Zákon o cookies v Česku: co musí splnit tvůj web

Co říká zákon o cookies?

Jako „zákon o cookies“ se v Česku označuje § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Kdo ukládá údaje do zařízení návštěvníka nebo k nim přistupuje, musí od něj podle tohoto ustanovení předem získat prokazatelný souhlas s rozsahem a účelem jejich zpracování. Týká se to cookies, ale i podobných technologií: ÚOOÚ výslovně uvádí local storage, další formy ukládání dat v prohlížeči i fingerprinting.

Výjimky jsou dvě. Souhlas není potřeba pro technické ukládání nebo přístup:

• výhradně pro přenos zprávy sítí elektronických komunikací, nebo
• pokud je to nezbytné pro službu, o kterou návštěvník výslovně požádal, například nákupní košík, přihlášení nebo zapamatování volby v cookie liště.

Tohle pravidlo platí od 1. ledna 2022, kdy nabyla účinnosti novela zákonem č. 374/2021 Sb. Do té doby stačilo návštěvníka předem informovat a nabídnout mu možnost cookies odmítnout (opt-out). Novela to změnila na opt-in: bez souhlasu žádné netechnické cookies. Česko tím dorovnalo čl. 5 odst. 3 evropské směrnice ePrivacy, ze které pravidlo vychází. Víc o evropském rámci najdeš v průvodci Pravidla pro cookies v EU.

Protože cookies obvykle obsahují jedinečné identifikátory, jde podle ÚOOÚ zpravidla o osobní údaje. Proto vedle zákona o elektronických komunikacích platí i GDPR: potřebuješ právní základ, musíš návštěvníky informovat a respektovat jejich práva.

Které cookies smíš bez souhlasu?

ÚOOÚ dělí cookies na technické, které jsou nezbytné pro chod webu, a netechnické, které slouží ke sběru informací o návštěvnících pro statistické, analytické, marketingové nebo jiné účely. Netechnické cookies smíš aktivovat až po souhlasu.

Na rozdíl od některých jiných zemí EU nemá český zákon zvláštní výjimku pro měření návštěvnosti. ÚOOÚ sice připouští, že další zpracování údajů z analytiky první strany může stát na oprávněném zájmu, ale samotné uložení a čtení analytických cookies podle zákona o elektronických komunikacích souhlas vyžaduje. Když návštěvník souhlas nedá, nesmí se tyto cookies použít vůbec.

I o technických cookies musíš návštěvníky informovat, protože i ty zpravidla obsahují osobní údaje. Jak, to najdeš v našem vzoru zásad používání cookies. Přehled typů cookies je v průvodci Co jsou cookies?

Jaký musí být souhlas?

Souhlas musí splňovat požadavky GDPR: svobodný, konkrétní, informovaný a jednoznačný. ÚOOÚ k tomu v otázkách a odpovědech ke cookies uvádí konkrétní pravidla:

• „Odmítnout“ ve stejné vrstvě jako „Přijmout“. Odmítnout musí být stejně snadné jako souhlasit. Jako dobrou praxi ÚOOÚ doporučuje dát obě tlačítka do první vrstvy lišty, vedle sebe a ve srovnatelném vizuálním provedení.
• Žádné zvýrazňování souhlasu. Tlačítko „Souhlasím“ by nemělo být výrazně větší nebo barevnější než „Odmítám“.
• Žádná předem zaškrtnutá políčka, ani v nastavení. To potvrdil i Soudní dvůr EU ve věci Planet49.
• Zavření lišty ani pouhé prohlížení není souhlas. Když návštěvník lištu zavře, odmítne nebo nereaguje, musí netechnické cookies zůstat vypnuté.
• Nastavení prohlížeče souhlas nenahradí. Provozovatel musí umět prokázat, že návštěvník souhlas aktivně udělil, například kliknutím.
• Odvolání musí být stejně snadné jako udělení. ÚOOÚ doporučuje odkaz na nastavení cookies v patičce webu.
• Lišta nesmí blokovat web. Pokud je uprostřed obrazovky, má mít prvek pro zavření bez volby. Viz Cookie walls.

Za přiměřenou dobu platnosti souhlasu považuje ÚOOÚ 12 měsíců. Po odmítnutí by se lišta neměla znovu zobrazit dřív než za 6 měsíců, ledaže se podstatně změnilo nastavení lišty nebo účely zpracování, nebo návštěvník cookies smazal.

Kdo na cookies dohlíží?

Dozor vykonává Úřad pro ochranu osobních údajů (ÚOOÚ). Cookies řeší jako zpracování osobních údajů: když web uloží netechnické cookies bez souhlasu podle § 89 odst. 3, posuzuje to ÚOOÚ jako porušení zásady zákonnosti podle čl. 5 odst. 1 písm. a) GDPR a trestá to jako přestupek podle § 62 zákona č. 110/2019 Sb., o zpracování osobních údajů. Zákon o elektronických komunikacích sám za porušení § 89 odst. 3 samostatný přestupek nestanoví.

