Disclaimer: článok má informačný charakter a nenahrádza právne poradenstvo.

Cookie banner dnes nájdeme takmer na každom webe v Európskej únii. To však ešte neznamená, že každý z nich funguje správne a je v súlade s právnymi predpismi. Cookie compliance totiž nie je iba otázkou dizajnu tlačidiel. Je to kombinácia právnych pravidiel a technického správania webu.

Na úrovni Európskej únie existuje spoločný právny základ vytvorený smernicou ePrivacy a GDPR. Keďže smernica ePrivacy musí byť implementovaná do národného práva každého členského štátu EÚ, jednotlivé krajiny uplatňujú jej pravidlá prostredníctvom vlastnej legislatívy. Výsledkom je, že rovnaké nastavenie cookies nemusí byť vhodné pre každý európsky trh. 

Práve na tomto princípe možno prakticky hovoriť o „troch odtieňoch súhlasu“. Ukážeme si to na porovnaní Nemecka, Slovenska a Holandska.

Súhlas nie je len kliknutie na „Prijať“

GDPR definuje súhlas ako slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle. Používateľ teda musí vedieť, s čím súhlasí, musí mať reálnu možnosť povedať nie a jeho rozhodnutie musí byť výsledkom aktívneho úkonu.

Prevádzkovateľ zároveň musí vedieť preukázať, že súhlas získal. GDPR v článku 7 navyše stanovuje, že používateľ môže súhlas kedykoľvek odvolať a jeho odvolanie musí byť rovnako jednoduché ako jeho udelenie. EUR-Lex

To má veľmi praktické dôsledky. Predvolene zaškrtnuté políčka nie sú platným opt-in mechanizmom. Rovnako nemožno považovať za súhlas scrollovanie stránky, pokračovanie v prehliadaní, nečinnosť používateľa alebo zatvorenie informačného okna. Banner teda nemá byť iba oznámením, že „cookies používame“.

Ak je súhlas potrebný, musí používateľ skutočne dostať možnosť rozhodnúť sa.

GDPR a ePrivacy riešia dve odlišné otázky

Pri cookies a podobných technológiách treba rozlišovať dve vrstvy.

Smernica ePrivacy, konkrétne jej článok 5 ods. 3, rieši samotné uloženie informácie do koncového zariadenia používateľa alebo prístup k informácii, ktorá sa v zariadení už nachádza.

Nejde teda iba o cookies. Rovnaký princíp platí aj pre localStorage, niektoré SDK, fingerprinting či ďalšie technológie pracujúce so zariadením.

Výnimkou je uloženie alebo prístup nevyhnutný na prenos komunikácie alebo striktne potrebný na poskytnutie služby.

GDPR sa následne uplatňuje tam, kde sa pracuje s osobnými údajmi. Pri marketingovom alebo analytickom nástroji preto musíme zvážiť oba aspekty naraz. Potrebujeme súhlas na prístup k údajom uloženým v zariadení alebo na ich uloženie. Zároveň musíme mať vhodný právny základ na ich ďalšie spracúvanie.

Tri odtiene konsentu

Treba si uvedomiť, že GDPR je nariadenie, ktoré sa priamo uplatňuje v členských štátoch. ePrivacy je však smernica, ktorú jednotlivé krajiny implementovali do svojich národných zákonov. 

Národné orgány zároveň vydávajú vlastné metodiky a rozhodnutia vysvetľujúce, ktoré cookies považujú za nevyhnutné, za akých okolností možno používať analytické nástroje bez súhlasu, ako má vyzerať možnosť odmietnutia alebo aké informácie musí používateľ dostať ešte pred svojím rozhodnutím.

Pre medzinárodný web preto nestačí vytvoriť profil „EU users“ a automaticky predpokladať, že jedna konfigurácia Consent Management Platformy bude vhodná pre všetky krajiny.

Odtieň prvý: Nemecko – consent-first prístup

Nemecké pravidlá sú zakotvené v § 25 zákona TDDDG – Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz. 

