Čo je server-side tracking?
Pri bežnom meraní robí všetku prácu prehliadač. Tvoja stránka načíta skripty Googlu, Mety a ďalších dodávateľov a každý skript posiela údaje priamo z prehliadača návštevníka na servery daného dodávateľa.
Pri server-side trackingu prehliadač pošle údaje najprv na jedno miesto: na server, ktorý ovládaš, zvyčajne na subdoméne tvojho webu, napríklad metrics.tvojweb.sk. Tento server požiadavku prijme, spracuje ju na udalosti a rozhodne, čo a ktorému dodávateľovi pošle ďalej. Najznámejším príkladom je server-side Google Tag Manager: „serverový kontajner“, ktorý beží v Google Cloud alebo u špecializovaného poskytovateľa hostingu, popri bežnom webovom kontajneri v prehliadači. Typicky sa používa na GA4 cez serverový kontajner a na Meta Conversions API, cez ktoré tvoj server posiela konverzie priamo Mete.
| V prehliadači (client-side) | Na serveri (server-side) | |
|---|---|---|
| Kde bežia tagy | V prehliadači návštevníka | Na serveri, ktorý ovládaš |
| Kto dostane údaje ako prvý | Každý dodávateľ priamo | Tvoj server, ktorý ich posiela ďalej |
| Cookies | Často ich nastavujú skripty dodávateľov | Môže ich nastaviť tvoj server na tvojej doméne |
| Kontrola nad tým, čo dostanú dodávatelia | Malá: každý skript zbiera, čo chce | Údaje môžeš pred odoslaním odstrániť alebo upraviť |
Podstatné je toto: vo väčšine nastavení prehliadač návštevníka stále spúšťa skript a stále posiela údaje. Rozdiel je len v tom, kam idú najprv.
Potrebuje server-side tracking súhlas?
Tak ako pri každom inom meraní platia dva súbory pravidiel:
- Pravidlo pre cookies: § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách, slovenská verzia článku 5 ods. 3 smernice ePrivacy. Ukladať informácie do zariadenia návštevníka alebo k nim získavať prístup smieš len s jeho preukázateľným súhlasom, s výnimkou technického uloženia na prenos správy a toho, čo je bezpodmienečne potrebné na službu, o ktorú návštevník výslovne požiadal. Dohliada na to Úrad pre reguláciu elektronických komunikácií a poštových služieb. Podrobnosti v návode Cookies a slovenský zákon.
- GDPR: spracúvanie osobných údajov potrebuje právny základ, transparentnosť a záruky. Dozorným orgánom je Úrad na ochranu osobných údajov SR.
Server-side tracking ťa spod pravidla pre cookies nevyvedie. Pravidlo sa týka toho, čo sa deje v zariadení, nie toho, kam údaje nakoniec smerujú. Vzťahuje sa na akékoľvek informácie, bez ohľadu na to, či ide o osobné údaje, čo potvrdil Súdny dvor EÚ vo veci Planet49 (2019). Slovenský regulačný úrad vo svojom stanovisku k súhlasu výslovne uvádza, že sa týka aj iných techník ako cookies, napríklad fingerprintingu a web beaconov (pixelov). Európsky výbor pre ochranu údajov (EDPB) vo svojich usmerneniach 2/2023 k technickému rozsahu článku 5 ods. 3 vysvetľuje, že:
- web, ktorý cez JavaScript prinúti prehliadač odoslať informácie, získava k nim prístup, a to pod pravidlo spadá;
- pridanie identifikátorov do URL adries alebo do sledovacích pixelov je pokyn zariadeniu, aby identifikátor poslalo späť, a tiež sa počíta ako získanie prístupu;
- pod pravidlo spadá aj zber jedinečného identifikátora, napríklad zahashovaného e-mailu, cez kód v prehliadači;
- aj sledovanie len na základe IP adresy pod neho môže spadať, pokiaľ nevieš zabezpečiť, že adresa nepochádza zo zariadenia návštevníka.
Server-side nastavenie robí presne tieto veci: tag Googlu v prehliadači posiela udalosti na tvoj server a serverový kontajner môže na tvojej doméne uložiť cookie, ktorá návštevníka rozpozná. Cookie vlastnej domény nastavená cez serverový kontajner preto pri analytike alebo marketingu potrebuje súhlas, rovnako ako cookie nastavená skriptom. Niektoré krajiny EÚ, napríklad Francúzsko, povoľujú obmedzené meranie návštevnosti bez súhlasu; slovenský zákon takú výnimku nemá. Výnimky sa navyše vždy odvíjajú od účelu, nie od technológie.
