na súhlas, no jeho prijatie sa oneskorilo.

Japonsko: APPI

Japonský zákon o ochrane osobných údajov (APPI), zmenený v roku 2022, zaviedol pojem „osobne priraditeľné informácie", ktoré môžu v určitých kontextoch zahŕňať identifikátory cookies. Keď sa údaje z cookies kombinujú s inými informáciami na identifikáciu jednotlivca, uplatňujú sa požiadavky na súhlas.

Južná Kórea: PIPA

Juhokórejský zákon o ochrane osobných údajov (PIPA), zmenený v roku 2023, vyžaduje súhlas so zberom a používaním osobných údajov, ktoré môžu zahŕňať údaje z cookies, keď identifikujú alebo dokážu identifikovať jednotlivca.

Trend zbližovania

Napriek súčasnej mozaike sa vynára jasný trend: väčšina nových zákonov o ochrane súkromia sleduje model EÚ — reguláciu založenú na súhlase, ktorá posilňuje postavenie používateľa. Aj americké štátne zákony sa síce technicky zakladajú skôr na odhlásení než na prihlásení, no smerujú k prísnejším požiadavkám s univerzálnymi signálmi odhlásenia (GPC), zásadami minimalizácie údajov a rozšírenými definíciami „osobných údajov", ktoré zachytávajú identifikátory cookies.

Z praktického hľadiska toto zbližovanie znamená, že webové stránky, ktoré implementujú súlad s cookies na úrovni EÚ (predchádzajúci súhlas, jasné prijatie/odmietnutie, podrobné kategórie, transparentné zásady), sú dobre pripravené na súlad s väčšinou ostatných jurisdikcií. Štandard EÚ je najvyšším spoločným menovateľom.

Posúdenie rizika: ktoré zákony sa vzťahujú na vašu webovú stránku?

Kľúčovou otázkou pre každého prevádzkovateľa webovej stránky je: ktoré zákony sa na mňa vzťahujú? Odpoveď závisí od dvoch faktorov:

1. Kde je vaša organizácia usadená. Podliehate zákonom o ochrane súkromia tých jurisdikcií, kde má vaša organizácia prevádzkareň (kanceláriu, dcérsku spoločnosť, pobočku).
2. Kde sa nachádzajú vaši používatelia. V rámci extrateritoriálneho dosahu GDPR (článok 3 ods. 2) podliehate právu EÚ o ochrane súkromia, ak ponúkate tovar alebo služby jednotlivcom v EÚ, alebo ak monitorujete správanie jednotlivcov v EÚ. Podobné extrateritoriálne ustanovenia existujú v UK GDPR, brazílskom LGPD a ďalších zákonoch.

V praxi platí, že ak je vaša webová stránka prístupná používateľom v EÚ — a máte akúkoľvek návštevnosť z EÚ, čo majú prakticky všetky webové stránky — mali by ste byť v súlade so smernicou ePrivacy a GDPR. Ak máte návštevnosť z USA, mali by ste sa venovať CCPA/CPRA (Kalifornia) a ďalším uplatniteľným štátnym zákonom.

Pragmatický prístup:

• Implementujte súhlas v štandarde EÚ pre všetkých návštevníkov z EÚ/EHP/Spojeného kráľovstva (predchádzajúci súhlas typu opt-in pre nepodstatné cookies).
• Implementujte mechanizmy odhlásenia pre návštevníkov z USA (odkaz Nepredávať/Nezdieľať, podpora GPC).
• Predvolene použite vyšší štandard, ak je geografická detekcia nepraktická. Súhlas na úrovni EÚ spĺňa prakticky všetky jurisdikcie.

Extrateritoriálny dosah

Jedným z najvýznamnejších aspektov modernej regulácie ochrany súkromia je jej extrateritoriálny dosah. GDPR (článok 3 ods. 2) sa vzťahuje na organizácie mimo EÚ, ktoré:

• ponúkajú tovar alebo služby jednotlivcom v EÚ (aj zadarmo — webová stránka prístupná v EÚ cieliaca na používateľov z EÚ sem spadá), alebo
• monitorujú správanie jednotlivcov v EÚ (analytické a reklamné sledovanie predstavuje monitorovanie).

To znamená, že americká spoločnosť prevádzkujúca Google Analytics na webovej stránke, ktorá prijíma návštevnosť z EÚ, technicky podlieha GDPR a požiadavkám smernice ePrivacy na cookies. Vymáhanie voči organizáciám mimo EÚ bolo historicky obmedzené, no narastá, najmä pri veľkých spoločnostiach. Praktické riziko pre menšie organizácie závisí od viditeľnosti a objemu sťažností, no právna povinnosť existuje bez ohľadu na veľkosť.

Prostredie vymáhania

Vymáhanie súladu v oblasti cookies sa od roku 2020 dramaticky zintenzívnilo. Kľúčové trendy:

Kto vymáha

V EÚ smernicu ePrivacy aj GDPR vymáhajú národné orgány na ochranu údajov (DPA). Medzi významné aktívne orgány patria CNIL (Francúzsko), Garante (Taliansko), Datatilsynet (Dánsko a Nórsko), BfDI (Nemecko na federálnej úrovni) a APD (Belgicko). Cezhraničné vymáhanie koordinuje EDPB.

V USA vymáhajú CCPA/CPRA kalifornský generálny prokurátor a Kalifornský úrad na ochranu súkromia. Ostatné štátne zákony vymáhajú generálni prokurátori jednotlivých štátov.

Ako vymáhajú

• Vyšetrovania na základe sťažností. Väčšina vymáhania začína sťažnosťou používateľa orgánu na ochranu údajov. Sťažnosť spustí vyšetrovanie postupov webovej stránky pri cookies.
• Plošné kontroly. DPA pravidelne vykonávajú kontroly naprieč celým odvetvím, pri ktorých skenujú stovky webových stránok na súlad v oblasti cookies. Plošné kontroly zverejnili CNIL, taliansky Garante aj dánsky Datatilsynet.
• Sťažnosti mimovládnych organizácií. Organizácie presadzujúce ochranu súkromia, ako je noyb (na čele s Maxom Schremsom), podali hromadné sťažnosti proti stovkám webových stránok, čím vytvorili významný objem vymáhania. Samotné sťažnosti noyb na cookie bannery viedli k desiatkam vymáhacích konaní naprieč EÚ.

Sankcie

Pokuty podľa GDPR za porušenia v oblasti cookies môžu dosiahnuť až 20 miliónov EUR alebo 4 % ročného celosvetového obratu, podľa toho, čo je vyššie. V praxi sa pokuty za porušenia v oblasti cookies pohybovali od upozornení (pre malé organizácie s menšími porušeniami) až po 150 miliónov EUR (Google, CNIL, 2022). Trend smeruje k vyšším pokutám a častejšiemu vymáhaniu.

Okrem pokút prináša nesúlad reputačné riziko, poškodenie dôvery spotrebiteľov a prevádzkové náklady na núdzovú nápravu na základe regulačného príkazu.

Passiro vám pomáha zvládnuť túto regulačnú zložitosť pomocou automatizovaného súladu, ktorý sa prispôsobuje zákonom uplatniteľným na vašich návštevníkov. Zistite, ako Passiro zjednodušuje súlad v oblasti cookies naprieč jurisdikciami.