Cookies na webu: povinnosti, pokuty a kolik stojí správné řešení

Majitelka e-shopu s doplňky dostane e-mail od Úřadu pro ochranu osobních údajů. Někdo si na její web stěžoval: cookie lišta sice web zobrazí hned při vstupu, ale tlačítko „Odmítnout“ na ní chybí. Jde se jen „Souhlasím“, nebo proklikat do nastavení, které nikdo nehledá.

Lištu jí před třemi lety nastavil vývojář spolu se spuštěním webu a od té doby se k ní nikdo nevrátil, podobně jako k mnoha dalším věcem, které s údržbou webu souvisí. Mezitím se ale pravidla nezměnila jen na papíře, začala se i reálně vymáhat.

Řešení přitom nestojí týdny práce ani desítky tisíc korun. Většinu z toho, co úřad kontroluje, si ověříte sami za 15 minut, a co se dá, se dá i rychle opravit.

Musíte mít na webu souhlas s cookies?

Ano, pokud web používá cokoliv jiného než technické cookies, tedy typicky Google Analytics, Sklik, Meta pixel nebo jiný měřicí či reklamní nástroj. Souhlas musíte získat ještě předtím, než se tyto cookies do zařízení návštěvníka uloží, ne až po kliknutí na „Souhlasím“ o dva dny později.

Rozsah povinnosti se liší podle toho, co na webu reálně běží:

Pokud web běží jen na technických cookies a žádný měřicí ani reklamní skript nemáte, cookie lišta povinná není. Informační povinnost ale musíte splnit jinak, třeba samostatnou stránkou o cookies v patičce webu. V praxi se to týká málokoho: jakmile přidáte Google Analytics kvůli reportům pro vedení, souhlas je zpátky na stole.

A platí to i pro malé weby a živnostníky. Zákon velikost webu ani obrat firmy nerozlišuje.

Co přesně říká zákon a od kdy platí

Pravidla pro cookies upravuje zákon č. 127/2005 Sb., o elektronických komunikacích, konkrétně § 89 odst. 3. Do konce roku 2021 byl tenhle paragraf formulovaný dost volně na to, aby ho provozovatelé webů (a často i odborná veřejnost) vykládali jako opt-out: co uživatel výslovně neodmítl, bylo automaticky odsouhlasené.

Novela č. 374/2021 Sb. tuhle nejasnost odstranila. Od 1. ledna 2022 platí jasný opt-in princip: souhlas musí dát uživatel aktivně, předem, a bez něj smíte zpracovávat jen to, co je nezbytné pro chod webu.

Jakmile cookies zpracovávají osobní údaje, a u analytických a marketingových cookies to tak prakticky vždy je, přidává se k tomu ještě GDPR (Obecné nařízení o ochraně osobních údajů). Obě normy pak posuzuje stejný úřad a při kontrole se na ně dívá společně.

Šest podmínek, které musí souhlas splnit

Úřad pro ochranu osobních údajů (ÚOOÚ) odpovídal na dotazy k cookie lištám a z jeho vyjádření se dá sestavit šest podmínek, podle kterých poznáte, jestli má vaše lišta v pořádku i detaily, ne jen hlavní princip.

• Odmítnout musí jít stejně snadno jako přijmout. Tlačítko „Odmítnout vše“ patří do stejné, první vrstvy lišty jako „Souhlasím“. Pokud musí návštěvník kvůli odmítnutí proklikat do podrobného nastavení, souhlas není platný.
• Žádná předem zaškrtnutá políčka. Všechny netechnické kategorie musí v defaultu zůstat vypnuté. Volbu udělá vždy návštěvník sám, aktivním kliknutím.
• Web musí fungovat i bez souhlasu. Přístup k obsahu nesmí být podmíněný přijetím cookies, takzvaný cookie wall je v rozporu se zákonem.
• Souhlas musí být aktivní projev vůle. Zavření lišty křížkem nebo prosté pokračování v prohlížení webu se za souhlas nepočítá.
• Odvolání musí jít stejně snadno jako udělení. Typicky přes odkaz v patičce webu, který lištu znovu otevře.
• Souhlas musíte umět doložit. Při kontrole musíte prokázat, kdy a s čím konkrétně návštěvník souhlasil.