Uloženie informácie do zariadenia používateľa alebo prístup k informácii, ktorá je v zariadení už uložená, si vyžaduje súhlas založený na jasných a úplných informáciách. Výnimkou je uloženie alebo prístup potrebný na poskytnutie digitálnej služby, ktorú si používateľ výslovne vyžiadal.

Nemecká Datenschutzkonferenz (DSK), teda konferencia nezávislých dozorných orgánov federácie a spolkových krajín, tieto pravidlá podrobnejšie vysvetľuje vo svojom usmernení pre poskytovateľov digitálnych služieb. Ak je súhlas potrebný, musí byť získaný ešte pred uložením informácií do zariadenia alebo prístupom k nim. DSK zároveň rozlišuje medzi pravidlami TDDDG a následným spracúvaním osobných údajov podľa GDPR.

Zaujímavým príkladom je Google Tag Manager. Správny súd v Hannoveri v rozsudku z 19. marca 2025 rozhodol, že v posudzovanom prípade bolo na použitie Google Tag Managera potrebné získať predchádzajúci súhlas. Pri technickom teste sa ešte pred získaním súhlasu odosielala Googlu okrem iného IP adresa a údaje o zariadení a do zariadenia používateľa sa načítaval skript gtm.js. Súd preto konštatoval porušenie § 25 TDDDG aj článku 6 GDPR. Tento prístup v roku 2026 výslovne podporil aj saský dozorný orgán, ktorý uvádza, že Google Tag Manager by sa nemal načítať pred získaním súhlasu. 

Ak cookie banner používateľovi blokuje prístup k obsahu a núti ho urobiť rozhodnutie, možnosť odmietnutia nemá vyžadovať viac úsilia ako udelenie súhlasu. DSK pritom nestanovuje všeobecné pravidlo, podľa ktorého musia byť tlačidlá za každých okolností graficky identické. Rozhodujúce je celkové prevedenie banneru a to, či používateľa neprimerane nenavádza k udeleniu súhlasu. 

 

Oficiálne zdroje:

Odtieň druhý: Slovensko – prísne pravidlá, miernejšie vymáhanie

Na Slovensku problematiku cookies upravuje najmä § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách. 

Základný princíp je podobný ako v Nemecku. Pri ukladaní alebo získavaní prístupu k informáciám v zariadení používateľa sa pri iných ako nevyhnutných cookies vyžaduje predchádzajúci a preukázateľný súhlas. Používateľ musí mať možnosť cookies odmietnuť a zatvorenie banneru bez udelenia súhlasu nemožno považovať za súhlas s voliteľnými cookies. 

Odporúča sa, aby prvá vrstva cookie banneru ponúkala rovnocennú možnosť „Odmietnuť všetky“ popri možnosti „Prijať všetky“.

Úrad pre reguláciu elektronických komunikácií a poštových služieb aktívne kontroluje slovenské webové stránky. V roku 2025 uviedol, že od účinnosti nového zákona vykonal viac ako 105 kontrol a uložil pokuty v celkovej výške viac ako 80-tisíc eur. 

V porovnaní s Nemeckom však slovenské vymáhanie pravidiel zatiaľ pôsobí miernejšie. Hoci zákon umožňuje uložiť výrazne vyššie sankcie, naše informácie a zverejnené prípady poukazujú na relatívne nízke pokuty za ukladanie marketingových a analytických cookies bez predchádzajúceho súhlasu.

 

Oficiálne zdroje:

Odtieň tretí: Holandsko – priestor pre obmedzenú analytiku

Holandsko je zaujímavé najmä svojou výnimkou pre niektoré analytické technológie. Článok 11.7a holandského zákona Telecommunicatiewet umožňuje za určitých podmienok používať technológie bez cookie súhlasu, ak slúžia na získavanie informácií o kvalite alebo efektivite služby a nemajú žiadny alebo len obmedzený vplyv na súkromie používateľa.

Nejde však o všeobecnú výnimku pre všetko, čo má v CMP označenie „Analytics“. Rozhodujúci je konkrétny účel, konfigurácia a skutočný vplyv na súkromie. Tracking cookies, profilovanie a reklamné sledovanie naďalej vyžadujú súhlas.

