Co je cookie consent – cookie lišta a souhlas s cookies

Cookie lišta. Ten otravný pruh, na který všichni kliknou „Přijmout vše", aniž by přečetli jediné slovo. Ale pro vás jako provozovatele webu to tak jednoduché není. Cookie consent je mechanismus, kterým návštěvník uděluje nebo odmítá souhlas s ukládáním cookies v prohlížeči. Vyžaduje ho evropská legislativa – kombinace GDPR a směrnice ePrivacy. Bez správně nastaveného cookie consentu riskujete pokuty a – co je často horší – ztrátu dat z analytiky a reklam.

Cookie lišta. Ten otravný pruh, na který všichni kliknou „Přijmout vše”, aniž by přečetli jediné slovo. Ale pro vás jako provozovatele webu to tak jednoduché není. Cookie consent je mechanismus, kterým návštěvník uděluje nebo odmítá souhlas s ukládáním cookies v prohlížeči. Vyžaduje ho evropská legislativa – kombinace GDPR a směrnice ePrivacy. Bez správně nastaveného cookie consentu riskujete pokuty a – co je často horší – ztrátu dat z analytiky a reklam.

Cookie consent lišta na webu – souhlas s cookies podle GDPR a ePrivacy

Dvě regulace, jeden výsledek:

ePrivacy směrnice (2002, novelizace 2009) – říká, že k ukládání cookies na zařízení uživatele potřebujete souhlas. Výjimkou jsou cookies nezbytné pro fungování služby.

GDPR (2018) – doplňuje pravidla o souhlasu. Souhlas musí být svobodný, informovaný, konkrétní a jednoznačný. Předvyplněný checkbox nestačí. „Pokračováním v prohlížení souhlasíte” taky ne.

V Česku na to dohlíží ÚOOÚ. A ano, kontroly probíhají. ÚOOÚ v roce 2023 provedl plošnou kontrolu cookie lišt na českých webech a řada firem dostala výzvu k nápravě.

Ignorovat to? Můžete. Ale riskujete pokutu a hlavně – bez správného consent managementu přicházíte o data z Google Analytics, z Google Ads, z Facebook Pixelu. A bez dat nemůžete optimalizovat.

Typy cookies – co je co

Ne všechny cookies jsou stejné. A ne všechny potřebují souhlas.

Nezbytné (necessary) cookies

Cookies nutné pro fungování webu. Přihlášení, košík v e-shopu, jazykové nastavení, CSRF token. Nepotřebují souhlas – bez nich web nefunguje a návštěvník by jinak nemohl službu využít.

Analytické (analytics) cookies

Google Analytics, Hotjar, Microsoft Clarity. Sledují, jak návštěvníci web používají – kolik lidí přišlo, odkud, na co klikli, jak dlouho zůstali. Potřebují souhlas, i když data jsou anonymizovaná.

Existuje debata o tom, jestli pro analytiku stačí legitimní zájem. Některé dozorové úřady to tolerují, jiné ne. Nejbezpečnější cesta: vyžadujte souhlas.

Marketingové (marketing) cookies

Remarketing, Facebook Pixel, Google Ads remarketing tag, konverzní tracking. Sledují návštěvníka napříč weby a umožňují cílenou reklamu. Vždy potřebují souhlas – tady není prostor pro diskuzi.

Preferenční (preference) cookies

Zapamatování jazyka, tmavý režim, rozložení stránky. Šedá zóna – některé weby je řadí pod nezbytné, jiné pod analytické. Pokud nezbytně nesouvisí s funkčností služby, vyžadujte souhlas.

1. Vyberte nástroj (CMP – Consent Management Platform)

Ručně to řešit nechcete. Existují hotové nástroje:

CookieYes – populární, jednoduchý, free plán pro malé weby. Automaticky skenuje cookies na webu a generuje lištu. Podpora GA4 Consent Mode.

Cookiebot – jeden z nejrozšířenějších v Evropě. Automatický scan, compliance report, podpora Consent Mode. Free do 100 stránek.

CookieConsent.com – open-source, zdarma. Lehký, rychlý, ale vyžaduje víc technické práce.

Complianz – WordPress plugin. Pokud jedete na WP, tohle je solidní volba.

Při výběru sledujte: podpora GA4 Consent Mode, TCF 2.2 (Transparency and Consent Framework – standard pro adtech), automatický scan cookies, česká lokalizace.

