Jak má vypadat cookie lišta, která obstojí při kontrole
Dvanáct pravidel, která rozhodují o tom, zda je souhlas platný. U každého je konkrétní ustanovení — nařízení, směrnice nebo rozsudek — a ukázka, jak to vypadá špatně a jak správně. Žádné „doporučujeme“, jen to, co z předpisů opravdu vyplývá.
Platí pro SR i ČRAktualizováno 24. 7. 202612 pravidel · 10 vyvrácených mýtů
01
Odmítnout lze hned v první vrstvě
Pokud návštěvník vidí jen „Souhlasím“ a odmítnutí musí hledat o klik dál v nastavení, souhlas není svobodný — je vynucený nepohodlím. Odmítnutí musí být dostupné na stejné obrazovce a stejně snadno jako přijetí.
Toto je nejčastější příčina pokut v České republice a zároveň chyba, kterou má většina výchozích lišt e-shopových platforem.
Odmítnout nelze — jediná viditelná cesta je souhlas. „Nastavení“ není odmítnutí, je to další klik navíc.
✓ Správně
Tato stránka používá cookies
Nezbytné cookies jsou vždy zapnuté. O ostatních rozhodujete vy.
Povolit všeZakázat všeNastavení
Přijetí i odmítnutí jsou na jednom místě, jedním kliknutím. Podrobné nastavení je třetí, doplňková možnost.
Čtyři slovenské e-shopy · stejná chyba · červenec 2026
Prijať všetko + PrispôsobiťNastavenie + PrijímamPovoliť všetko + Podrobné nastavenieNastavenie + Súhlasím
Čtyři různé e-shopy, čtyři různé lišty — a ani na jedné nelze odmítnout jedním kliknutím. Všude jsou jen dvě možnosti: souhlasit, nebo jít do nastavení. „Prispôsobiť“, „Nastavenie“ ani „Podrobné nastavenie“ nejsou odmítnutí — jsou to další kroky.
Není to tedy výjimka, ale běžný stav. A dvě z těchto lišt jdou ještě dál: tvrdí, že souhlas vzniká samotným prohlížením webu — k tomu se dostaneme v pravidle 04.
Dva e-shopy, dvě země, jedna lišta · červenec 2026
slovenský e-shop · Prijať všetko + Nastaveniačeský e-shop · Přijmout vše + Nastavení
Jiný e-shop, jiná země, jiný jazyk — a tatáž lišta. Shodný text („…vášho obľúbeného e-shopu… a my vám poskytneme ten najlepší zážitok z nakupovania“), shodné rozložení, shodná dvě černá tlačítka. A na obou stejně chybí odmítnutí.
To není náhoda dvou e-shopářů, ale výchozí nastavení platformy, na které oba weby běží. Chyba se tak množí do všech e-shopů, které platformu používají — a většina majitelů o ní ani neví.
Důležité je, kdo za to nese odpovědnost: správce webu, ne platforma. Úřad vede řízení proti e-shopu. Věta „my jsme lištu nedělali“ není obhajoba.
02
Před souhlasem se nespustí ani jeden měřicí skript
Zákon nemluví o cookie liště — mluví o ukládání informací do zařízení a přístupu k nim. Dokud návštěvník neklikne, nesmí se spustit Google Analytics, Meta pixel, Sklik ani chat widget. Lišta, která se jen zobrazí a skripty běží na pozadí, je dekorace bez právního účinku.
Právě za toto padly nejvyšší české pokuty za cookies.
Lišta se ptá, ale trackery už dávno odeslaly data. Souhlas je bezpředmětný — údaje odešly před ním.
✓ Správně
analytics — blokovánomarketing — blokováno
Tato stránka používá cookies
Povolit všeZakázat vše
Skripty jsou zablokované až do rozhodnutí. Spustí se přesně ty kategorie, které návštěvník povolil — a nic víc.