Tahle poslední podmínka bývá v praxi nejčastěji přehlížená. Samotná lišta, která se zobrazí a zmizí, nic nedokládá. Potřebujete nástroj, který si volbu uloží a umí ji při kontrole vytáhnout.

Co s Google Analytics a reklamou, když souhlas chybí

Google od roku 2024 vyžaduje u evropských webů takzvaný Consent Mode (režim souhlasu), tedy signál, který cookie lišta posílá do Google Analytics a Google Ads: souhlasil návštěvník s analytickými a reklamními cookies, nebo ne. Bez tohoto nastavení riskujete, že vám Google postupně omezí měření konverzí a přesnost reklamních kampaní, bez ohledu na to, co říká český zákon.

Když návštěvník cookies odmítne, Consent Mode nepřestane měřit úplně. Místo přesných dat dopočítá chybějící část modelem na základě agregovaných a anonymizovaných informací od ostatních návštěvníků. Čísla jsou tak méně přesná, ale aspoň nezůstanou.úplně prázdná.

Pro běžný firemní web to v praxi znamená jediné: cookie lištu nestačí jen napojit na vlastní text o GDPR, musí být propojená i s měřicími nástroji tak, aby se skripty spouštěly až po souhlasu, ne před ním a nezávisle na něm.

Kolik vás může stát, že to neřešíte

Teoretický strop pokuty podle GDPR zní impozantně: až 20 milionů eur, nebo 4 % celosvětového ročního obratu firmy, podle toho, co je vyšší. V praxi se ale ÚOOÚ u cookies pohybuje o několik řádů níž, a právě proto má smysl znát reálná čísla, ne jen strop ze zákona.

V roce 2023 udělil úřad za porušení pravidel pro cookies pokuty v celkové výši 4 443 000 Kč, z toho pravomocně 1 640 000 Kč. Nejvyšší jednotlivá pravomocná pokuta 898 000 Kč padla firmě z oboru elektronických komunikací, a to konkrétně za nahrávání cookies pro marketingové účely bez souhlasu.

Předseda ÚOOÚ Jiří Kaucký k tomu v tiskové zprávě uvedl, že po nabytí účinnosti novely úřad nejprve nepokutoval a jen „edukoval, upozorňoval a vytýkal“. K pokutám přistoupil až poté, co provozovatelé dostali „dostatečný prostor a čas, aby uvedli zpracování osobních údajů prostřednictvím souborů cookies do souladu s GDPR“.

Jinými slovy: shovívavé období už je za námi. Mezi nejčastější chyby, které úřad při kontrolách našel, patří podle jeho vlastního shrnutí cookies uložené ještě před souhlasem, nedostatečné informování uživatelů, znemožněné odvolání souhlasu, klamavě navržená tlačítka (odborně se tomu říká deceptive design pattern, tedy rozhraní cíleně tlačící uživatele k jedné volbě) a cookie lišta, která na individuální nastavení vůbec nereaguje.

Jak to vypadá s pokutami dnes? Nejnovější souhrn částek za cookies, který jsme v tiskových zprávách ÚOOÚ dohledali, pochází ze srpna 2023 a pokrývá prvních sedm měsíců toho roku. Novější přehled jsme nenašli, úřad ale podle svých vyjádření kontroluje weby z vlastní iniciativy i na základě podnětů. Čísla z roku 2023 proto berte jako orientaci, ne jako záruku, že se vás kontrola nikdy netýká.

Naše praxe: zkontrolujte si web sami za 15 minut

Než budete řešit nový nástroj nebo audit od agentury, otevřete si vlastní web v anonymním okně prohlížeče a projděte tenhle seznam. Jde přesně o body, na které se ÚOOÚ při kontrolách zaměřuje nejčastěji.

