Cookie lišta pro web: co musí splňovat a jak ji nasadit

Praktický průvodce pro majitele webů a e-shopů. Co říká zákon, co kontroluje ÚOOÚ a jak mít lištu správně za pět minut.

Cookie lišta je panel, který se zobrazí při první návštěvě webu a žádá návštěvníka o souhlas s ukládáním Cookies a podobných technologií do jeho prohlížeče. V Česku ji vyžaduje § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, který od 1. ledna 2022 nahradil režim opt-out režimem opt-in: cookies, které nejsou technicky nezbytné, smí web uložit až po aktivním souhlasu.

Co je platný souhlas, definuje GDPR v čl. 4 odst. 11 a čl. 7: svobodný, konkrétní, informovaný, jednoznačný a prokazatelný. Evropský základ tvoří směrnice ePrivacy 2002/58/ES v čl. 5 odst. 3. Dozor vykonává Úřad pro ochranu osobních údajů (ÚOOÚ), který po novele ZEK od roku 2022 kontroluje i cookies, tedy nejen zásady ochrany údajů, ale přímo chování lišty a skriptů na webu.

Je cookie lišta povinná? Je povinná, pokud web ukládá cokoliv jiného než technicky nezbytné cookies.

Je cookie lišta povinná?

Pro naprostou většinu webů ano. Výjimku tvoří pouze cookies, bez kterých web technicky nefunguje nebo které jsou nutné pro službu, kterou si návštěvník sám vyžádal. Zákon mluví o „technicky nezbytných“ cookies a vykládá je úzce.

Bez souhlasu smíte uložit: relaci přihlášeného uživatele, obsah košíku na Shoptetu nebo ve WooCommerce, bezpečnostní token proti CSRF, cookie pro vyvážení zátěže serverů a jazyk, který si návštěvník sám přepnul. Sem patří i samotný záznam volby z cookie lišty.

Souhlas naopak potřebujete pro Google Analytics 4, Sklik, Facebook Pixel, Smartsupp, Hotjar i vložené YouTube video. Argument „my jen měříme návštěvnost“ u ÚOOÚ neobstojí, protože analytické cookies za nezbytné nepovažuje ani český úřad, ani EDPB.

Jednoduché pravidlo: statická vizitka bez měření a bez vložených videí lištu nepotřebuje. Ve chvíli, kdy do ní vložíte měřicí kód, potřebuje ji okamžitě.

Co musí cookie lišta obsahovat?

Osm prvků, které ÚOOÚ při kontrole hledá. Většina lišt z bezplatných pluginů splňuje tři až čtyři.

Prvek	Požadavek	Zdroj
Tlačítka „Přijmout vše“ a „Odmítnout vše“	Obě na první vrstvě lišty, stejně velká a stejně kontrastní. Odmítnutí nesmí být schované za „Nastavení“.	GDPR čl. 7 odst. 3, EDPB 05/2020 a 03/2022
Žádná předzaškrtnutá políčka	Analytické a marketingové kategorie jsou ve výchozím stavu vypnuté. Souhlas vzniká až aktivním kliknutím.	SDEU Planet49, C-673/17
Volba po kategoriích	Návštěvník může povolit jen analytiku a odmítnout marketing. Jedno tlačítko pro všechno nestačí.	GDPR čl. 4 odst. 11, EDPB 05/2020
Informace o účelu a třetích stranách	Kdo cookies ukládá (Google, Meta, Seznam), k čemu a na jak dlouho.	GDPR čl. 13, ePrivacy čl. 5 odst. 3
Odkaz na zásady cookies	Z lišty vede odkaz na stránku s úplným seznamem cookies a jejich dobou platnosti.	GDPR čl. 12 a 13
Možnost změnit volbu kdykoliv	Trvalá ikona nebo odkaz v patičce, který lištu znovu otevře. Odvolání musí být stejně snadné jako udělení.	GDPR čl. 7 odst. 3
Žádné skripty před souhlasem	Google Analytics, Sklik ani Facebook Pixel se nespustí, dokud návštěvník neklikne. Lišta, která jen „informuje“, nestačí.	§ 89 odst. 3 ZEK
Záznam souhlasu jako důkaz	Čas, verze lišty, zvolené kategorie a anonymní identifikátor. Důkazní břemeno nese provozovatel webu.	GDPR čl. 7 odst. 1

Které cookies potřebují souhlas?