03
Žádná kategorie není předzaškrtnutá
Souhlas musí být jednoznačný projev vůle — tedy aktivní úkon. Přepínač, který je zapnutý už při otevření nastavení, není souhlas, protože návštěvník neudělal nic. Soudní dvůr EU to rozhodl jednoznačně v případě Planet49.
Výjimka je jediná: technicky nezbytné cookies. Ty jsou zapnuté vždy, nelze je vypnout a souhlas na ně není potřeba.
Vše je zapnuté předem. Kdo jen klikne „Uložit“, souhlasil, aniž by se rozhodl.
✓ Správně
Nastavení cookies
Nezbytné vždy aktivní
Analytické
Marketingové
Uložit a zavřít
Volitelné kategorie jsou vypnuté. Nezbytné jsou označené jako trvale aktivní a je vysvětleno proč.
Druhá vrstva slovenského e-shopu · červenec 2026
Čtyři přepínače, dva zapnuté. U „nutné pro funkci“ je to v pořádku. U „sledování návštěvnosti“ už ne — to je analytika, tedy volitelná kategorie, a je zapnutá dřív, než návštěvník cokoli udělal. Kdo klikne „Potvrdit mé volby“, souhlasí s měřením, aniž by ho zvolil.
Hlavička téže lišty přitom hlásá: „Tento web používá nastavení soukromí v režimu opt-in…“
Opt-in znamená přesný opak toho, co je na obrázku. Přesně tuto situaci řešil Soudní dvůr EU v případě Planet49: předem zapnutá volba není souhlas, protože chybí aktivní úkon.
A do třetice: odmítnutí („Jen nezbytné funkce“) je opět obyčejný text pod tlačítky — viz pravidlo 05.
04
Zavření křížkem ani scrollování není souhlas
Pokud návštěvník lištu zavře nebo jen posune stránku, nevyjádřil nic — a nesmí se to vykládat jako souhlas. EDPB to uvádí výslovně: pokračování v prohlížení či scrollování nesplňuje požadavek jednoznačného úkonu.
Správné řešení: po zavření zůstávají volitelné cookies vypnuté a lištu lze kdykoli znovu otevřít.
Pokračováním v prohlížení stránky souhlasíte s používáním cookies.
Text tvrdí, že samotné prohlížení je souhlas. Není — a křížek zde funguje jako tichý souhlas.
✓ Správně
Tato stránka používá cookies
✕
Zavřením okna se nespustí nic nad rámec nezbytných cookies.
Povolit všeZakázat vše
Křížek je rovnocenný odmítnutí a je to napsané. Rozhodnutí lze kdykoli změnit.
Skutečná lišta ze slovenského webu · červenec 2026
„Používaním našej webovej lokality vyjadrujete súhlas s používaním všetkých súborov cookie…“
Přesně ten případ, o kterém mluví toto pravidlo — a není to okrajový web, ale platforma, která staví e-shopy. Souhlas nevzniká tím, že někdo stránku otevře. Věta je navíc v rozporu s vlastními tlačítky lišty: kdyby prohlížení stačilo, „Odmietnuť všetko“ by nedávalo smysl.
Druhá chyba na témže obrázku: kategorie „Neklasifikované“. K čemu přesně zde návštěvník dává souhlas? Informovaný souhlas s něčím, co ani správce neumí pojmenovat, není informovaný.
Další slovenský e-shop · stejné tvrzení · červenec 2026
„Používaním tohto webu s nimi súhlasíte.“
Totéž tvrzení, jiný e-shop — a k němu dvě tlačítka, z nichž ani jedno není odmítnutí. Stojí za pozornost i slovo „Rozumiem“: porozumět informaci a souhlasit s ní není totéž. Kdo klikne „Rozumiem“, potvrzuje, že text četl — nevyjadřuje tím souhlas se zpracováním.
