Většina webů dnes zobrazuje cookie lištu a mnohé ji mají nastavenou slušně: tlačítka „Přijmout“ a „Odmítnout“ jsou rovnocenná a měřicí skript čeká na souhlas. Při stížnosti zákazníka nebo kontrole však přijde otázka, na kterou lišta sama neodpoví: jak správce doloží, že konkrétní návštěvník souhlasil, s čím přesně a zda se mohl stejně snadno rozhodnout jinak. Tento článek navazuje na otázku zda je legální lišta „přijmout, nebo odejít“ a jde o krok dál, k doložení a životnímu cyklu souhlasu.
Souhlas musí být prokazatelný
Slovenský zákon o elektronických komunikacích dovoluje ukládat informace do zařízení návštěvníka nebo k nim přistupovat pouze tehdy, pokud uživatel udělil prokazatelný souhlas splňující náležitosti podle GDPR (§ 109 odst. 8 zákona č. 452/2021 Z. z.). Český zákon žádá získat předem prokazatelný souhlas s rozsahem a účelem zpracování (§ 89 odst. 3 zákona č. 127/2005 Sb.). GDPR k tomu dodává pravidlo o důkazním břemenu:
Je-li zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
— Český překlad čl. 7 odst. 1 nařízení (EU) 2016/679 (GDPR)
Formu důkazu předpisy neurčují. Prakticky se souhlas dokládá záznamem, který při každém rozhodnutí návštěvníka uloží čas, zvolené kategorie, verzi textu lišty a zásad cookies a pseudonymní identifikátor prohlížeče. Stejně důležité je vědět, jaký text lišty byl v daném čase zobrazen; bez archivu starších verzí je záznam „souhlasil“ jen polovičním důkazem. Evidovat se vyplatí i odmítnutí, protože ukazují, že volba byla skutečná.
Co musí návštěvník vědět před kliknutím
Souhlas je platný, jen pokud je svobodný, konkrétní, informovaný a jednoznačný (čl. 4 bod 11 GDPR) a daný pro jeden nebo více konkrétních účelů (čl. 6 odst. 1 písm. a)). Soudní dvůr EU ve věci Planet49 (C-673/17) uvedl tři pravidla, která platí dodnes. Předem zaškrtnuté políčko, které musí návštěvník odškrtnout, platný souhlas nezakládá. Pravidla pro cookies se uplatňují bez ohledu na to, zda uložené informace jsou osobními údaji. A informace pro uživatele musí zahrnovat i dobu, po kterou cookies fungují, a to, zda k nim mají přístup třetí osoby.
Zásady cookies proto nemají být obecným textem o tom, co cookies jsou. Mají obsahovat seznam nástrojů podle kategorií, jejich účel, dobu uložení a označení třetích stran, které k údajům přistupují. Pokud se zásady odkazují na nástroj, který web už nepoužívá, nebo naopak mlčí o novém pixelu, souhlas se na nový nástroj nevztahuje.
Kdy je třeba souhlas získat znovu
Zákon nestanoví lhůtu, po které souhlas s cookies zaniká. Souhlas se však váže na konkrétní účely a nástroje, o kterých byl návštěvník informován. Když web přidá nový marketingový nástroj nebo změní účel zpracování, starý souhlas jej nepokrývá a lištu je třeba návštěvníkovi zobrazit znovu. Rozumné je nastavit i pravidelné opětovné zobrazení, aby souhlas odpovídal aktuálnímu stavu webu; délku intervalu je třeba odůvodnit a zapsat do dokumentace.
Odvolání musí být stejně jednoduché
Souhlas není jednorázový. GDPR jej upravuje takto:
Subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu před jeho odvoláním. Před udělením souhlasu musí být subjekt údajů o této skutečnosti informován. Odvolat souhlas musí být stejně jednoduché jako jej poskytnout.
— Český překlad čl. 7 odst. 3 nařízení (EU) 2016/679 (GDPR)
Pokud návštěvník souhlasil jedním kliknutím na liště, nesmí ho odvolání stát hledání v zásadách nebo e-mail na podporu. Obvyklým řešením je trvale dostupný odkaz nebo ikona, která lištu kdykoli znovu otevře. Po odvolání musí přestat běžet skripty, které na souhlasu stály, a web již nesmí ukládat ani číst informace v zařízení návštěvníka k těmto účelům; zpracování, které proběhlo před odvoláním, zůstává zákonné.
Nejčastější slabá místa
Mezi typická slabá místa patří záznam souhlasu bez verze textu, správce značek, který spustí část skriptů ještě před volbou návštěvníka, zásady cookies neaktualizované po změně nástrojů a odvolání dostupné jen přes nastavení prohlížeče. Další častou mezerou jsou nástroje třetích stran vložené do webu, u nichž provozovatel neví, co ukládají; o odpovědnosti za cizí skripty píšeme v otázce zda musí web bez formulářů řešit GDPR. Pokud web cílí na slovenské i české publikum, podívejte se i na článek cookie lišta pro slovenský i český web.
Skutečné chování webu změříme, lištu, záznam souhlasů a zásady cookies nastavíme a po nasazení zkontrolujeme v rámci služby cookies a právní nastavení webu. Pokud cookies řešíte jako součást širšího pořádku v osobních údajích, navazuje na ni služba GDPR a ochrana osobních údajů.
Článek představuje obecnou právní informaci ke stavu k datu 12. 9. 2026 — nejde o právní službu ani radu k vaší konkrétní věci. Právní předpisy se mění a vaše situace se může v detailech lišit; před rozhodnutím si postup ověřte nebo se nám ozvěte.
