Pravidla pro cookies v EU: směrnice ePrivacy a GDPR srozumitelně

Odkud pravidlo EU pro cookies pochází

Pravidlo, kterému většina lidí říká „zákon EU o cookies“, je čl. 5 odst. 3 směrnice ePrivacy (směrnice 2002/58/ES o soukromí a elektronických komunikacích). Od změny směrnicí 2009/136/ES stanoví, že ukládat informace do zařízení uživatele nebo získávat přístup k informacím, které jsou v něm už uložené, je dovoleno, jen pokud uživatel dal souhlas poté, co dostal jasné a úplné informace. Členské státy musely změněné pravidlo uplatňovat od 25. května 2011.

Existují dvě výjimky. Souhlas není potřeba pro ukládání nebo přístup, které:

• slouží jen k uskutečnění přenosu komunikace po síti, nebo
• jsou nezbytně nutné k poskytnutí služby, o kterou uživatel výslovně požádal, například nákupního košíku, přihlášení nebo uložení volby cookies návštěvníka.

Všechno ostatní, například analytika, reklama, retargeting a pixely sociálních sítí, v zásadě souhlas vyžaduje. Některé národní dozorové úřady povolují úzké výjimky pro měření návštěvnosti šetrné k soukromí; podívej se na průvodce jednotlivými zeměmi níže. Česko takovou výjimku nemá: analytické cookies tu podle ÚOOÚ vyžadují souhlas.

Nejen cookies

Pravidlo je technologicky neutrální. Evropský sbor pro ochranu osobních údajů (EDPB) ve svých Pokynech 2/2023 k technickému rozsahu čl. 5 odst. 3, přijatých v konečném znění v říjnu 2024, vysvětluje, že se vztahuje i na sledovací pixely, sledovací odkazy, local storage, některé formy fingerprintingu a podobné techniky. Víc v průvodci Co jsou cookies?

Jak to uplatňují členské státy

Protože jde o směrnici, každý členský stát převzal pravidlo do vlastního zákona a každý má vlastní dozorový úřad. Několik příkladů:

Česko převzalo pravidlo souhlasu plně až novelou zákonem č. 374/2021 Sb. s účinností od 1. ledna 2022. Do té doby český zákon vyžadoval jen informovat návštěvníky a nabídnout jim možnost cookies odmítnout. Na cookies tu dohlíží ÚOOÚ, který jejich ukládání bez souhlasu trestá jako porušení GDPR.

Rozdíly jsou v detailech: zda jsou povolené cookie walls, jak dlouho si má web volbu pamatovat, zda může být analytika vyjmutá ze souhlasu a jak vysoké jsou pokuty. Náš průvodce pokutami za cookies porovnává stránku vymáhání.

Co přidává GDPR

Směrnice ePrivacy sama souhlas nedefinuje; odkazuje na definici v právu na ochranu osobních údajů, dnes v GDPR (obecném nařízení o ochraně osobních údajů). Souhlas s cookies proto musí být:

• Svobodný: skutečná volba, bez nátlaku. Přístup na web by obecně neměl záviset na přijetí sledování; viz Cookie walls.
• Konkrétní: pro každý účel zvlášť, tedy ne jedno „přijmout“ pro všechno bez možnosti výběru.
• Informovaný: návštěvník ví, kdo ukládá jaké cookies, za jakým účelem a na jak dlouho.
• Jednoznačný: vyjádřený jasným, aktivním úkonem. Mlčení, scrollování ani pokračování v prohlížení souhlas není.

Návštěvník musí také mít možnost souhlas odvolat stejně snadno, jako ho udělil.

Když cookies zpracovávají osobní údaje, což sledovací cookies téměř vždy dělají, vztahuje se GDPR i na toto zpracování: potřebuješ právní základ, musíš poskytnout informace a respektovat práva subjektů údajů.

Planet49: klíčový rozsudek

Ve věci Planet49 (věc C-673/17, 1. října 2019) Soudní dvůr EU rozhodl, že:

• předem zaškrtnuté políčko není platný souhlas;
• požadavek souhlasu platí bez ohledu na to, zda jde o osobní údaje;
• informace pro uživatele musí zahrnovat, jak dlouho cookies vydrží a zda k nim mají přístup třetí strany.

