Kdo ti může za cookies uložit pokutu?
V Česku platí pro cookies dva předpisy:
- Zákon o elektronických komunikacích, § 89 odst. 3. Ten říká, že netechnické cookies a podobné technologie smíš do zařízení návštěvníka uložit nebo z něj číst jen s jeho předchozím prokazatelným souhlasem. Víc v průvodci Zákon o cookies v Česku.
- GDPR. Cookies obvykle obsahují jedinečné identifikátory, a proto jde podle ÚOOÚ zpravidla o zpracování osobních údajů.
Dozor vykonává Úřad pro ochranu osobních údajů (ÚOOÚ), a to přes GDPR. Když web uloží netechnické cookies bez souhlasu podle § 89 odst. 3, posoudí to ÚOOÚ jako porušení zásady zákonnosti podle čl. 5 odst. 1 písm. a) GDPR, tedy přestupek podle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů. Chybějící nebo neúplné informace o cookies trestá jako porušení čl. 12 a 13 GDPR. Zákon o elektronických komunikacích sám za porušení § 89 odst. 3 samostatný přestupek nestanoví.
Protože pravidlo pro cookies vychází ze směrnice ePrivacy, a ne z GDPR, mechanismus jednoho kontaktního místa (one-stop-shop) podle GDPR se na něj nevztahuje. Každý národní dozorový úřad tak může jednat za svou zemi, i vůči firmě se sídlem v jiném státě EU. Francouzský CNIL to využil proti Googlu a francouzská Státní rada (Conseil d'État) jeho postup v lednu 2022 potvrdila.
Jak vysoká může pokuta být?
Maxima stanoví čl. 83 GDPR:
| Kategorie | Maximum | Příklady porušení |
|---|---|---|
| Čl. 83 odst. 4 | 10 milionů € nebo 2 % celkového celosvětového ročního obratu, podle toho, co je vyšší | Povinnosti správců a zpracovatelů, například zpracovatelská smlouva nebo ochrana osobních údajů už od návrhu |
| Čl. 83 odst. 5 | 20 milionů € nebo 4 % celkového celosvětového ročního obratu, podle toho, co je vyšší | Základní zásady, včetně zákonnosti a podmínek souhlasu (články 5, 6, 7 a 9), a práva subjektů údajů, včetně informační povinnosti |
Cookies bez souhlasu i nedostatečné informace o nich tedy spadají do nejvyšší kategorie. Jde ale o maxima. Konkrétní výši počítá ÚOOÚ podle pokynů EDPB 04/2022: vychází z maxima, závažnosti porušení a velikosti firmy a zohledňuje polehčující a přitěžující okolnosti. Za porušení nízké závažnosti začíná výpočet na zlomku maxima.
Orgány veřejné moci a veřejné subjekty pokutu od ÚOOÚ nedostanou: podle § 62 odst. 5 zákona o zpracování osobních údajů úřad od uložení trestu upustí. Může jim ale nařídit nápravu.
Jaké pokuty za cookies už ÚOOÚ uložil?
Jména firem a podnikatelů ÚOOÚ v rozhodnutích o cookies anonymizuje. Rozhodnutí zveřejňuje mezi informacemi poskytnutými na žádost. Z nich a z výročních zpráv úřadu je známo toto:
| Datum | Kdo | Sankce | Co bylo špatně |
|---|---|---|---|
| 25. května 2023 | Ministerstvo průmyslu a obchodu (mpo.cz) | Bez pokuty (veřejný subjekt), příkaz upravit cookie lištu do 5 dnů a ukončit zpracování údajů získaných přes netechnické cookies | Tlačítko pro odmítnutí nebylo zobrazené současně s tlačítkem pro souhlas |
| 20. června 2023 | Společnost (anonymizováno) | Pokuta 114 000 Kč a nápravná opatření | Netechnické cookies bez předchozího souhlasu; chyběl účel, právní základ a doba zpracování |
| 26. září 2023 | Podnikající fyzická osoba (anonymizováno) | Pokuta 26 000 Kč (příkaz) a nápravná opatření | Cookies bez předchozího souhlasu; neúplné informace o účelu a o právech návštěvníků |
| Do konce roku 2023 | Dva správci (anonymizováno) | Pravomocné pokuty 898 000 Kč a 602 000 Kč | Podle ÚOOÚ mimo jiné ukládání cookies bez souhlasu |
Podle ÚOOÚ byly všechny pravomocné pokuty za cookies, které uložil do konce roku 2023, uloženy mimo jiné za ukládání cookies bez souhlasu. V červnu 2024 uvedl, že pravomocné pokuty za cookies činí celkem zhruba 2 miliony Kč. V roce 2024 vedl 5 řízení se středně velkými a velkými správci, u kterých podle výroční zprávy hrozí pokuty v řádu milionů korun.