Cookies se dělí do čtyř kategorií. Souhlas nepotřebuje jen ta první, u zbylých tří musí být výchozí stav vypnuto.

Kategorie	Souhlas	Typické příklady na českých webech
Nezbytné	Ne	Košík a přihlášení na Shoptetu nebo ve WooCommerce, bezpečnostní CSRF token, vyvážení zátěže, uložená volba z cookie lišty.
Funkční	Zpravidla ano	Smartsupp chat (identifikátor konverzace), uložené filtry, přehrávač videa. Jazyk, který si uživatel sám zvolil, je nezbytný a souhlas nepotřebuje.
Analytické	Ano	Google Analytics 4, Microsoft Clarity, Hotjar. Anonymizace IP nic nemění, cookie se stále ukládá do prohlížeče.
Marketingové	Ano	Sklik retargeting, Facebook (Meta) Pixel, Google Ads, Heureka měření konverzí, YouTube embed (ukládá cookies třetí strany).

Jaké chyby ÚOOÚ a soudy pokutují?

Evropský sbor pro ochranu osobních údajů (EDPB) popsal pravidla platného souhlasu v pokynech 05/2020 a klamavé vzory v pokynech 03/2022. Soudní dvůr EU v rozsudku Planet49 (C-673/17) rozhodl, že předzaškrtnuté políčko souhlasem není. ÚOOÚ z těchto dokumentů při kontrolách vychází.

Pět chyb, na které kontroly narážejí nejčastěji:

Schované odmítnutí

„Přijmout vše“ zelené a velké, odmítnutí jako šedý odkaz nebo až ve druhé vrstvě. EDPB to v pokynech 03/2022 označuje za klamavý vzor a souhlas z takové lišty je neplatný.

Cookie wall

Lišta, která zablokuje obsah, dokud návštěvník nesouhlasí. Souhlas pod nátlakem není svobodný (GDPR čl. 4 odst. 11) a ÚOOÚ jej neuznává.

„Pokračováním v prohlížení souhlasíte“

Před rokem 2022 běžná praxe, dnes neplatná. Scrollování ani zavření lišty křížkem není jednoznačný projev vůle.

Skripty spuštěné před souhlasem

Lišta vypadá správně, ale GA4 nebo Pixel se načte už při otevření stránky. Nejčastější nález při kontrole, protože se dá ověřit během minuty v DevTools.

Lišta, zásady a realita se neshodují

Zásady slibují tři cookies, skener jich najde dvacet. Nebo lišta nabízí kategorie, které web vůbec nepoužívá. Nesoulad je sám o sobě porušením informační povinnosti.

Horní hranice pokuty podle čl. 83 GDPR je 20 milionů EUR nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší. V praxi ÚOOÚ u menších provozovatelů začíná výzvou k nápravě. Pokuta přichází tam, kde provozovatel nereaguje nebo kde se skripty spouštěly bez souhlasu dlouhodobě a ve velkém.

Google Consent Mode v2 a cookie lišta

Od března 2024 Google vyžaduje Consent Mode v2 pro personalizaci reklam a remarketing v EHP. Bez něj Google Ads přestane plnit publika a měření konverzí ztrácí data, i když máte lištu správně.

Lišta musí při načtení stránky odeslat výchozí stav denied pro ad_storage, analytics_storage, ad_user_data a ad_personalization a po kliknutí návštěvníka poslat update podle zvolených kategorií. Consentio to dělá automaticky, bez úprav v Tag Manageru.