05
Tlačítka vypadají rovnocenně
Nestačí, že odmítnutí existuje — nesmí být opticky potlačené. Velké zelené „Přijmout“ vedle šedého textu „Odmítnout“ je klamavý design: design tlačí k jedné volbě, takže výsledný souhlas není svobodný.
Praktické kritérium: obě možnosti mají srovnatelnou velikost, kontrast a umístění. Nemusí být identické, ale nesmí být v jiné váhové kategorii.
Stejná logika platí pro text na tlačítkách. Předpisy identické znění nevyžadují — ale pokud jedna možnost přesně pojmenuje, co se stane, a druhá ne, vzniká nejistota právě na straně odmítnutí.
Odmítnutí je malé, šedé a bez tlačítka. Oko ho téměř nezaregistruje — a přesně o to jde.
✓ Správně
Vaše soukromí
Povolit všeZakázat vše
Stejná velikost, stejný tvar, čitelný kontrast v obou případech. Volba je na návštěvníkovi, ne na designérovi.
✕
Povolit vše/Odmítnout
Nesouměrná dvojice. První tlačítko přesně řekne, co se stane. Druhé ne — odmítám vše, nebo se uloží to, co mám nastavené na přepínačích? Pokud jsou nad tlačítky přepínače kategorií, je ta otázka zcela namístě. Nejistota vzniká jen na straně odmítnutí.
✕
Souhlasím/Nastavení
To není dvojice. „Nastavení“ není odmítnutí, ale další krok — viz pravidlo 01.
✓
Přijmout vše/Odmítnout vše
Souměrné a jednoznačné. Obě možnosti pojmenují stejný rozsah, takže návštěvník ví, co kliknutím dostane — bez ohledu na to, co má nastavené výše.
Skutečná lišta ze slovenského e-shopu · červenec 2026
Odmítnutí tu je — jmenuje se „Iba nutné“. Jenže jako jediná ze tří možností není tlačítko, je to podtržený text. Je nejmenší, nejbledší a sedí úplně nahoře, kde ho oko čte spíš jako popisek než jako volbu.
Ostatní dvě možnosti tlačítka jsou — a jediná, která je vybarvená, je souhlas. Formálně má návštěvník na výběr ze všech tří; vizuálně mu rozhraní nabízí jednu. Přesně o tomto mluví pokyny EDPB ke klamavému designu.
Další slovenská lišta · stejné pravidlo · červenec 2026
Tentýž vzor, jen vyhrocenější. „Súhlasím a pokračovať“ je velké vybarvené tlačítko. „Iba nevyhnutné cookies“ je obyčejný text úplně dole, pod odkazem na nastavení — tedy poslední v pořadí a nejméně nápadné ze všeho.
Všimněte si i slova „pokračovať“. Podsouvá, že souhlas je cesta vpřed a cokoli jiného je odbočka — ačkoli odmítnutí vede na tentýž web stejně dobře.
06
Souhlas lze udělit odděleně pro každý účel
Souhlas musí být konkrétní. Jedno tlačítko „souhlasím se vším“ bez možnosti povolit jen analytiku a odmítnout reklamu nesplňuje podmínku — návštěvník musí umět rozlišit účely.
Zavedené kategorie: nezbytné, funkční, analytické, marketingové. Každá s vlastním přepínačem a vysvětlením, k čemu slouží.
Souhlasíte s používáním všech cookies na této stránce?
Ano, souhlasímNe
Vše nebo nic. Návštěvník nemůže povolit měření návštěvnosti a odmítnout reklamu — souhlas není konkrétní.
✓ Správně
Nastavení cookies
Nezbytné vždy
Funkční
Analytické
Marketingové
Uložit a zavřít
Každý účel má vlastní přepínač. Analytiku ano, reklamu ne — a je to jeden klik.
07
Seznam cookies je úplný a konkrétní
Informovaný souhlas znamená, že návštěvník ví, co přesně povoluje: název cookie, k čemu slouží, jak dlouho vydrží a kdo k ní má přístup. Věta „používáme cookies třetích stran“ informační povinnost nesplní.