2. Nastavte kategorie

Rozdělte cookies do kategorií (nezbytné, analytické, marketingové). Návštěvník musí mít možnost granulárního souhlasu – odmítnout marketingové, ale povolit analytické. Tlačítko „Přijmout vše” je OK, ale musí existovat i „Odmítnout vše” nebo alespoň „Nastavení”.

Pozor: tlačítko „Odmítnout” nesmí být schované za třemi kliknutími, zatímco „Přijmout” je velké a zelené. Dozorové úřady na tohle koukají. Design cookie lišty musí být neutrální – obě možnosti stejně viditelné.

Tohle je klíčové pro zachování dat. GA4 Consent Mode funguje ve dvou režimech:

Basic mode – bez souhlasu se nesbírají žádná data. Po souhlasu se začne trackovat normálně.

Advanced mode – bez souhlasu se posílají anonymizované pingy (bez cookies). Google z nich modeluje chybějící data. Po souhlasu plný tracking.

Advanced mode je chytřejší – i když 40 % návštěvníků souhlas neudělí, GA4 z anonymizovaných pingů odhadne celkovou návštěvnost. Není to 100% přesné, ale lepší než černá díra v datech.

V Google Tag Manageru nastavíte default consent state (denied) a CMP po udělení souhlasu pošle update (granted).

Realita je tvrdá. Na českých webech typicky 40–60 % návštěvníků cookies odmítne nebo lištu ignoruje. To znamená, že vidíte v GA4 jen část návštěvnosti.

Co s tím?

GA4 Consent Mode (Advanced) – Google modeluje chybějící data. Přesnost závisí na poměru souhlasů – čím víc lidí souhlasí, tím přesnější model.

Server-side tracking – data se posílají přes váš server, ne přes prohlížeč návštěvníka. Obchází ad blockery, ale cookies stále potřebují souhlas.

Kombinujte zdroje dat. Google Search Console ukazuje kliky z Googlu bez ohledu na cookies. Heatmapy typu Microsoft Clarity mohou běžet s omezeným režimem. Nestavte vše na jeden nástroj.

Bez marketingových cookies nemůžete:

  • Měřit konverze z Google Ads a Facebook Ads
  • Budovat remarketingová publika
  • Optimalizovat kampaně na konverze

Google a Meta na to reagují:

Bez těchto řešení uvidíte v reklamních platformách méně konverzí, než se reálně stalo. Algoritmy pak kampaně optimalizují na základě neúplných dat – a to stojí peníze.

Buďte transparentní, ale stručí. Nikdo nečte 3 odstavce o cookies. Krátký text, jasné kategorie, dvě tlačítka.

Nepoužívejte dark patterns. Velké „Přijmout” a maličké šedé „Odmítnout”? Dozorové úřady to řeší. A návštěvníci to poznají – podkopává to důvěru.

Testujte dopad na souhlas. Změna barvy tlačítka, textu nebo pozice lišty může změnit míru souhlasu o 10–20 %. A/B testujte – ale v mezích zákona.

Pamatujte na mobilní verzi. Cookie lišta na mobilu, která zabere půlku obrazovky a nejde zavřít? Špatný UX a potenciálně porušení pravidel.

Uchovávejte důkaz o souhlasu. CMP nástroje to dělají automaticky – kdo, kdy, s čím souhlasil. Potřebujete to pro případ kontroly.

Často kladené otázky

Pokud používáte jakékoli cookies nad rámec nezbytných (analytika, marketing), ano. Web, který má jen nezbytné cookies (přihlášení, košík), cookie lištu technicky nepotřebuje. Ale většina webů používá minimálně Google Analytics, a to už stačí.

Riskujete pokutu od ÚOOÚ. V praxi – ÚOOÚ řeší hlavně stížnosti. Pokud si někdo stěžuje, začne kontrola. Pokuty v Česku se pohybují v řádech desítek tisíc korun, ale reputační škoda může být větší.

Jaký je rozdíl mezi GDPR a ePrivacy?

GDPR reguluje zpracování osobních údajů obecně. ePrivacy (směrnice o soukromí v elektronických komunikacích) se specificky zabývá cookies a elektronickou komunikací. V praxi se překrývají – cookie consent musí splňovat pravidla obou.

Od nuly po tisíce korun měsíčně. CookieYes a Cookiebot mají free plány pro malé weby. Placené plány začínají kolem 10–15 EUR měsíčně. Open-source řešení jako CookieConsent.com jsou zdarma, ale vyžadují technické znalosti.

Potřebujete pomoct s nastavením cookie consentu a consent mode? Napište mi – postaráme se o to, aby váš web sbíral data a zároveň dodržoval pravidla.

Zdroje