Pokuty za cookies jsou v Česku tedy zatím mnohem nižší než ve Francii (viz níže). Nejvyšší pokutu ve své historii, 351 milionů Kč, uložil ÚOOÚ v roce 2024 společnosti Avast Software. Ta se ale netýkala cookies, nýbrž předávání údajů o prohlížení internetu uživatelů antiviru. Městský soud v Praze v září 2025 potvrdil, že se Avast přestupků dopustil, ale zrušil část rozhodnutí o počtu dotčených uživatelů a výši pokuty a vrátil věc úřadu.
Jak ÚOOÚ postupuje v praxi?
- Nejdřív upozornění. V roce 2022 se ÚOOÚ v oblasti cookies věnoval hlavně osvětě a rozesílal vytýkací dopisy s konkrétními nedostatky.
- Pak řízení a pokuty. Protože část provozovatelů na dopisy nereagovala dostatečně nebo vůbec, vede ÚOOÚ od roku 2023 správní řízení a ukládá pokuty, obvykle spolu s nařízením nápravy ve stanovené lhůtě.
- Podněty, stížnosti a vlastní zjištění. Dozor vede ÚOOÚ na základě stížností i vlastních poznatků. Web pak ÚOOÚ zkontroluje vlastními nástroji: projde podobu a funkci cookie lišty, informace pro návštěvníky a to, zda jsou cookies označené jako technické opravdu nezbytné.
- Nejčastější chyby. Podle výroční zprávy za rok 2023 šlo ve více než 70 % případů o cookies uložené před souhlasem, v 50 % o nedostatky v informacích a téměř ve 30 % o tlačítka pro souhlas a odmítnutí v různých vrstvách lišty.
Na co přesně ÚOOÚ u cookie lišty hledí, najdeš v průvodci Zákon o cookies v Česku. Pozor také na cookie walls: podle ÚOOÚ nesmíš návštěvníkovi bránit v používání webu, dokud souhlas nedá.
Pokuty za cookies v Evropě
Nejaktivnější je v oblasti cookies francouzský CNIL. Několik jeho největších pokut, všechny z jeho vlastních publikací:
| Datum rozhodnutí | Firma | Pokuta | Co bylo špatně |
|---|---|---|---|
| 31. prosince 2021 | Google LLC a Google Ireland | 150 milionů € | Odmítnutí cookies na google.fr a youtube.com vyžadovalo víc kliknutí než přijetí |
| 31. prosince 2021 | Facebook Ireland (nyní Meta Platforms Ireland) | 60 milionů € | Odmítnutí cookies na facebook.com nebylo stejně snadné jako přijetí |
| 1. září 2025 | Google LLC a Google Ireland | 325 milionů € | Reklamy v Gmailu bez souhlasu a cookies ukládané při zakládání účtu bez platného souhlasu |
| 1. září 2025 | Infinite Styles Services (Shein) | 150 milionů € | Reklamní cookies uložené před jakoukoli volbou, nerespektované „Odmítnout vše“ |
CNIL ale trestá i malé firmy: jen v roce 2025 sankcionoval 21 organizací za porušení související s cookies a jinými sledovacími prvky, často pokutami v řádu tisíců eur.