GDPR platí aj na serveri
Keď údaje dorazia na tvoj server, GDPR sa vzťahuje na všetko, čo s nimi robíš: posielanie Googlu alebo Mete, obohacovanie o údaje z objednávok či CRM, tvorbu publík. Na každý účel potrebuješ právny základ a podľa usmernení EDPB k súhlasu platí, že ak je základom súhlas, musíš ho mať skôr, než spracúvanie začne.
Pri reklame a profilovaní je týmto základom v praxi súhlas. Súdny dvor EÚ vo veci Meta Platforms/Bundeskartellamt (C-252/21, 4. júla 2023) rozhodol, že personalizovaná reklama nemôže bez súhlasu používateľa odôvodniť spracúvanie jeho údajov Metou ako oprávnený záujem. Web, ktorý posiela údaje o návštevníkoch reklamnej platforme na cielenie alebo meranie konverzií, bude ťažko obhajovať oprávnený záujem tam, kde ho nemôže použiť ani samotná platforma.
Čo server-side tracking naozaj mení
Súhlas server-side tracking neobíde, ale môže tvoje meranie urobiť šetrnejším k súkromiu a lepšie kontrolovateľným:
- Kontrola nad tým, čo dostanú dodávatelia. Google uvádza, že k údajom v serverovom kontajneri máš prístup len ty, kým sa ich nerozhodneš poslať ďalej. Pred odoslaním môžeš odstrániť polia, skrátiť URL adresy alebo zahodiť udalosti.
- IP adresy a identifikátory. Môžeš sa rozhodnúť neposielať celú IP adresu alebo pred odoslaním nahradiť identifikátory. To podporuje minimalizáciu údajov (článok 5 ods. 1 písm. c) GDPR).
- Menej požiadaviek tretích strán v prehliadači. Menej skriptov dodávateľov na stránke znamená menej strán, ktoré môžu čítať údaje priamo zo zariadenia návštevníka.
- Prenosy mimo Európy. Ak tvoj server beží v EÚ a údaje pred odoslaním očistí, k dodávateľom mimo Európy sa dostane menej osobných údajov. Francúzsky dozorný orgán CNIL opisuje takýto „proxy“ pri meraní návštevnosti za prísnych podmienok: žiadna IP adresa sa neposiela ďalej, identifikátor sa nahradí, referrer a parametre URL sa odstránia, žiadne identifikátory naprieč webmi a hosting, ktorý bráni prenosom mimo EÚ. CNIL to predstavuje ako riešenie prenosov, nie ako dôvod vynechať súhlas.
Server-side tracking s cookie lištou a Consent Mode
Funkčné nastavenie je rovnaké ako bez serverového kontajnera, len s jedným krokom navyše:
- Tvoja cookie lišta zbiera voľbu a blokuje analytické a marketingové tagy, kým návštevník nesúhlasí.
- Google Consent Mode v2 voľbu odovzdá ďalej (pozri Google Consent Mode v2 zrozumiteľne). Podľa dokumentácie Googlu stačí Consent Mode nastaviť vo webovom kontajneri: tag Googlu pridá stav súhlasu ku každej požiadavke, ktorú posiela do serverového kontajnera.
- Tagy Googlu v serverovom kontajneri sa týmto stavom riadia. V základnom režime sú tagy Analytics úplne zablokované a nenastavujú ani nečítajú žiadne cookies Analytics, v prehliadači ani na serveri. V rozšírenom režime posielajú tagy Analytics namiesto toho anonymné merania. Bez súhlasu konverzné tagy Google Ads nečítajú ani nezapisujú cookies a požiadavky remarketingu Google Ads a Floodlight sa zablokujú.
- Tagom iných dodávateľov sa musíš venovať sám. Google to sľubuje len pri vlastných tagoch. Tag Meta Conversions API alebo akýkoľvek iný tag v serverovom kontajneri by sa mal spustiť len vtedy, keď to stav súhlasu dovoľuje; nastav to sám cez spúšťače alebo podmienky.
Pri rozšírenom režime buď opatrný: posiela Googlu pingy aj bez súhlasu a slovenský regulačný úrad sa k nemu osobitne nevyjadril. Viac v návode o Google Consent Mode v2.
Lišta ako Cookie Confirm nastaví predvolené hodnoty Consent Mode skôr, než sa načíta akýkoľvek tag Googlu, a po voľbe návštevníka ich aktualizuje, takže stav súhlasu sa s každou požiadavkou dostane aj do serverového kontajnera.
Meta Conversions API a súhlas
Meta Conversions API prepája tvoj server s Metou, takže môžeš posielať udalosti z webu, napríklad nákupy a leady, bez toho, aby si sa spoliehal len na Meta Pixel v prehliadači. Meta tieto udalosti používa na meranie a optimalizáciu reklám.