1. Zkontrolujte tlačítka v první vrstvě lišty. Musí tam být „Přijmout vše“ i „Odmítnout vše“, stejně velké a stejně viditelné. Pokud je „Odmítnout“ jen malý text v rohu, máte problém.
2. Klikněte na „Odmítnout vše“ a sledujte síťový provoz. V nástrojích pro vývojáře (klávesa F12, záložka Network) zkontrolujte, jestli se po odmítnutí přesto nenačítá Google Analytics nebo Meta pixel.
3. Otevřete podrobné nastavení lišty. Žádná kategorie kromě technických cookies nesmí být předem zaškrtnutá.
4. Najděte odkaz pro odvolání souhlasu. Měl by být v patičce webu, obvykle pod názvem „Nastavení cookies“ nebo podobně.
5. Zkuste web použít bez odkliknutí lišty. Pokud se k obsahu vůbec nedostanete, dokud něco nezvolíte, jde o zakázaný cookie wall.
6. Projděte si vlastní výpis cookies. Měl by uvádět konkrétní názvy, dobu platnosti a účel, ne jen obecnou větu „tento web používá cookies“.

Pokud narazíte byť jen na jeden z těchto bodů, nejde o kosmetickou vadu. Přesně tyhle chyby úřad ve svých kontrolách nejčastěji sankcionoval.

A pokud zjistíte, že cookie lištu na webu spravuje už jen málokdo, stojí za to podívat se na to šířeji: kdo má k webu přístup, kdo dělá úpravy a kdo nese odpovědnost, když se něco pokazí. Tohle řešíme podrobně v článku o tom, jak si pohlídat škálovatelnost a správu webu.

Kolik stojí, když to necháte udělat pořádně

Ceny se liší hlavně podle toho, jestli chcete jen funkční lištu, nebo komplexní nástroj se správou souhlasů, archivací a napojením na Google Consent Mode. Jde o orientační tržní rozpětí ověřené z veřejně dostupných ceníků, skutečná cena se vždy odvíjí od rozsahu webu a konkrétního dodavatele.

• Vestavěné řešení zdarma. WordPress i Shoptet nabízí hotové pluginy pro cookie lištu bez měsíčního poplatku. Nevýhodou bývá omezená možnost doladit texty a design podle vlastního webu.
• Specializovaný nástroj pro menší a střední weby vyjde zhruba na 700 až 1 000 Kč měsíčně, podle počtu domén a návštěvnosti.
• Mezinárodní platformy s pokročilými funkcemi (automatický sken cookies, podpora Consent Mode, víc jazyků) se pohybují od přibližně 170 Kč měsíčně za nejnižší tarif pro jednu doménu až po 2 000 Kč a víc měsíčně u webů s vysokou návštěvností.
• Implementace na klíč, kdy dodavatel nastaví vše za vás včetně napojení na měřicí nástroje, se u menších webů pohybuje kolem 3 000 Kč jednorázově.

Pro firmu, která řeší víc zemí nebo má desítky souhlasů denně k auditu, dává smysl sáhnout po komplexní platformě. Pro běžný firemní web nebo menší e-shop ale často stačí dobře nastavený plugin a jednorázová kontrola, že splňuje všech šest podmínek z předchozí kapitoly.

Pokud cookie lištu řešíte jako součást většího zadání, třeba redesignu webu nebo výběru nové agentury, zahrňte ji rovnou do požadavků. Stejně jako u smlouvy na tvorbu webu platí, že je levnější mít to ošetřené předem, než to řešit dodatečně, až web běží naostro a cookies se nastavují zpětně na hotovém kódu. Pokud zrovna měníte webovou agenturu, patří funkční a doložitelná cookie lišta mezi věci, které byste si měli vyžádat jako součást předání.

Nejste si jistí, jestli se vás to týká? Ozvěte se nám a projdeme to s vámi konkrétně na vašem webu.

Časté otázky o cookies na webu

Cookie lišta vypadá jako detail, který se vyřeší jednou a na dalších pár let se na ni zapomene. Ve skutečnosti patří ke stejné kategorii jako přístupnost webu, SSL certifikát nebo pravidelné zálohování webu: povinnost, kterou nikdo neřeší, dokud nepřijde kontrola nebo dokud web nespadne. U Apadore nastavení cookies lišty i zbytek technické hygieny webu probíráme s klienty jako standardní součást správy webu, ne jako volitelný doplněk.