Podrobnosti najdete na stránce Google Consent Mode v2 a v článku Consent Mode v2: kompletní návod.

Jak cookie lištu nasadit za 5 minut

Šest kroků, žádný vývojář. Funguje na WordPressu, Shoptetu, Webflow i na webu psaném ručně.

1
Zaregistrujte se zdarma
Účet na Consentio je bez karty. Free plán pokryje 1 web a 5 000 zobrazení lišty měsíčně, prvních 14 dní máte navíc všechny funkce plánu Pro.
2
Přidejte web
Zadáte doménu, nic víc. Pro každý web dostanete vlastní klíč a vlastní nastavení.
3
Nechte skener najít cookies
Skener projde stránky, rozpozná Google Analytics, Sklik, Pixel, Smartsupp i YouTube a zařadí je do kategorií. Nemusíte nic vypisovat ručně.
4
Upravte vzhled v editoru
Barvy, pozice, texty tlačítek. Náhled vidíte okamžitě, včetně mobilní verze.
5
Vložte jeden řádek kódu před </head>
WordPress: Vzhled → Editor souborů motivu → header.php, nebo plugin pro vkládání hlavičky. Shoptet: Vzhled a obsah → Editor → HTML kód → Záhlaví. Webflow: Project settings → Custom code → Head code.
```
<script src="https://consentio.cz/widget/VAS_KLIC/consentio.min.js" async></script>
```
6
Otestujte v anonymním okně
Lišta se musí zobrazit při první návštěvě a po odmítnutí nesmí přibýt žádná marketingová cookie. Kontrolní postup najdete níže.

Vytvořit účet zdarma

Cookie lišta zdarma vs. placená

Free plán je plnohodnotná lišta podle zákona, ne zkušební verze. Placené plány přidávají design, jazyky a pohodlí.

Free 0 Kč

1 web, 5 000 zobrazení lišty měsíčně
Základní lišta s kategoriemi a záznamem souhlasů
Google Consent Mode v2
Skener 1× za 30 dní
„Powered by Consentio“ badge

Solo 199 Kč/měsíc

Až 2 weby, 50 000 zobrazení měsíčně
Design na míru, bez badge
Statistiky souhlasů za 30 dní
Skener 1× týdně
E-mailová podpora

Pro 699 Kč/měsíc

Až 10 webů, 500 000 zobrazení měsíčně
Lišta ve 24 jazycích podle jazyka návštěvníka
Generátor zásad cookies
Skener denně, vlastní CSS, API
Pomoc s nastavením v ceně

Kdy přejít na Solo: chcete lištu v barvách značky a bez cizího loga, nebo máte dva weby. Kdy na Pro: prodáváte do zahraničí a potřebujete lištu ve 24 jazycích, chcete nechat vygenerovat zásady cookies, nebo web měníte tak často, že potřebujete skener každý den. Ceny a limity najdete na stránce ceník.

Jak poznat, že lišta funguje správně

Pět minut v prohlížeči stačí. Stejný postup používá i kontrolor z ÚOOÚ.

1
Před souhlasem
Otevřete web v anonymním okně, stiskněte F12, záložka Application → Cookies. Smí tam být jen nezbytné cookies (session, košík, volba lišty). Žádné _ga, _fbp ani sid od Skliku.
2
Po odmítnutí
Klikněte na „Odmítnout vše“ a seznam znovu zkontrolujte. Pokud se objevila jakákoliv analytická nebo marketingová cookie, lišta skripty neblokuje.
3
Po přijetí
Klikněte na „Přijmout vše“. Teď se cookies třetích stran objevit mají. Pokud ne, máte skripty blokované natrvalo a přicházíte o data.
4
Consent Mode v Tag Assistantu
Rozšíření Google Tag Assistant ukáže, zda tag při načtení dostal stav denied a po souhlasu update na granted.
5
Záznam souhlasu v administraci
V Consentio otevřete web → Souhlasy. Testovací souhlas tam musí být s časem a kategoriemi. To je důkaz, který při kontrole předložíte.