V praxi je to nejčastější místo rozporu: e-shop deklaruje pět cookies a reálně ukládá třicet. Seznam musí odpovídat skutečnosti — a aktualizovat se vždy, když na web přibude nový nástroj.
Na naší stránce používáme nezbytné cookies a cookies třetích stran pro analytické a marketingové účely.
reálně uložených: 33uvedených: 1
Obecná věta bez jediného názvu. Návštěvník neví, s čím souhlasí — a kontrola to zjistí za pár minut.
✓ Správně
Analytické cookies 4
_ga · Google Analytics13 měsíců
_gid · rozlišení relací24 hodin
_ga_XXXX · stav relace13 měsíců
hjSession · Hotjar30 minut
Název, poskytovatel, účel a doba u každé cookie. Seznam vzniká ze skenu webu, ne z odhadu.
08
Odvolat souhlas musí být stejně snadné jako ho udělit
Toto není výklad — GDPR to říká doslova. Pokud lze souhlas udělit jedním kliknutím na liště, musí ho být možné jedním kliknutím i odvolat. Ne e-mailem, ne žádostí, ne mazáním cookies v prohlížeči.
Běžné řešení: trvalý odkaz „Nastavení cookies“ v patičce nebo plovoucí ikona, která lištu znovu otevře.
Pokud si přejete odvolat souhlas, napište nám na [email protected] nebo si vymažte cookies v nastavení prohlížeče.
Souhlas jedním kliknutím, odvolání e-mailem. Zjevná nerovnováha, kterou předpis výslovně zakazuje.
✓ Správně
Nastavení cookies
Změňte nebo odvolejte své rozhodnutí kdykoli.
Ochrana údajůNastavení cookiesKontakt
Trvalý odkaz v patičce otevře tutéž lištu. Odvolání je jeden klik, stejně jako souhlas.
09
Web funguje i pro toho, kdo odmítne
Podmínit přístup k obsahu souhlasem s marketingovými cookies znamená, že souhlas není svobodný — návštěvník nemá reálnou volbu. Takzvaný cookie wall je proto nepřípustný.
Stejně tak není v pořádku lišta, která překryje celou obrazovku a nelze ji obejít jinak než souhlasem.
Odmítnutí se neuloží, lišta se ptá stále dokola. Únava místo svobodného rozhodnutí.
✓ Správně
🍪 Nastavení cookies
Rozhodnutí platí 12 měsíců. Zůstane jen nenápadný odkaz pro toho, kdo ho chce sám změnit.
11
Lištu lze ovládat klávesnicí a přečíst čtečkou
Od 28. června 2025 platí Evropský akt o přístupnosti. Pokud cookie lištu nelze ovládat klávesnicí nebo ji čtečka obrazovky přeskočí, část lidí se k volbě vůbec nedostane — a e-shop má problém nad rámec GDPR.
Minimum: viditelný focus, obsluha tabulátorem, dostatečný kontrast textu i tlačítek, ovládání zavření klávesou Esc.
Používáme cookies k personalizaci obsahu a reklam.
PřijmoutOdmítnout
bez focusukontrast 1.9 : 1
Světle šedý text na bílé, tabulátor lištu přeskočí. Nedostupné pro část návštěvníků.
✓ Správně
Tato stránka používá cookies
Nezbytné cookies jsou vždy zapnuté.
Povolit všeZakázat vše
focus viditelnýkontrast 7.1 : 1
Viditelný focus, čitelný kontrast, ovládání klávesnicí. Stejná volba pro každého.
12
Je jasné, kdo data zpracovává a kde jsou podrobnosti
Souhlas je informovaný jen tehdy, když návštěvník ví, komu ho dává. Lišta musí uvést správce (nebo na něj jednoznačně odkázat) a odkaz na zásady zpracování osobních údajů.