Ide teda o spracúvanie na reklamné účely. Podmienky Meta Business Tools vyžadujú, aby si mal na zdieľané údaje všetky potrebné práva a právny základ a aby si v krajinách, ktoré vyžadujú súhlas na ukladanie informácií do zariadení alebo prístup k nim (podmienky menujú EÚ), získal od návštevníkov preukázateľný súhlas. Podľa týchto podmienok si za tieto údaje v EÚ prevádzkovateľom ty. V praxi:
- posielaj udalosti cez Conversions API len o návštevníkoch, ktorí v lište prijali marketing;
- nepoužívaj Conversions API na „záchranu“ konverzií od návštevníkov, ktorí odmietli;
- uveď Metu a Conversions API v zásadách používania cookies aj v zásadách ochrany osobných údajov.
Možnosť „Limited Data Use“ od Mety je určená pre niektoré zákony o ochrane súkromia v štátoch USA. Nie je to mechanizmus súhlasu pre EÚ.
Časté chyby
- „Je to bez cookies, takže súhlas netreba.“ Pravidlo pokrýva viac ako cookies: skripty, ktoré prinútia prehliadač odoslať údaje, sledovacie pixely, identifikátory v URL a jedinečné identifikátory, podľa EDPB aj podľa slovenského regulačného úradu.
- „Teraz je to first-party.“ Pravidlo nerozlišuje medzi cookies prvej a tretej strany ani medzi cookies nastavenými skriptom a serverom. Rozhoduje účel.
- Odosielanie údajov pred voľbou. Ak tvoj serverový kontajner posiela zobrazenia stránok alebo konverzie dodávateľom skôr, než návštevník v lište klikne, spracúvaš údaje bez právneho základu.
- „Zahashovaný e-mail je anonymný.“ Zahashovaná e-mailová adresa je pseudonymizovaný údaj, ktorý GDPR stále považuje za osobný údaj (odôvodnenie 26). Hashuje sa práve preto, aby ho platforma ako Meta mohla priradiť ku konkrétnemu človeku.
- Zabudnuté tagy iných dodávateľov. Consent Mode riadi len tagy Googlu. Každý iný tag v serverovom kontajneri potrebuje vlastnú kontrolu súhlasu.
- Neaktualizované zásady. Návštevníci sa musia dozvedieť, ktorí dodávatelia dostávajú ich údaje, aj keď idú najprv cez tvoj server. Pozri vzor zásad používania cookies a vzor zásad ochrany osobných údajov.
Čo z toho plynie pre slovenský web
- Na Slovensku potrebuje súhlas analytika aj marketing, či už beží v prehliadači, alebo cez server. Výnimku pre meranie návštevnosti slovenský zákon nepozná, a to platí aj pre Google Analytics 4.
- Regulačný úrad pri kontrolách sleduje, či web ukladá iné ako nevyhnutné cookies, local storage alebo obsah tretích strán skôr, než návštevník súhlasí. Cookie vlastnej domény zo serverového kontajnera na tom nič nemení: ak nie je nevyhnutná a uloží sa pred súhlasom, je to porušenie § 109 ods. 8.
- Server-side tracking má zmysel kvôli kontrole nad údajmi, rýchlosti stránky a minimalizácii údajov. Nie ako spôsob, ako sa vyhnúť lište.
Zdroje
- Slov-Lex: zákon č. 452/2021 Z. z. o elektronických komunikáciách, § 109 ods. 8
- Regulačný úrad: Stanovisko k získavaniu súhlasu podľa § 109 ods. 8 zákona č. 452/2021 Z. z. (PDF, november 2025)
- Regulačný úrad: Problematika cookies
- Smernica ePrivacy 2002/58/ES (konsolidované znenie), článok 5 ods. 3
- EUR-Lex: nariadenie (EÚ) 2016/679 (GDPR)
- EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
- EDPB: Guidelines 05/2020 on consent under Regulation 2016/679
- Súdny dvor EÚ: vec C-673/17, Planet49 (1. októbra 2019)
- Súdny dvor EÚ: tlačové komuniké 113/23 k veci C-252/21, Meta Platforms/Bundeskartellamt (4. júla 2023)
- Google: An introduction to server-side tagging
- Google: Implement consent mode with server-side Tag Manager
- Google: Custom domain for server-side tagging
- Meta for Developers: Conversions API
- Meta for Developers: Data Processing Options for US users
- Meta: Business Tools Terms
- CNIL: meranie návštevnosti a prenosy údajov (vo francúzštine)