Co se mění a co ne

Nařízení ePrivacy bylo staženo

V roce 2017 Komise navrhla nařízení ePrivacy, které mělo směrnici nahradit. Po letech bez dohody oznámila ve svém pracovním programu na rok 2025 jeho stažení a stažení bylo 6. října 2025 zveřejněno v Úředním věstníku. Směrnice ePrivacy proto stále platí.

Digital Omnibus je návrh, ne zákon

19. listopadu 2025 představila Komise Digital Omnibus (postup 2025/0360(COD)). Navrhuje mimo jiné přesunout pravidla pro přístup k zařízením, který zahrnuje osobní údaje, ze směrnice ePrivacy do GDPR, vyžadovat možnost odmítnout jedním kliknutím, uložit webům povinnost respektovat volbu nejméně šest měsíců, umožnit uživatelům nastavit volby centrálně (například v prohlížeči) a vyjmout ze souhlasu některá použití s nízkým rizikem, například počítání návštěv.

K říjnu 2026 jde stále o návrh: výbory Evropského parlamentu pracují na své zprávě a Rada zatím nepřijala postoj. Členské státy i poslanci navrhli změny, takže konečné znění může vypadat jinak. Dokud nebude přijat a nezačne platit, zůstávají v platnosti výše uvedené národní zákony o cookies.

Spojené království je zvlášť

Od brexitu má Spojené království vlastní pravidla: nařízení 6 předpisu PECR spolu s UK GDPR, která vymáhá ICO. Zákon Data (Use and Access) Act 2025 přidal nové výjimky, například pro část analytiky, které v EU neexistují. Viz UK cookie law (v angličtině).

Jak dodržet pravidla v celé EU

1. Proskenuj svůj web a najdi každou cookie, pixel a skript, včetně těch z pluginů a vloženého obsahu.
2. Zablokuj vše, co vyžaduje souhlas, dokud návštěvník nesouhlasí.
3. Nabídni skutečnou volbu: „Přijmout“ a „Odmítnout“ stejně viditelné na první vrstvě a nastavení pro jednotlivé účely.
4. Informuj srozumitelně v liště i v zásadách používání cookies.
5. Usnadni odvolání souhlasu, například odkazem na každé stránce.
6. Uchovávej doklad o každém souhlasu.
7. Řiď se nejpřísnějšími pravidly tam, kde máš návštěvníky, nebo použij geografická pravidla pro jednotlivé země.
8. Používej Google Consent Mode v2, pokud používáš Google Ads nebo Analytics; viz Google Consent Mode v2 srozumitelně.

Cookie Confirm tyto kroky pokrývá: měsíční sken s neomezenými opakovanými skeny, skripty zablokované do udělení souhlasu, geografická pravidla pro jednotlivé země, lišta ve stylu tvé značky zobrazená v jazyce návštěvníka (29+ jazyků), prohlášení o cookies vygenerované ze skenu a záznam souhlasů uchovávaný 12 měsíců. Za 7,95 € za web měsíčně, se 7denní zkušební verzí zdarma.

Zdroje

• EUR-Lex: Směrnice 2002/58/ES (směrnice ePrivacy)
• EUR-Lex: Směrnice 2009/136/ES
• EUR-Lex: Nařízení (EU) 2016/679 (GDPR)
• SDEU: věc C-673/17, Planet49 (1. října 2019)
• EDPB: Pokyny 2/2023 k technickému rozsahu čl. 5 odst. 3 směrnice ePrivacy
• EDPB: Pokyny 05/2020 k souhlasu
• Rada EU: informace o stažených návrzích Komise, Úř. věst. C/2025/5423 (říjen 2025)
• EUR-Lex: postup 2017/0003(COD), nařízení ePrivacy
• Evropská komise: Digitální balíček (Digital Omnibus), časté dotazy
• Legislativní observatoř Evropského parlamentu: postup 2025/0360(COD)
• e-Sbírka: Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89 odst. 3
• e-Sbírka: Zákon č. 374/2021 Sb. (novela, opt-in od 1. ledna 2022)
• ÚOOÚ: Q&A – Cookies
• Wetten.nl: Telecommunicatiewet, čl. 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (čl. 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)