Cookies v e-shope: čo kontroluje úrad a ako nastaviť súhlas aj Consent Mode

Väčšina slovenských e-shopov má cookie lištu. Menej e-shopov však vie povedať, čo sa stane v prehliadači v prvej sekunde, kým návštevník na lištu vôbec klikne. Práve to totiž skúma regulačný úrad: či sa pred súhlasom neukladá nič, čo nie je nevyhnutné. A od tohto bodu sa odvíja aj to, ako nastaviť Google Analytics a reklamu.

Kto kontroluje čo

Povinnosť získať súhlas s ukladaním informácií do zariadenia návštevníka vyplýva z § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách. Vzťahuje sa na každého, kto ukladá alebo získava prístup k informáciám v koncovom zariadení, teda aj malý e-shop. Dohľad má Úrad pre reguláciu elektronických komunikácií a poštových služieb. Podľa stanoviska z 12. 11. 2025, vydaného v spolupráci s Úradom na ochranu osobných údajov, kontroluje úrad nastavenia webu v nástrojoch pre vývojárov a report z vlastného nástroja Cookies Auditor, ktorý eviduje cookies, local storage a načítané tretie strany. Hľadá najmä to, či sa niečo iné ako nevyhnutné cookies uložilo skôr, než návštevník dal súhlas.

Úrad na ochranu osobných údajov sa do hry dostáva v druhom kroku: ak cookies nesú osobné údaje, vzťahuje sa na ne aj GDPR. Súhlas podľa § 109 ods. 8 musí spĺňať vymedzenie z čl. 4 ods. 11 (slobodný, konkrétny, informovaný a jednoznačný) a čl. 7 (prevádzkovateľ vie súhlas preukázať a odvolanie je rovnako jednoduché ako udelenie).

Čo je nevyhnutné a čo nie

Súhlas nepotrebujete pre cookies, ktorých jediným účelom je prenos správy cez sieť, alebo ktoré sú bezpodmienečne potrebné pre službu, ktorú si návštevník výslovne vyžiadal. V e-shope je to typicky obsah košíka, prihlásenie, bezpečnostný token. Analytika, reklamné pixely, nástroje na A/B testy či mapy tretích strán sem nepatria. Úrad dokonca uvádza, že cookies tretích strán nemožno vo všeobecnosti považovať za nevyhnutné. Ak sa spoliehate na skripty tretích strán, väčšina z nich teda vyžaduje súhlas.

Ako má vyzerať lišta

Stanovisko je dosť konkrétne a dá sa z neho zostaviť kontrolný zoznam:

• Odmietnutie na prvej vrstve. Ak je tam „Prijať všetky“, musí byť tam aj „Odmietnuť všetky“, a to rovnocenne. Úrad neodporúča ani farebné vedenie, napríklad zelené „Povoliť všetko“ a červené ostatné voľby.
• Voľba podľa účelu. Samotné dve tlačidlá nestačia, ak web používa štatistické či marketingové cookies. Návštevník musí môcť schváliť jeden účel a odmietnuť iný.
• Žiadne predzaškrtnutie. Súhlas vyjadruje aktívny úkon. Predvolene zaškrtnuté analytické alebo marketingové cookies nie sú zákonné.
• Jednoznačný text tlačidla. „Rozumiem“ nevyjadruje súhlas. Používajte „Súhlasím“, „Prijať“ alebo „Povoliť“. „Rozumiem“ je prijateľné len vtedy, keď web používa iba nevyhnutné cookies a lišta iba informuje.
• Stránka funguje aj bez súhlasu. Lišta, ktorá prekrýva celý obsah a nepustí ďalej bez kliknutia, je podľa úradu vynútený súhlas. Zatvorenie krížikom sa berie ako odmietnutie.
• Presné zaradenie. Návštevník má vidieť, ktoré cookies sú nevyhnutné a ktoré nie. Zoznam spoločných prevádzkovateľov a príjemcov musí byť aktuálny.

