Väčšina webov dnes zobrazuje cookie lištu. Na mnohých sú tlačidlá „Prijať“ a „Odmietnuť“ rovnocenné a merací skript čaká na súhlas. Pri sťažnosti zákazníka alebo kontrole však samotná lišta nestačí. Prevádzkovateľ musí vedieť doložiť, že konkrétny návštevník súhlasil, s čím presne a či sa mohol rovnako ľahko rozhodnúť inak. Tento článok nadväzuje na otázku či je legálna lišta „prijať, alebo odísť“ a venuje sa preukázaniu, obnoveniu a odvolaniu súhlasu.
Súhlas musí byť preukázateľný
Slovenský zákon o elektronických komunikáciách dovoľuje ukladať informácie do zariadenia návštevníka alebo k nim pristupovať, iba ak užívateľ udelil preukázateľný súhlas spĺňajúci náležitosti podľa GDPR (§ 109 ods. 8 zákona č. 452/2021 Z. z.). Český zákon žiada získať vopred preukázateľný súhlas s rozsahom a účelom spracúvania (§ 89 odst. 3 zákona č. 127/2005 Sb.). GDPR k tomu dodáva pravidlo o dôkaznom bremene.
Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.
Formu dôkazu predpisy neurčujú. Prakticky sa súhlas preukazuje záznamom, ktorý pri každom rozhodnutí návštevníka uloží čas, zvolené kategórie, verziu textu lišty a zásad cookies a pseudonymný identifikátor prehliadača. Rovnako dôležité je vedieť, aký text lišty bol v danom čase zobrazený. Bez archívu starších verzií záznam „súhlasil“ nepreukazuje, s čím návštevník súhlasil. Evidovať sa oplatí aj odmietnutia, pretože ukazujú, že voľba bola skutočná.
Čo musí návštevník vedieť pred kliknutím
Súhlas je platný, len ak je slobodný, konkrétny, informovaný a jednoznačný (čl. 4 bod 11 GDPR) a daný na jeden alebo viaceré konkrétne účely (čl. 6 ods. 1 písm. a)). Súdny dvor EÚ vo veci Planet49 (C-673/17) uviedol tri pravidlá, ktoré platia dodnes. Vopred zaškrtnuté políčko, ktoré musí návštevník odškrtnúť, platný súhlas nezakladá. Pravidlá pre cookies sa uplatňujú bez ohľadu na to, či uložené informácie sú osobnými údajmi. A informácia pre používateľa musí zahŕňať aj dobu, počas ktorej cookies fungujú, a to, či k nim majú prístup tretie osoby.
Zásady cookies preto nemajú byť všeobecným textom o tom, čo cookies sú. Majú obsahovať zoznam nástrojov podľa kategórií, ich účel, dobu uloženia a označenie tretích strán, ktoré k údajom pristupujú. Ak sa zásady odkazujú na nástroj, ktorý web už nepoužíva, alebo naopak mlčia o novom pixeli, súhlas sa na nový nástroj nevzťahuje.
Kedy treba súhlas získať znova
Zákon nestanovuje lehotu, po ktorej súhlas s cookies zaniká. Súhlas sa však viaže na konkrétne účely a nástroje, o ktorých bol návštevník informovaný. Keď web pridá nový marketingový nástroj alebo zmení účel spracúvania, starý súhlas ho nepokrýva a lištu treba návštevníkovi zobraziť znova. Rozumné je nastaviť aj pravidelné opätovné zobrazenie, aby súhlas zodpovedal aktuálnemu stavu webu. Dĺžku intervalu treba odôvodniť a zapísať do dokumentácie.
Odvolanie musí byť rovnako jednoduché
Návštevník má podľa GDPR právo svoj súhlas kedykoľvek odvolať.
Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania vychádzajúceho zo súhlasu pred jeho odvolaním. Pred poskytnutím súhlasu musí byť dotknutá osoba o tejto skutočnosti informovaná. Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.
Ak návštevník súhlasil jedným kliknutím na lište, pri odvolaní nemá byť nútený hľadať postup v zásadách alebo písať e-mail na podporu. Obvyklým riešením je trvalo dostupný odkaz alebo ikona, ktorá lištu kedykoľvek znova otvorí. Po odvolaní musia prestať bežať skripty, ktoré na súhlase stáli, a web už nesmie ukladať ani čítať informácie v zariadení návštevníka na tieto účely. Spracúvanie, ktoré prebehlo pred odvolaním, zostáva zákonné.
Najčastejšie slabé miesta
Medzi typické slabé miesta patrí záznam súhlasu bez verzie textu, správca značiek, ktorý spustí časť skriptov ešte pred voľbou návštevníka, zásady cookies neaktualizované po zmene nástrojov a odvolanie dostupné len cez nastavenia prehliadača. Ďalšou častou medzerou sú nástroje tretích strán vložené do webu, pri ktorých prevádzkovateľ nevie, čo ukladajú. O zodpovednosti za cudzie skripty píšeme v otázke či musí web bez formulárov riešiť GDPR. Ak web cieli na slovenské aj české publikum, pozrite si aj článok cookie lišta pre slovenský aj český web.
Skutočné správanie webu zmeriame, lištu, záznam súhlasov a zásady cookies nastavíme a po nasadení skontrolujeme v rámci služby cookies a právne nastavenie webu. Ak cookies riešite ako súčasť širšieho poriadku v osobných údajoch, nadväzuje na ňu služba GDPR a ochrana osobných údajov.
Článok poskytuje všeobecné právne informácie podľa stavu k 12. 9. 2026. Nie je právnou službou ani radou pre konkrétnu situáciu. Právne predpisy sa menia a okolnosti vášho prípadu sa môžu líšiť. Pred rozhodnutím si preto postup overte alebo sa nám ozvite.
