Cookie banner – na který klikáte (snad) při každé (první) návštěvě webu – by se mohl změnit. Rada EU již schválila svou vyjednávací pozici k návrhu tzv. Digital Omnibus, který má mj. zjednodušit pravidla pro cookies a obdobné technologie. Vedle výjimek ze souhlasu počítá s tím, že po jeho odmítnutí by poskytovatel mohl o souhlas pro stejný účel znovu požádat nejdříve po čtyřech měsících. V tomto článku se zaměříme na navrhované změny pravidel pro cookies a jejich dopad na poskytovatele online služeb.
Proč změna pravidel pro cookies
Bannery (někdy též lišty) pro souhlas s cookies se staly běžnou součástí prakticky každého webu. Evropská komise sama v důvodové zprávě k návrhu Digital Omnibus hovoří o „únavě z poskytování souhlasu“ (consent fatigue) jako o problému, jehož legislativní řešení se už dlouho očekává. Uživatelé všude narážejí na bannery, přičemž uvedené informace o účelech zpracování často nebývají dostatečně srozumitelné. Poskytovatelé online služeb se zároveň dlouhodobě potýkají s dvojím režimem vyplývajícím ze směrnice o soukromí a elektronických komunikacích („ePrivacy směrnice“) a z obecného nařízení o ochraně osobních údajů („nařízení GDPR“), který vede k právní nejistotě ohledně vhodného právního základu pro zpracování, zvyšuje náklady na dodržování předpisů a někde též znamená, že dohled nad oběma rámci vykonávají různé vnitrostátní orgány.
Tuto roztříštěnost chce Evropská komise řešit návrhem Digital Omnibus, který mění mimo jiné ePrivacy směrnici. Její čl. 5 odst. 3 je dosavadním základem pravidel pro ukládání informací v koncovém zařízení uživatele a přístup k nim: zpravidla je k tomu třeba souhlas, s výjimkou technického uchovávání nezbytného pro přenos sdělení nebo poskytnutí služby, kterou uživatel výslovně požadoval. Týká se to zejména cookies, SDK (softwarových knihoven třetích stran v mobilních aplikacích, např. pro analytiku či cílenou reklamu) a pixelů.
Výchozí pravidlo se nemění: souhlas bude nadále zpravidla potřeba. Digital Omnibus však má rozšířit a konkretizovat případy, kdy souhlas vyžadován nebude, například o ukládání informací nebo přístup k nim nezbytný výlučně k vytváření anonymních souhrnných údajů o návštěvnosti online služby (např. celkového počtu návštěv stránky), za podmínek popsaných níže.
Články 88a a 88b nařízení GDPR byly vypuštěny
Komise původně navrhovala doplnit do nařízení GDPR nové články 88a a 88b, které by upravovaly ukládání informací v koncovém zařízení uživatele a přístup k nim přímo v GDPR, místo dosavadní úpravy v ePrivacy směrnici. Čl. 88b měl navíc zavést povinnost umožnit udělení i odmítnutí souhlasu automatizovaně, typicky prostřednictvím nastavení prohlížeče.
Rada ve své vyjednávací pozici schválené 21. října 2026 navazuje na zářijový kompromisní návrh a nadále nepočítá s doplněním navrhovaných článků 88a a 88b do GDPR. Podle jejího návrhu by tak pravidla pro cookies zůstala v ePrivacy směrnici a nevznikla by ani navrhovaná povinnost podle čl. 88b zohledňovat nastavení prohlížeče.
Pravidla tedy zůstávají v ePrivacy směrnici. Konkrétní výjimky ze souhlasu mají být upraveny přímo v jejím čl. 5 odst. 3. Poskytovatelé online služeb tak budou otázku, zda lze cookies či obdobnou technologii využít bez souhlasu, primárně posuzovat podle ePrivacy směrnice; při zpracování osobních údajů se souběžně uplatní i nařízení GDPR.
