Otravné vyskakovacie okná pri každej návšteve webu, nekonečné odklikávanie súhlasov, tzv. „bannerová slepota“ a neustála právna neistota pri základnej analytike. Súčasný režim fungovania cookie líšt v Európskej únii nevyhovuje nikomu – bežných používateľov frustruje a prevádzkovateľov webov či e-shopov oberá o cenné štatistické dáta a konverzie. V Bruseli sa však konečne črtá zásadná zmena, ktorá by mohla do digitálnej praxe vniesť viac pragmatizmu a zdravého rozumu.
Rada EÚ pred pár dňami schválila svoju vyjednávaciu pozíciu k legislatívnemu balíku Digital Omnibus. V oblasti správy súborov cookies a podobných sledovacích technológií sa členské štáty vybrali výrazne iným smerom, než pôvodne navrhovala Európska komisia. Hoci nás čaká ešte dlhý legislatívny proces, navrhované úpravy už dnes jasne ukazujú, ako sa pravdepodobne zmení zber údajov na weboch, aké výnimky pribudnú a prečo by mali slovenskí podnikatelia zbystriť pozornosť kvôli chystaným zmenám v kontrolách od roku 2027.
Prečo súčasný systém cookie líšt zlyháva?
Aby sme pochopili význam navrhovaných zmien, treba sa pozrieť na dnešnú realitu. Súčasná legislatíva vyžaduje aktívny súhlas (opt-in) na uloženie alebo čítanie takmer akýchkoľvek informácií zo zariadenia používateľa, s jedinou úzkou výnimkou: technicky nevyhnutných cookies, bez ktorých by web vôbec nefungoval.
V praxi to viedlo k dvom extrémom:
-
Strata základných dát pri poctivých weboch: Ak prevádzkovateľ e-shopu alebo firemného webu nastavil lištu presne podľa zákona, prišiel o 30 % až 60 % analytických dát od ľudí, ktorí lištu automaticky zamietli. Zrazu nevedel presne vyhodnotiť ani to, koľko ľudí prišlo na web a ktoré podstránky sú najnavštevovanejšie.
-
Únava používateľov a nekalé praktiky (Dark Patterns): Aby si weby udržali mieru súhlasov, začali používať vizuálne triky – zvýraznené tlačidlá „Prijať všetko“ a skryté možnosti zamietnutia, prípadne opätovné vyhadzovanie lišty pri každom kliknutí, ak používateľ súhlas neudelil.
Návrh Rady EÚ v rámci balíka Digital Omnibus sa snaží práve tieto pálčivé miesta vyriešiť.
Hlavné zmeny v návrhu Rady EÚ pod lupou
1. Cookies sa do GDPR nesťahujú, zostávajú v ePrivacy
Európska komisia pôvodne navrhovala presunúť reguláciu cookies priamo pod všeobecné nariadenie o ochrane údajov (GDPR), čím chcela zjednotiť roztrieštenú európsku prax. Rada EÚ však tento krok rázne odmietla.
Dôvod je vecný: smernica ePrivacy chráni samotnú integritu koncového zariadenia používateľa (počítača, smartfónu) bez ohľadu na to, či sú uložené dáta osobnými údajmi alebo nie. Naopak, GDPR sa uplatňuje až vtedy, keď dochádza k spracúvaniu osobných údajov. Pravidlá pre cookies tak majú naďalej zostať v samostatnej smernici ePrivacy, čím sa zachová jasná hranica medzi technickým prístupom do zariadenia a následnou prácou s osobnými dátami.
2. Súhlas zostáva pravidlom, no pribúda 6 kľúčových výnimiek
Princíp predchádzajúceho súhlasu sa ako základné pravidlo neruší. Zásadnou a mimoriadne vítanou novinkou je však rozšírenie zoznamu situácií, pri ktorých prevádzkovateľ webu nebude musieť žiadať o súhlas cez cookie lištu.
Bez aktívneho odkliknutia súhlasu by mali byť po novom povolené cookies a skripty slúžiace na:
-
Samotný prenos komunikácie v elektronickej sieti: Technické smerovanie dát medzi serverom a prehliadačom, vyvažovanie záťaže serverov (load balancing) a základné sieťové protokoly.
-
Poskytnutie služby alebo funkcie, o ktorú používateľ výslovne požiadal: Sem patria dobre známe funkčné prvky – zapamätanie obsahu nákupného košíka počas relácie, udržanie prihlásenia v zákazníckom účte, uloženie zvoleného jazyka webu či preferencie tmavého režimu.
-
Anonymné meranie návštevnosti: Pre väčšinu bežných webov ide o najväčší prelom. Ak využívate analytický nástroj výhradne na počítanie návštev, zobrazení stránok a sledovanie základného výkonu webu bez toho, aby ste dáta spájali s konkrétnou osobou alebo ich odovzdávali tretím stranám na reklamné účely, súhlas na to po novom nebude potrebný.
-
Meranie sledovanosti médií: Špecifická výnimka navrhnutá pre spravodajské portály, vydavateľstvá a vysielateľov, ktorí potrebujú presne a nezávisle merať zásah svojho obsahu na mediálnom trhu.
