Väčšina webov dnes zobrazuje cookie lištu a mnohé ju majú nastavenú slušne: tlačidlá „Prijať“ a „Odmietnuť“ sú rovnocenné a merací skript čaká na súhlas. Pri sťažnosti zákazníka alebo kontrole však príde otázka, na ktorú lišta sama neodpovie: ako prevádzkovateľ doloží, že konkrétny návštevník súhlasil, s čím presne a či sa mohol rovnako ľahko rozhodnúť inak. Tento článok nadväzuje na otázku či je legálna lišta „prijať, alebo odísť“ a ide o krok ďalej, k preukázaniu a životnému cyklu súhlasu.
Súhlas musí byť preukázateľný
Slovenský zákon o elektronických komunikáciách dovoľuje ukladať informácie do zariadenia návštevníka alebo k nim pristupovať, iba ak užívateľ udelil preukázateľný súhlas spĺňajúci náležitosti podľa GDPR (§ 109 ods. 8 zákona č. 452/2021 Z. z.). Český zákon žiada získať vopred preukázateľný súhlas s rozsahom a účelom spracúvania (§ 89 odst. 3 zákona č. 127/2005 Sb.). GDPR k tomu dodáva pravidlo o dôkaznom bremene:
Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
Formu dôkazu predpisy neurčujú. Prakticky sa súhlas preukazuje záznamom, ktorý pri každom rozhodnutí návštevníka uloží čas, zvolené kategórie, verziu textu lišty a zásad cookies a pseudonymný identifikátor prehliadača. Rovnako dôležité je vedieť, aký text lišty bol v danom čase zobrazený; bez archívu starších verzií je záznam „súhlasil“ len polovičným dôkazom. Evidovať sa oplatí aj odmietnutia, pretože ukazujú, že voľba bola skutočná.
Čo musí návštevník vedieť pred kliknutím
Súhlas je platný, len ak je slobodný, konkrétny, informovaný a jednoznačný (čl. 4 bod 11 GDPR) a daný na jeden alebo viaceré konkrétne účely (čl. 6 ods. 1 písm. a)). Súdny dvor EÚ vo veci Planet49 (C-673/17) uviedol tri pravidlá, ktoré platia dodnes. Vopred zaškrtnuté políčko, ktoré musí návštevník odškrtnúť, platný súhlas nezakladá. Pravidlá pre cookies sa uplatňujú bez ohľadu na to, či uložené informácie sú osobnými údajmi. A informácia pre používateľa musí zahŕňať aj dobu, počas ktorej cookies fungujú, a to, či k nim majú prístup tretie osoby.
Zásady cookies preto nemajú byť všeobecným textom o tom, čo cookies sú. Majú obsahovať zoznam nástrojov podľa kategórií, ich účel, dobu uloženia a označenie tretích strán, ktoré k údajom pristupujú. Ak sa zásady odkazujú na nástroj, ktorý web už nepoužíva, alebo naopak mlčia o novom pixeli, súhlas sa na nový nástroj nevzťahuje.
Kedy treba súhlas získať znova
Zákon nestanovuje lehotu, po ktorej súhlas s cookies zaniká. Súhlas sa však viaže na konkrétne účely a nástroje, o ktorých bol návštevník informovaný. Keď web pridá nový marketingový nástroj alebo zmení účel spracúvania, starý súhlas ho nepokrýva a lištu treba návštevníkovi zobraziť znova. Rozumné je nastaviť aj pravidelné opätovné zobrazenie, aby súhlas zodpovedal aktuálnemu stavu webu; dĺžku intervalu treba odôvodniť a zapísať do dokumentácie.
Odvolanie musí byť rovnako jednoduché
Súhlas nie je jednorazový. GDPR ho upravuje takto:
Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
Ak návštevník súhlasil jedným kliknutím na lište, nesmie ho odvolanie stáť hľadanie v zásadách alebo e-mail na podporu. Obvyklým riešením je trvalo dostupný odkaz alebo ikona, ktorá lištu kedykoľvek znova otvorí. Po odvolaní musia prestať bežať skripty, ktoré na súhlase stáli, a web už nesmie ukladať ani čítať informácie v zariadení návštevníka na tieto účely; spracúvanie, ktoré prebehlo pred odvolaním, zostáva zákonné.
Najčastejšie slabé miesta
Medzi typické slabé miesta patrí záznam súhlasu bez verzie textu, správca značiek, ktorý spustí časť skriptov ešte pred voľbou návštevníka, zásady cookies neaktualizované po zmene nástrojov a odvolanie dostupné len cez nastavenia prehliadača. Ďalšou častou medzerou sú nástroje tretích strán vložené do webu, pri ktorých prevádzkovateľ nevie, čo ukladajú; o zodpovednosti za cudzie skripty píšeme v otázke či musí web bez formulárov riešiť GDPR. Ak web cieli na slovenské aj české publikum, pozrite si aj článok cookie lišta pre slovenský aj český web.
Skutočné správanie webu zmeriame, lištu, záznam súhlasov a zásady cookies nastavíme a po nasadení skontrolujeme v rámci služby cookies a právne nastavenie webu. Ak cookies riešite ako súčasť širšieho poriadku v osobných údajoch, nadväzuje na ňu služba GDPR a ochrana osobných údajov.
Článok je všeobecná právna informácia k stavu ku dňu 12. 9. 2026 — nie je právnou službou ani radou k vašej konkrétnej veci. Právne predpisy sa menia a vaša situácia sa môže v detailoch líšiť; pred rozhodnutím si postup overte alebo sa nám ozvite.