Kam dál

Generátor cookie banneru

Nastavte vzhled lišty v editoru a získejte kód k vložení.

Cookie lišta ve slovníku

Stručná definice pojmu a souvisejících termínů.

GDPR průvodce

Zásady, práva subjektů údajů a pokuty v jednom přehledu.

Cookies pro Shoptet

Postup pro e-shopy na Shoptetu včetně vložení kódu.

Cookies pro WooCommerce

Lišta pro WordPress e-shop bez zpomalení webu.

Audit cookies

Zjistěte, které cookies váš web skutečně ukládá.

Jak správně nastavit cookie lištu

Podrobný návod s příklady nastavení.

Dark patterns v cookie bannerech

Co nedělat, pokud nechcete problémy s ÚOOÚ.

Jak získat více souhlasů

Legální způsoby, jak zvýšit míru přijetí.

Časté otázky o cookie liště

Je cookie lišta povinná pro malý web?

Ano, velikost webu nehraje roli. Rozhoduje jen to, zda ukládáte jiné než nezbytné cookies. Osobní blog bez měření lištu nepotřebuje. Stejný blog s Google Analytics nebo vloženým YouTube videem už ano.

Stačí lišta „pokračováním souhlasíte“?

Ne. Od 1. ledna 2022 platí v Česku režim opt-in. Souhlas musí být aktivní úkon, typicky kliknutí na tlačítko. Scrollování, zavření lišty ani další procházení webu souhlasem nejsou.

Musím mít tlačítko Odmítnout?

Ano, a musí být na první vrstvě lišty, stejně viditelné jako Přijmout. EDPB v pokynech 03/2022 výslovně označuje schované odmítnutí za klamavý vzor, který činí souhlas neplatným.

Jak dlouho platí souhlas s cookies?

Zákon pevnou lhůtu nestanoví. EDPB a dozorové úřady doporučují obnovit souhlas nejpozději po 6 až 12 měsících. Consentio ukládá volbu na 180 dní a znovu se zeptá dřív, jakmile na webu přibude nová kategorie cookies, třeba první marketingový skript.

Potřebuji lištu, když používám jen Google Analytics?

Ano. Google Analytics 4 ukládá cookie _ga, která identifikuje prohlížeč, a ÚOOÚ ji za nezbytnou nepovažuje. GA4 se smí spustit až po souhlasu s analytickou kategorií.

Co je cookie wall a je legální v ČR?

Cookie wall je lišta, která bez souhlasu neumožní vstup na web. Souhlas vynucený přístupem k obsahu není svobodný podle čl. 4 odst. 11 GDPR, a proto je v Česku neplatný. Výjimkou je transparentní model „zaplať, nebo souhlas“, který je ale stále sporný.

Jak nastavit cookie lištu na Shoptetu?

V Consentio přidejte web a zkopírujte instalační kód. V administraci Shoptetu otevřete Vzhled a obsah → Editor → HTML kód → Záhlaví, kód vložte a uložte. Lišta se zobrazí okamžitě. Podrobný postup najdete na stránce Cookies pro Shoptet.

Co se stane při kontrole ÚOOÚ?

Úřad si obvykle vyžádá seznam cookies, zásady, snímky lišty a záznamy o souhlasech. Ověří, zda se skripty nespouští před souhlasem. Při nedostatcích nejprve uloží opatření k nápravě. Pokuta hrozí při opakovaném nebo závažném porušení, horní hranice podle GDPR je 20 milionů EUR nebo 4 % obratu.

Zdroje

Vyřešte cookies dnes.
Spěte klidně zítra.

Vyzkoušet zdarma

Karta není vyžadována
5 minut k implementaci
Vyrobeno v EU