V roce 2022 se ÚOOÚ věnoval hlavně osvětě a rozesílal takzvané vytýkací dopisy. Protože část provozovatelů na ně nereagovala, vede od roku 2023 správní řízení a ukládá pokuty, obvykle spolu s nápravnými opatřeními. Výši pokut počítá podle pokynů EDPB 04/2022. Podrobnosti a konkrétní pokuty najdeš v průvodci Pokuty za cookies.

Na co se ÚOOÚ zaměřuje?

Ve výroční zprávě za rok 2023 ÚOOÚ uvedl, co při šetřeních cookies nachází nejčastěji: ve více než 70 % případů zpracování osobních údajů přes cookies ještě před udělením souhlasu, v 50 % nedostatky v informační povinnosti a téměř ve 30 % případů tlačítka pro souhlas a odmítnutí v různých vrstvách lišty. Mezi další časté chyby patří:

• Neinformovaný souhlas, například když lišta mluví jen o cookies samotného webu, ale po souhlasu se načtou i cookies třetích stran.
• Neúplný seznam cookies nebo informace jen v angličtině. Na webu pro české návštěvníky musí být informace i v češtině.
• „Neklasifikované“ cookies bez popisu účelu, které někdy vytvoří automatické cookie lišty.
• Složité odvolání souhlasu, když návštěvník nastavení cookies na webu nenajde.
• Texty typu „Používáním webu souhlasíte s cookies“. ÚOOÚ v roce 2023 upozornil provozovatele webu s takovou lištou, že neodpovídá zákonu ani GDPR.

ÚOOÚ také připomíná, že za cookie lištu odpovídá provozovatel webu, i když používá hotové řešení od jiné firmy. Když web spravuje externí firma, má s ní mít uzavřenou zpracovatelskou smlouvu, která pokrývá i cookies.

Jak na to krok za krokem

1. Zjisti, jaké cookies tvůj web ukládá, včetně těch z pluginů, vložených videí a marketingových tagů. Pomůže skener cookies.
2. Zvaž, jestli všechno potřebuješ. S čistě technickými cookies cookie lištu nepotřebuješ.
3. Roztřiď cookies podle účelu: technické, analytické, marketingové.
4. Nasaď cookie lištu s tlačítky „Přijmout“ a „Odmítnout“ vedle sebe v první vrstvě, stejně výrazně.
5. Zablokuj netechnické cookies, dokud návštěvník nesouhlasí, a nech je zablokované po odmítnutí i po zavření lišty.
6. Používáš Google Ads nebo Analytics? Předávej volbu přes Google Consent Mode v2.
7. Zveřejni informace o cookies v češtině: všechny cookies, účel, dobu uložení, kdo je ukládá a odkaz na nastavení v patičce.
8. Uchovávej doklad o souhlasu, abys mohl ÚOOÚ při kontrole prokázat, kdo kdy k čemu souhlasil.

Cookie Confirm ti pomůže s kroky 1 a 3 až 8: skener každý měsíc (a kdykoli na vyžádání) najde cookies na tvém webu, lišta blokuje skripty do udělení souhlasu a předává volbu do Google Consent Mode v2, prohlášení o cookies se generuje ze skenu a průběžně aktualizuje a každý souhlas se uchovává 12 měsíců. Za 7,95 € za web měsíčně, se 7denní zkušební verzí zdarma. Nechceš to instalovat sám? Bezplatná instalační služba to zařídí do 24 hodin od chvíle, kdy nám dáš přístup.

Zdroje

• Zákon č. 127/2005 Sb., o elektronických komunikacích, § 87 a § 89 (e-Sbírka)
• Zákon č. 374/2021 Sb., novela zákona o elektronických komunikacích, čl. I bod 276 a čl. XVIII (e-Sbírka)
• Zákon č. 110/2019 Sb., o zpracování osobních údajů, § 62 (e-Sbírka)
• Nařízení (EU) 2016/679 (GDPR) (EUR-Lex)
• Směrnice 2002/58/ES (směrnice ePrivacy), čl. 5 odst. 3 (EUR-Lex)
• ÚOOÚ: Q&A – Cookies
• ÚOOÚ: leták Souhlas s cookies prostřednictvím tzv. cookie lišty
• ÚOOÚ: Výroční zpráva 2023, kapitola Výzva roku – správní trestání a dobrá praxe v oblasti cookies
• ÚOOÚ: Výroční zpráva 2025, Prokazování udělení souhlasu s cookies
• ÚOOÚ: Praxe ÚOOÚ v oblasti cookies, prezentace ze semináře (12. června 2024)
• ÚOOÚ: Vyrozumění správci na možné porušení GDPR, čj. UOOU-00747/23-4 (11. května 2023)
• EDPB: Pokyny 05/2020 k souhlasu podle nařízení 2016/679
• EDPB: Pokyny 04/2022 k výpočtu správních pokut podle GDPR
• SDEU: věc C-673/17, Planet49 (1. října 2019)