Holandský dozorný orgán Autoriteit Persoonsgegevens (AP) zároveň uvádza podobné odporúčania pre dizajn cookie bannerov ako orgány v Nemecku alebo na Slovensku. Ak je súhlas potrebný, možnosti prijatia a odmietnutia majú byť dostupné na rovnakej vrstve, odmietnutie nemá vyžadovať viac kliknutí, voľby nemajú byť predvolene aktivované a možnosť odmietnutia nesmie byť vizuálne potlačená alebo skrytá. Rovnako aj odvolanie súhlasu musí zostať jednoducho dostupné.

Oficiálne zdroje:

DASE 3 odtiene cookie consentu

Ako overiť správne fungovanie cookie banneru

Cookie banner môže na prvý pohľad pôsobiť správne, no rozhodujúce je aj to, čo sa deje na pozadí. Pri kontrole preto nestačí pozerať len na jeho text, tlačidlá a nastavenia. Rovnako dôležité je overiť, ktoré skripty, cookies a ďalšie technológie sa spúšťajú pred udelením súhlasu a ako web reaguje na prijatie, odmietnutie či neskoršiu zmenu voľby.

V praxi by kontrola mala zahŕňať najmä tieto body:

  • technológie vyžadujúce súhlas sa nesmú spustiť pred jeho udelením
  • voliteľné kategórie nesmú byť aktivované predvolene
  • prijatie a odmietnutie majú byť ľahko pochopiteľné a porovnateľne dostupné
  • pri viacerých účeloch má používateľ dostať možnosť granulárnej voľby
  • text má jasne vysvetliť hlavné účely spracúvania a relevantné tretie strany
  • scrollovanie, nečinnosť ani zatvorenie banneru sa nesmú automaticky považovať za súhlas
  • používateľ musí vedieť svoju voľbu neskôr jednoducho zmeniť alebo súhlas odvolať
  • prevádzkovateľ musí vedieť súhlas preukázať
  • testovať treba nielen cookies, ale aj localStorage, pixely, tagy, embedované služby a sieťové požiadavky tretích strán

Dôležitý je najmä posledný bod. Weby sa neustále menia. Marketing môže pridať nový pixel, vývojári nový chat, video alebo nástroj na A/B testovanie a pôvodne správna CMP konfigurácia už nemusí zodpovedať reálnemu správaniu webu. Rozdiel medzi tým, ako banner vyzerá, a tým, čo sa na stránke skutočne vykonáva, patrí medzi časté praktické problémy.

Ak si chcete funkčnosť cookie banneru overiť, slovenský regulačný úrad prevádzkuje verejný nástroj na technickú kontrolu cookies. Má informatívny charakter a dokáže analyzovať správanie webu a súvisiace technológie.

Veríme, že negatívny výsledok kontroly neslúži ako automatický podnet na následnú kontrolu úradu.

V DASE používame rovnaký open-source nástroj, aký využíva aj regulačný úrad. Analýzu vám urobíme bezplatne a doplníme ju aj o interpretáciu výsledkov a prípadných odporúčaní na úpravu. Pokojne sa nám ozvite. 

Záver

Európske pravidlá pre cookies majú spoločný základ, no ich praktické uplatňovanie sa môže medzi jednotlivými krajinami líšiť. Práve v tom spočívajú tri odtiene súhlasu.

Nemecko ukazuje prísnejší prístup k získavaniu súhlasu a jeho vymáhaniu, Slovensko má podobne nastavené zákonné požiadavky, no zatiaľ miernejšiu prax pri sankciách, a Holandsko je príkladom krajiny, ktorá za určitých podmienok umožňuje výnimku pre analytické technológie s nízkym dopadom na súkromie.

Pre firmy, ktoré pôsobia vo viacerých krajinách, preto nestačí mať jeden univerzálny cookie banner a považovať tým tému za uzavretú. Dôležité je sledovať nielen samotné právne požiadavky, ale aj miestne usmernenia, spôsob ich vymáhania a najmä reálne technické správanie webu.