Pravidlá pre cookies v EÚ: smernica ePrivacy a GDPR zrozumiteľne

Odkiaľ pochádza pravidlo EÚ pre cookies

Pravidlo, ktorému väčšina ľudí hovorí „zákon EÚ o cookies“, je článok 5 ods. 3 smernice ePrivacy (smernica 2002/58/ES o súkromí a elektronických komunikáciách). Od jeho zmeny smernicou 2009/136/ES stanovuje, že ukladanie informácií do zariadenia používateľa alebo získavanie prístupu k informáciám, ktoré sú v ňom už uložené, je povolené len vtedy, ak používateľ po získaní jasných a úplných informácií dal súhlas. Členské štáty museli zmenené pravidlo uplatňovať od 25. mája 2011.

Existujú dve výnimky. Súhlas nie je potrebný pri ukladaní alebo prístupe, ktoré:

• slúžia len na uskutočnenie prenosu komunikácie cez sieť, alebo
• sú nevyhnutne potrebné na poskytnutie služby, o ktorú používateľ výslovne požiadal, napríklad nákupný košík, prihlásenie alebo uloženie voľby cookies.

Všetko ostatné, napríklad analytika, reklama, retargeting a pixely sociálnych sietí, v zásade súhlas potrebuje. Niektoré vnútroštátne dozorné orgány povoľujú úzke výnimky pre meranie návštevnosti šetrné k súkromiu; pozri si návody pre jednotlivé krajiny nižšie. Slovenský zákon takú výnimku nemá.

Nielen cookies

Pravidlo je technologicky neutrálne. Európsky výbor pre ochranu údajov (EDPB) vo svojich usmerneniach 2/2023 o technickom rozsahu článku 5 ods. 3, prijatých v konečnej podobe v októbri 2024, vysvetľuje, že sa vzťahuje aj na sledovacie pixely, sledovacie odkazy, local storage, niektoré formy fingerprintingu a podobné techniky. Viac v návode Čo sú cookies?

Ako to uplatňujú členské štáty

Keďže ide o smernicu, každý členský štát prebral pravidlo do vlastného práva a každý má vlastný dozorný orgán. Niekoľko príkladov:

Rozdiely sú v detailoch: či sú povolené cookie walls, ako dlho si treba voľbu pamätať, či môže byť analytika oslobodená a aké vysoké sú pokuty. Na Slovensku napríklad regulačný úrad vyžaduje „Odmietnuť všetky“ na prvej vrstve lišty, ak je tam „Prijať všetky“, za primeranú dobu platnosti voľby považuje 12 mesiacov a za cookies uložené pred súhlasom môže uložiť pokutu až do 5 % obratu. Stránku vymáhania porovnáva náš návod o pokutách za cookies.

Čo pridáva GDPR

Smernica ePrivacy sama súhlas nedefinuje; odkazuje na definíciu v práve na ochranu údajov, dnes v GDPR. Súhlas s cookies preto musí byť:

• Slobodný: skutočná voľba, bez nátlaku. Prístup k webu by vo všeobecnosti nemal závisieť od prijatia sledovania; pozri Cookie wall.
• Konkrétny: pre každý účel zvlášť, teda nie jedno „prijať“ na všetko bez možnosti výberu.
• Informovaný: návštevník vie, kto ukladá ktoré cookies, na aký účel a na ako dlho.
• Jednoznačný: vyjadrený jasným, aktívnym úkonom. Mlčanie, posúvanie stránky alebo pokračovanie v prehliadaní nie je súhlas.

Návštevník musí mať tiež možnosť súhlas odvolať rovnako ľahko, ako ho udelil.

Keď cookies spracúvajú osobné údaje, čo sledovacie cookies robia takmer vždy, vzťahuje sa GDPR aj na toto spracúvanie: potrebuješ právny základ, musíš poskytnúť informácie a rešpektovať práva dotknutých osôb.

Planet49: kľúčový súdny prípad

Vo veci Planet49 (vec C-673/17, 1. októbra 2019) Súdny dvor EÚ rozhodol, že:

• predvyplnené zaškrtávacie políčko nie je platný súhlas;
• požiadavka súhlasu platí bez ohľadu na to, či ide o osobné údaje;
• informácie pre používateľov musia obsahovať, ako dlho cookies vydržia a či k nim majú prístup tretie strany.