Pokud zásady bývají na doméně dodavatele lišty, není to problém — musí z nich však být zřejmé, že správcem je daný e-shop, ne dodavatel.
Tato stránka používá cookies. Kliknutím souhlasíte.
OK
Ani jméno správce, ani odkaz na zásady. Návštěvník netuší, komu souhlas dává.
✓ Správně
Cookies na stránce eshop.sk
Správce: Firma s. r. o., IČO 12 345 678. Podrobnosti v Zásadách zpracování osobních údajů.
Povolit všeZakázat vše
Správce je pojmenovaný a zásady jsou na jeden klik. Souhlas je informovaný.
Pozor na jednu věc navíc:
lišta může být dokonalá a web přesto nevyhoví, pokud se seznam cookies rozejde s realitou. Stačí, aby marketér přidal nový pixel — deklarace zestárne a pravidlo č. 7 padne. Proto má smysl web pravidelně kontrolovat, ne nastavit lištu jednou a zapomenout na ni.
Co se říká po konferencích
Deset mýtů, které kolují mezi marketéry
Většina z nich zní logicky a šíří se v dobré víře. Problém je, že žádný z nich při kontrole neobstojí — a některé vedou přesně k tomu chování, za které padají pokuty.
„
Kdo nechce být sledován, ať si dá adblock. Je to na návštěvníkovi.
Mýtus
Předpis neukládá povinnost návštěvníkovi, ale tomu, kdo ukládá informace do jeho zařízení. Znění je jednoznačné: uchovávat informace v koncovém zařízení nebo k nim přistupovat lze jen se souhlasem uživatele. To, že se někdo umí bránit, neruší povinnost souhlas vůbec vyžádat.
Přirovnání z jiné oblasti: ani prodejce nemůže argumentovat, že zákazník si měl zboží sám zkontrolovat. Povinnost je na tom, kdo jedná.
Odvolání souhlasu není třeba řešit — kdo chce, vymaže si cookies v prohlížeči.
Mýtus
GDPR říká doslova, že odvolat souhlas musí být stejně snadné jako ho udělit, a zajistit to má správce. Pokud se souhlas uděluje jedním kliknutím na liště, odvolání nesmí znamenat hrabání se v nastavení prohlížeče.
Navíc to ani technicky nefunguje: vymazáním cookies se souhlas neodvolá — jen se ztratí jeho stopa v prohlížeči. Server o žádné změně neví, záznam o souhlasu zůstává a serverové měření běží dál.
Sám úřad řekl, že cookie lišta není povinná. Tak proč ji máme mít?
Polopravda
Toto opravdu zaznělo — a je to nejčastěji překroucená věta v celém tématu. Český úřad v aktualizovaných doporučeních (březen 2023) uvedl, že pokud web používá výlučně technické cookies, lištu mít nemusí. Tehdy stačí splnit informační povinnost například dokumentem na viditelném místě.
Jenže ve chvíli, kdy na webu běží Google Analytics, Meta pixel nebo Sklik, souhlas je povinný — a lišta je jediný praktický způsob, jak ho získat a prokázat. Věta „lišta není povinná“ tedy platí pro weby, které neměří nic. To není případ žádného e-shopu.
My nesbíráme osobní údaje, jen anonymní statistiku návštěvnosti.
Mýtus
Pokud analytika přiděluje návštěvníkovi jedinečný identifikátor, aby ho rozpoznala při další návštěvě, není anonymní — je pseudonymní. GDPR mezi osobní údaje výslovně řadí i online identifikátory včetně cookies.
A hlavně: zákaz ukládání do zařízení platí bez ohledu na to, zda jde o osobní údaje. Chrání se samotné zařízení, ne až to, co se s daty stane potom. Proto nepomůže ani anonymizace IP v Google Analytics — řeší jiný problém než ten, o který jde.
Na remarketing nám stačí oprávněný zájem, souhlas není potřeba.