Ako dlho platí voľba a ako ju dokázať

Súhlas musí byť preukázateľný. Úrad odporúča zaznamenať jedinečný identifikátor prehliadača, cez ktorý viete spätne dokázať, že súhlas bol alebo nebol udelený. Platnosť voľby určuje prevádzkovateľ podľa účelu; ako primeranú lehotu úrad uvádza 12 mesiacov, a to aj pri odmietnutí, keď sa lišta nemá zobrazovať znova aspoň rok. Kratšia lehota je opodstatnená napríklad po zásadnej zmene lišty alebo keď sa voľba nedá dohľadať, lebo návštevník zmazal cookies.

Pokuta

Za porušenie § 109 ods. 8 ukladá úrad pokutu od 200 eur do 5 % z obratu za predchádzajúce účtovné obdobie (§ 124 ods. 3). Ak nemáte obrat, najviac 300 000 eur (§ 124 ods. 6); osobe, ktorá nie je podnikateľom, 200 až 20 000 eur (§ 124 ods. 5). Pri povinnosti zo súhlasu zákon nepozná „iba upozornenie“ pri prvom porušení, aké je pri niektorých iných povinnostiach v § 124 ods. 4. Porušenie GDPR sa posudzuje samostatne a sadzby sú vyššie: čl. 83 ods. 5 GDPR dovoľuje pokutu až 20 miliónov eur alebo 4 % celosvetového ročného obratu. Spoločný postup dozorných orgánov k cookie lištám zhrnul aj Európsky výbor pre ochranu údajov v správe pracovnej skupiny k cookie lištám z januára 2023.

Consent Mode a Google značky

Consent Mode je spôsob, ako povedať Google značkám (Analytics, Ads), čo smú robiť podľa voľby návštevníka. Podľa dokumentácie Google existujú štyri typy: ad_storage, analytics_storage, ad_user_data a ad_personalization (posledné dva pribudli vo verzii 2 v novembri 2023). Predvolené hodnoty nastavíte príkazom gtag('consent', 'default', …) na každej stránke pred príkazmi, ktoré posielajú meranie; poradie je podľa Googlu kľúčové, inak predvolené hodnoty nefungujú. Voľby návštevníka však Consent Mode neukladá, musíte ich uchovávať sami.

Pravidlá Google pre súhlas v EÚ pritom vyžadujú, aby ste mali platný súhlas, viedli záznamy o ňom a návštevníkovi poskytli jasný postup na odvolanie. Consent Mode teda nenahrádza lištu, len jej výsledok prenáša do značiek. Meranie konverzie podľa kanála popisuje návod GA4: konverzia podľa kanála a zariadenia; po zavedení súhlasu v ňom budú chýbať návštevníci, ktorí analytiku odmietli, a treba s tým počítať pri hodnotení kampaní.

Čo urobiť tento týždeň

1. Otvorte e-shop v novom okne v anonymnom režime a v nástrojoch vývojára sa pozrite na ukladané cookies a sieťové požiadavky pred tým, ako kliknete na lištu.
2. Presuňte všetky značky, ktoré nie sú nevyhnutné (analytika, pixely, chat), za podmienku súhlasu. V správcovi značiek nastavte predvolený stav „denied“.
3. Upravte lištu: rovnocenné „Prijať“ a „Odmietnuť“ na prvej vrstve, voľba účelov, žiadne predzaškrtnutie.
4. Overte, že voľba sa ukladá s identifikátorom a že si návštevník môže súhlas kedykoľvek odvolať z pätičky.
5. Doplňte do textov o súhlase a obchodných podmienkach odkaz na zásady používania cookies so zoznamom nástrojov.

Ak e-shop používa iba nevyhnutné cookies, súhlas si pýtať nemusí. Úrad odporúča, aby o tom lišta alebo zásady cookies aspoň informovali. Text nenahrádza právne poradenstvo; pri nastavení komplexných nástrojov konzultujte konkrétny prípad.