Čo sa mení a čo nie

Nariadenie ePrivacy bolo stiahnuté

V roku 2017 Komisia navrhla nariadenie ePrivacy, ktoré malo smernicu nahradiť. Po rokoch bez dohody oznámila jeho stiahnutie vo svojom pracovnom programe na rok 2025 a stiahnutie bolo uverejnené v Úradnom vestníku 6. októbra 2025. Smernica ePrivacy teda stále platí.

Digital Omnibus je návrh, nie zákon

19. novembra 2025 Komisia predstavila Digital Omnibus (postup 2025/0360(COD)). Navrhuje okrem iného presunúť pravidlá o prístupe k zariadeniam, ktorý zahŕňa osobné údaje, zo smernice ePrivacy do GDPR, vyžadovať možnosť odmietnuť jedným kliknutím, zaviazať weby rešpektovať voľbu aspoň šesť mesiacov, umožniť používateľom nastaviť voľby centrálne (napríklad v prehliadači) a oslobodiť od súhlasu niektoré použitia s nízkym rizikom, napríklad počítanie návštev.

K októbru 2026 je to stále návrh: výbory Európskeho parlamentu pracujú na svojej správe a Rada zatiaľ neprijala pozíciu. Členské štáty a poslanci navrhli zmeny, takže konečné znenie môže vyzerať inak. Kým ho neprijmú a nezačne sa uplatňovať, zostávajú v platnosti vnútroštátne zákony o cookies uvedené vyššie, na Slovensku teda § 109 ods. 8 zákona o elektronických komunikáciách.

Spojené kráľovstvo je osobitný prípad

Od brexitu má Spojené kráľovstvo vlastné pravidlá: nariadenie 6 predpisu PECR spolu s UK GDPR, ktoré vymáha ICO. Zákon Data (Use and Access) Act 2025 pridal nové výnimky, napríklad pre niektorú analytiku, ktoré v EÚ neexistujú. Pozri UK cookie law.

Ako dodržať pravidlá v celej EÚ

1. Preskenuj svoj web a nájdi každú cookie, pixel a skript vrátane tých z pluginov a vloženého obsahu.
2. Zablokuj všetko, čo potrebuje súhlas, kým návštevník nesúhlasí.
3. Ponúkni skutočnú voľbu: „Prijať“ a „Odmietnuť“ rovnako viditeľné na prvej úrovni a nastavenia pre každý účel.
4. Informuj jasne v lište aj v zásadách používania cookies.
5. Umožni jednoduché odvolanie, napríklad cez odkaz na každej stránke.
6. Uchovávaj doklad o každom súhlase.
7. Dodržiavaj najprísnejšie pravidlá tam, kde máš návštevníkov, alebo použi geografické pravidlá pre každú krajinu.
8. Používaj Google Consent Mode v2, ak používaš Google Ads alebo Analytics; pozri Google Consent Mode v2 zrozumiteľne.

Cookie Confirm tieto kroky pokrýva: mesačný sken s neobmedzenými opakovanými skenmi, skripty zablokované až do súhlasu, geografické pravidlá pre každú krajinu, lišta v štýle tvojej značky zobrazená v jazyku návštevníka (29+ jazykov), vyhlásenie o cookies vygenerované zo skenu a záznam súhlasov uchovávaný 12 mesiacov. Za 7,95 € za web mesačne, so 7-dňovou skúšobnou verziou zadarmo.

Zdroje

• EUR-Lex: smernica 2002/58/ES (smernica ePrivacy)
• EUR-Lex: smernica 2009/136/ES
• EUR-Lex: nariadenie (EÚ) 2016/679 (GDPR)
• Súdny dvor EÚ: vec C-673/17, Planet49 (1. októbra 2019)
• EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
• EDPB: Guidelines 05/2020 on consent
• Rada EÚ: informácia o stiahnutých návrhoch Komisie, Ú. v. C/2025/5423 (október 2025)
• EUR-Lex: postup 2017/0003(COD), nariadenie ePrivacy
• Európska komisia: Digital Package (Digital Omnibus), časté otázky
• Legislatívne observatórium Európskeho parlamentu: postup 2025/0360(COD)
• Slov-Lex: zákon č. 452/2021 Z. z. o elektronických komunikáciách, § 109 ods. 8 a § 124
• Regulačný úrad: Stanovisko k získavaniu súhlasu podľa § 109 ods. 8 (PDF, november 2025)
• Slov-Lex: zákon č. 18/2018 Z. z. o ochrane osobných údajov
• Wetten.nl: Telecommunicatiewet, článok 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (článok 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)