Mýtus
Oprávněný zájem je platný právní základ v GDPR — ale nedostane se ke slovu. Dřív než se vůbec dostaneme k otázce právního základu, platí zvláštní pravidlo ePrivacy: netechnické cookies se smí ukládat jen se souhlasem. Jiná cesta tam není.
Oprávněný zájem může být právním základem pro to, co s údaji děláte potom — nikdy ne náhradou za souhlas s jejich získáním ze zařízení.
Zapnuli jsme Consent Mode v2, takže máme cookies vyřešené.
Mýtus
Consent Mode není souhlas — je to způsob, jak Googlu oznámit rozhodnutí, které jste už někde získali. Sám o sobě nic nesbírá a nic neprokazuje.
Bez lišty, která souhlas opravdu vyžádá a zaznamená, Consent Mode jen donekonečna hlásí „zamítnuto“ — a e-shop navíc nemá žádný důkaz, že souhlas kdy dostal. Při kontrole je právě důkaz to první, na co se úřad zeptá.
Máme to napsané v obchodních podmínkách, které zákazník odsouhlasil.
Mýtus
Souhlas se zpracováním musí být jasně odlišitelný od ostatních záležitostí. Ustanovení schované mezi dodacími lhůtami a reklamačním řádem tuto podmínku nesplňuje — a navíc se netýká návštěvníků, kteří si nic neobjednali a obchodní podmínky nikdy neviděli.
Cookies se navíc ukládají hned při vstupu na web, dávno předtím, než se někdo dostane k odsouhlasení podmínek v košíku.
Jsme malá firma s dvěma lidmi. GDPR je přece na korporáty.
Mýtus
GDPR nemá žádnou hranici velikosti. Jediná úleva pro firmy pod 250 zaměstnanců se týká vedení záznamů o činnostech zpracování — a i ta neplatí, když je zpracování pravidelné, což provoz webu s analytikou je vždy.
Praxe to potvrzuje: český úřad pokutuje běžné malé a střední e-shopy, ne jen velké platformy. V roce 2023 uložil za cookies pokuty v souhrnu 4,44 milionu Kč.
Lištu nám dodává platforma, takže za ni odpovídá platforma.
Mýtus
Správcem osobních údajů je ten, kdo určuje účel a prostředky zpracování — tedy majitel webu. Platforma či dodavatel lišty je nanejvýš zpracovatel. Úřad vede řízení proti správci webu.
Větu „běží to na platformě X“ proto nelze použít jako obhajobu. Pokud výchozí lišta platformy nemá odmítnutí v první vrstvě nebo pouští skripty před souhlasem, je to problém e-shopu, ne platformy.
Dozorový úřad koná i z vlastní iniciativy, ne jen na podnět. Cookie lišta je navíc veřejně viditelná — k jejímu posouzení stačí otevřít web a nahlédnout do vývojářských nástrojů. Není to nic, co by se dalo utajit.
V přechodném období rozeslal český úřad více než 120 vytýkacích dopisů správcům, které si sám vytipoval, a následně přešel k pokutám.
Úplný seznam předpisů, pokynů a rozhodnutí, na které se příručka odvolává.
Nařízení
Nařízení (EU) 2016/679 — GDPRDefinice souhlasu (čl. 4 odst. 11), podmínky souhlasu a odvolání (čl. 7), informační povinnost (čl. 12–13), ochrana již ve fázi návrhu (čl. 25).
Směrnice
Směrnice 2002/58/ES — ePrivacyČlánek 5 odst. 3: ukládání informací do zařízení uživatele a přístup k nim je možný jen s jeho souhlasem, s výjimkou technicky nezbytných.
Příručka shrnuje požadavky vyplývající z uvedených předpisů, pokynů a rozhodnutí k 24. 7. 2026. Nejde o právní poradenství — konkrétní posouzení závisí na tom, jaké nástroje web používá. Pokud najdete nepřesnost, napište nám a opravíme ji.