Další rizika: náhrada škody
Kromě pokuty mohou návštěvníci požadovat náhradu škody. Podle čl. 82 GDPR má každý, komu porušením GDPR vznikne hmotná nebo nehmotná újma, právo na náhradu. Ve věci Österreichische Post (C-300/21, 4. května 2023) Soudní dvůr EU rozhodl, že žádný minimální práh závažnosti neexistuje, ale že samotné porušení nestačí: musí vzniknout skutečná újma a musí ji způsobit právě porušení.
Jak se vyhnout problémům
- Žádné netechnické cookies před souhlasem. Zablokuj každý skript, který vyžaduje souhlas, a nech ho zablokovaný i po odmítnutí nebo zavření lišty.
- „Přijmout“ a „Odmítnout“ ve stejné vrstvě, nejlépe v první, stejně výrazně. Přesně tohle bylo špatně u mpo.cz.
- Úplné informace v češtině: všechny cookies, účel, právní základ, doba uložení a třetí strany. Viz vzor zásad používání cookies.
- Snadné odvolání souhlasu, například odkazem v patičce každé stránky.
- Kontroluj nastavení lišty sám. Za lištu odpovídáš ty, i když používáš hotové řešení.
- Uchovávej doklady, abys mohl prokázat, kdo kdy k čemu souhlasil.
- Reaguj na dopis od ÚOOÚ. Pokuty v roce 2023 dostali hlavně ti, kdo na upozornění nereagovali.
Používáš Google Analytics nebo Google Ads? Přečti si také Google Analytics a GDPR a Google Consent Mode v2.
Cookie Confirm se o většinu těchto kroků postará: skener každý měsíc zkontroluje tvůj web (plus neomezené opakované skeny), skripty zůstanou zablokované do udělení souhlasu, přijetí a odmítnutí jsou vedle sebe, prohlášení o cookies se generuje ze skenu a každý souhlas se zaznamenává na 12 měsíců. Za 7,95 € za web měsíčně, se 7denní zkušební verzí zdarma.
Zdroje
- Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89 a § 118 až 120 (e-Sbírka)
- Zákon č. 110/2019 Sb., o zpracování osobních údajů, § 62 (e-Sbírka)
- EUR-Lex: Nařízení (EU) 2016/679 (GDPR), články 82 a 83
- EUR-Lex: Směrnice 2002/58/ES (směrnice ePrivacy), čl. 5 odst. 3
- EDPB: Pokyny 04/2022 k výpočtu správních pokut podle GDPR
- ÚOOÚ: Příkaz Ministerstvu průmyslu a obchodu, čj. UOOU-02260/23-6 (25. května 2023)
- ÚOOÚ: Rozhodnutí čj. UOOU-02484/22-13 (20. června 2023, anonymizováno)
- ÚOOÚ: Příkaz čj. UOOU-00667/22-11 (26. září 2023, anonymizováno)
- ÚOOÚ: Výroční zpráva 2023, kapitola Výzva roku – správní trestání a dobrá praxe v oblasti cookies
- ÚOOÚ: Výroční zpráva 2024
- ÚOOÚ: Výroční zpráva 2025
- ÚOOÚ: Praxe ÚOOÚ v oblasti cookies, prezentace ze semináře (12. června 2024)
- Městský soud v Praze: tisková zpráva k rozsudku sp. zn. 5 A 56/2024 ve věci Avast (30. září 2025)
- CNIL: Sankce uložené úřadem CNIL
- CNIL: Státní rada potvrzuje sankci uloženou Googlu v roce 2020
- CNIL: Uzavření příkazu vydaného vůči Facebooku
- CNIL: Pokuta 325 milionů € pro Google (září 2025)
- CNIL: Pokuta 150 milionů € pro Shein (září 2025)
- CNIL: Sankce a nápravná opatření v roce 2025
- SDEU: věc C-300/21, Österreichische Post (4. května 2023)