GDPR a cookies na e-shopu 2026: bez pokut

Srovnávací tabulka

Srovnání podle rozsahu a podmínek uvedených v článku.

Cookie lišta, kterou nikdo nečte, a přesto rozhoduje

Cookie lišta je asi nejotravnější prvek celého internetu. Návštěvník ji chce odkliknout a jít dál, vy ji tam musíte mít, a přitom právě ona rozhoduje o tom, jestli vůbec smíte měřit návštěvnost. Většina e-shopů ji má nastavenou napůl a ani neví, že tím riskuje.

Základní pravidlo je jednoduché. Dokud návštěvník nedá souhlas, nesmíte spouštět analytické ani marketingové skripty. Technické cookies, které jsou nutné k provozu obchodu, třeba přihlášení nebo obsah košíku, souhlas nepotřebují. Problém je, že spousta webů nasadí Google Analytics nebo reklamní pixel hned při načtení, tedy dřív, než návštěvník cokoli odklikne. A to je přesně to, co dělá z cookie lišty právní past.

Co musí splňovat platný souhlas

GDPR definuje souhlas čtyřmi vlastnostmi a všechny musí platit zároveň. Musí být svobodný, tedy bez nátlaku a bez předvyplněných políček. Konkrétní, zvlášť pro analytiku a zvlášť pro marketing, ne jeden hromadný souhlas se vším. Informovaný, aby člověk věděl, k čemu ho dává. A doložitelný, což znamená, že musíte umět prokázat, kdo, kdy a k čemu souhlas udělil.

Z toho plyne pár praktických věcí. Odmítnout má jít stejně snadno jako souhlasit, tlačítko odmítnout nesmíte schovávat. A předvyplněná zaškrtnutá políčka jsou od začátku neplatná. Kdo tohle podcení, má lištu, která vypadá hezky, ale právně nedrží.

Na co se dívá ÚOOÚ

Dozor nad ochranou osobních údajů u nás vykonává Úřad pro ochranu osobních údajů. Když dojde na kontrolu, jádro je vždycky stejné, umíte souhlas doložit a získali jste ho správně? Tedy před spuštěním sledování, svobodně a odděleně pro jednotlivé účely.

Nechci strašit pokutami, protože reálné riziko u malého e-shopu není v drakonické sankci, ale v tom, že sbíráte data, ke kterým nemáte právní titul. To je slabina, kterou si spousta obchodníků neuvědomuje. Chystá se navíc evropský režim ePrivacy, který pravidla kolem elektronické komunikace a cookies dál zpřísní, takže pořádek v tomhle se vyplatí udělat spíš dřív než později.

Cookieless analytika a skutečný rozsah měření

Rozsah měření závisí na použitých nástrojích, nastavení souhlasů a doručení událostí. GA4 může za určitých podmínek používat i modelovaná data. Při vyhodnocení proto rozlišujte skutečně zachycené události, odhady a objednávky evidované obchodem.

Behio Analytics propojuje zachycené události návštěvnosti s objednávkami evidovanými platformou. Cookieless režim neznamená zachycení všech návštěvníků; úplnost událostí i přiřazení zdrojů závisí na nastavení měření, souhlasech a dostupných datech.

Newslettery a souhlas podle § 7

Cookies nejsou jediné, kde se souhlas řeší. U obchodních sdělení, tedy newsletterů, platí § 7 zákona č. 480/2004 Sb., podle kterého smíte posílat marketing jen s předchozím prokazatelným souhlasem. ÚOOÚ přitom fakticky vyžaduje ověřený souhlas přes takzvaný double opt-in, protože je to prakticky jediný spolehlivý způsob, jak doložit, že souhlas dal majitel adresy.

Výjimka existuje pro vlastní zákazníky. Toho, kdo u vás nakoupil, smíte oslovit s nabídkou obdobného zboží i bez předchozího souhlasu, pokud jste e-mail získali při prodeji a v každém e-mailu je snadné odhlášení. Každé obchodní sdělení musí být zřetelně označené, mít identifikaci odesílatele a funkční odhlášení.

Jak to řeší Behio

Behio bere consent vážně a řeší ho na dvou úrovních. Šablona obchodu má cookie consent a vlastní skripty, tedy Google Analytics, GTM nebo reklamní pixely, spouští až po souhlasu, takže je nenačtete nedopatřením před odkliknutím lišty.

Behio Analytics propojuje zachycené události návštěvnosti s objednávkami evidovanými platformou. Cookieless režim neznamená zachycení všech návštěvníků; úplnost událostí i přiřazení zdrojů závisí na nastavení měření, souhlasech a dostupných datech.

Verdikt

Časté dotazy