Schválená vyjednávací pozice Rady počítá s tím, že souhlas nebude vyžadován, pokud se uchovávání informací v koncovém zařízení uživatele nebo přístup k nim výlučně vztahuje k některému z následujících účelů a je pro jeho dosažení nezbytně nutné:
- přenos elektronické komunikace, například uchování dat nezbytných k doručení e-mailu nebo zprávy;
- poskytnutí služby, včetně její funkcionality, o kterou uživatel výslovně požádal, například zapamatování obsahu košíku v e-shopu nebo jazykového nastavení webu;
- vytváření anonymních agregovaných informací o využívání online služby za účelem měření její sledovanosti, provádí-li je poskytovatel této služby nebo třetí strana jeho jménem a za předpokladu, že shromážděné údaje nejsou dále zpracovávány k jinému účelu, sdíleny s třetími stranami ani kombinovány s údaji od třetích stran, například celkový počet návštěv stránky;
- měření sledovanosti v souladu s čl. 24 nařízení (EU) 2024/1083 (Evropský akt o svobodě médií), za předpokladu, že osobní údaje jsou po shromáždění pseudonymizovány, nejsou zpracovávány pro jiný účel, měření nezahrnuje sledování aktivity uživatele mimo měřenou službu nebo mediální obsah a informace sdílené s jinými třetími stranami než těmi, které jednají jménem poskytovatele nebo společně s ním, neobsahují osobní údaje, například měření čtenosti článků na zpravodajském webu;
- udržování nebo obnovu technické bezpečnosti prostředků nezbytně nutných k poskytnutí služby, o kterou uživatel požádal, nebo technické bezpečnosti koncového zařízení použitého k poskytnutí takové služby, například instalace bezpečnostní aktualizace;
- měření zobrazení a výkonu reklamy založené výhradně na obsahu, který se uživateli zobrazuje v rámci jedné návštěvy stránky nebo na základě jednoho vyhledávacího dotazu, neobsahuje-li takové měření profilování ani propojení s minulou či budoucí aktivitou uživatele a jsou-li údaje po shromáždění pseudonymizovány a dále nejsou zpracovávány k jinému účelu, například ověření, kolikrát se u konkrétního článku zobrazil určitý reklamní formát.
Mimo těchto šesti výjimek zůstává pro ukládání informací nebo přístup k nim potřeba souhlas uživatele. Pokud uživatel souhlas odmítne, návrh počítá s tím, že jeho volbu nebude možné obejít opakovanými žádostmi o stejný souhlas a výslovně stanovuje, že novou žádost pro stejný účel by poskytovatel online služby neměl předložit dříve než po uplynutí nejméně čtyř měsíců (namísto dříve navrhovaných šesti).
Analytika bez souhlasu – ano, ale jen při skutečném omezení dat
Pro řadu poskytovatelů online služeb může být nejvýznamnější možnost používat bez souhlasu nástroje k vytváření anonymních agregovaných údajů o využívání online služby. Rozhoduje však skutečné nastavení zpracování: výsledkem musí být anonymní souhrnné informace (např. „dnes 5 000 návštěv stránky“), nikoli analýza chování jednotlivých uživatelů.
Ještě užší režim se má týkat měření zobrazení a výkonu tzv. kontextové reklamy – tedy reklamy umisťované výhradně na základě obsahu, který si uživatel právě prohlíží. Bez souhlasu by bylo možné měřit reklamu založenou pouze na obsahu, který uživatel právě vidí, například v rámci jedné návštěvy stránky nebo jednoho vyhledávacího dotazu. Podmínkou je, že data musí být pseudonymizována, nesmějí být zpracována pro jiný účel, nesmějí se propojovat s minulou či budoucí aktivitou uživatele a nesmějí sloužit k profilování ani k programatické reklamě.
Pseudonymizace přitom není anonymizace. Pseudonymizovaná data mohou být stále osobními údaji, pokud je lze s využitím dodatečných informací spojit s konkrétní osobou. Výjimka z cookies souhlasu proto automaticky nezbavuje poskytovatele online služeb povinností podle nařízení GDPR, zejména povinnosti transparentně informovat o zpracování, zajistit odpovídající zabezpečení a mít pro zpracování osobních údajů právní titul.
Jak se připravit
Digital Omnibus ještě musí urazit dlouhou cestu, než se stane platným právem.
V přípravě na změny je na místě ověřit stav a zmapovat cookies, pixely a SDK, které poskytovatel online služby používá, včetně nástrojů nasazených marketingovými nebo mediálními dodavateli. U každého nástroje je pak potřeba ověřit tři věci: zda propojuje identifikátory napříč návštěvami, weby nebo zařízeními, zda vytváří reklamní segmenty a zda poskytovatel online služeb nástroje používá data pro vlastní účely.
Poskytovatelé online služeb by si měli především ujasnit, kam jednotlivé nástroje patří: zda jde o základní měření návštěvnosti, nebo další použití dat získaných při měření, např. o behaviorální a programatickou reklamu. Digital Omnibus totiž přináší zjednodušení jen pro první skupinu. U druhé zůstane souhlas uživatele zpravidla i nadále nutný.
Co bude následovat
Rada má od 21. října 2026 schválený mandát pro jednání s Evropským parlamentem a Komisí v trialogu. Konečné znění, včetně výjimek ze souhlasu, se může ještě v rámci vyjednávání změnit. Návrh navíc počítá s tím, že členské státy provedou změny pravidel pro cookies ve vnitrostátních předpisech do 24 měsíců od přijetí nařízení a od stejného okamžiku je začnou používat.
Digital Omnibus tak zatím není důvodem k vypnutí cookie banneru. Je ale dobrým důvodem znovu prověřit, jaké cookies a obdobné technologie poskytovatel online služby používá, k jakým účelům a zda s výhledem na avizované uvolnění umožní měřit využívání služby bez identifikace a sledování jednotlivých uživatelů, nebo naopak slouží k jejich profilování či propojování jejich aktivity napříč službami.