-
Technickú bezpečnosť a prevenciu podvodov: Cookies a mechanizmy slúžiace na ochranu webu pred kybernetickými útokmi (napr. DDoS), odhaľovanie botov, zabezpečenie platobných brán a ochranu formulárov pred spamom.
-
Meranie kontextovej reklamy bez profilovania: Kontextová reklama sa nezobrazuje na základe toho, kým používateľ je a aké weby navštívil včera, ale na základe obsahu stránky, ktorú si práve číta (napr. reklama na pneumatiky v článku o autách). Po novom by malo byť možné merať počet zobrazení a kliknutí na takúto reklamu bez nutnosti pýtať súhlas cez lištu, pokiaľ pri tom nedochádza k vytváraniu marketingového profilu používateľa.
Pozor na rozdiel: Na behaviorálnu reklamu, retargeting (napr. Meta Pixel, Google Ads remarketing) a krížové sledovanie používateľov naprieč rôznymi webmi bude výslovný súhlas naďalej bezpodmienečne nutný.
3. Koniec otravovaniu po zamietnutí: Minimálne 4 mesiace pokoja
Dnes nie je výnimkou, že ak návštevník na webe klikne na „Odmietnuť“, lišta sa mu zobrazí opäť o týždeň, na druhý deň alebo dokonca pri prekliknutí na ďalšiu podstránku. Takýto nátlak má skončiť.
Návrh Rady zavádza prísne pravidlo tzv. cool-down periódy: ak používateľ súhlas so spracovaním cookies odmietne, web ho nesmie znova žiadať o udelenie súhlasu minimálne 4 mesiace. Hoci Európska komisia pôvodne navrhovala až 6-mesačnú lehotu, aj 4 mesiace predstavujú pre používateľov výraznú úľavu a pre vývojárov cookie líšt jasný technický parameter, ako dlho musí byť uložená informácia o negatívnej voľbe.
4. Stopka pre automatické signály súhlasu z prehliadača
Jedným z najdiskutovanejších bodov pôvodného návrhu bolo zavedenie centrálnej správy súhlasov priamo v internetových prehliadačoch (Chrome, Safari, Firefox, Edge). Používateľ by si pri inštalácii prehliadača raz nastavil, že nesúhlasí s marketingovými cookies, a prehliadač by tento automatický signál posielal každému webu.
Rada EÚ túto povinnosť z návrhu úplne vypustila. Členské štáty vypočuli obavy európskych vydavateľov a prevádzkovateľov webov, že by takýto krok dal obrovskú trhovú moc do rúk niekoľkým technologickým gigantom, ktorí vyvíjajú dominantné prehliadače. Namiesto okamžitej regulácie dostala Európska komisia za úlohu vypracovať podrobnú štúdiu a správu o tom, ako technológie na ochranu súkromia fungujú v praxi.
Zásadná zmena na Slovensku: Dozor preberá Úrad na ochranu osobných údajov
Pre slovenských podnikateľov, e-shopy a verejné inštitúcie prináša návrh ešte jednu kľúčovú správu, ktorá priamo súvisí s domácou legislatívou.
Doteraz panovala na Slovensku v oblasti kontrol zvláštna dvojkoľajnosť:
-
Samotné nastavenie cookie lišty a ukladanie súborov do zariadenia kontroloval Úrad pre reguláciu elektronických komunikácií a poštových služieb (RÚ) podľa Zákona o elektronických komunikáciách (ZEK).
-
Následné spracúvanie údajov získaných cez cookies (ak išlo o osobné údaje, napr. IP adresy či online identifikátory) zas spadalo pod Úrad na ochranu osobných údajov SR (ÚOOÚ SR) podľa GDPR.
Návrh Rady EÚ počíta s tým, že dozor nad pravidlami pre cookies kompletne prejde pod úrady na ochranu osobných údajov. Na Slovensku to znamená presun kompetencií z Regulačného úradu priamo na ÚOOÚ SR. S touto zmenou sa už plne ráta aj v pripravovanom novom Zákone o ochrane osobných údajov, ktorý má na Slovensku nadobudnúť účinnosť od 1. januára 2027.
Čo to znamená v praxi?
ÚOOÚ SR má oveľa širší aparát a bohaté skúsenosti s kontrolami v digitálnom priestore. Keď príde od roku 2027 kontrola z jedného úradu, nebude sa pozerať len na papierovú dokumentáciu GDPR, ale v rámci jedného konania skontroluje technické správanie vašej cookie lišty, platnosť udelených súhlasov, informačnú povinnosť na webe aj zmluvy so sprostredkovateľmi (marketingovými agentúrami či IT dodávateľmi).
Prehľad zmien: Ako je to dnes a čo sa navrhuje
| Oblasť regulácie | Súčasný stav (§ 109 ods. 8 ZEK) | Návrh Rady EÚ (Digital Omnibus) |
| Legislatívny rámec v EÚ | Smernica ePrivacy | Zostáva v smernici ePrivacy (presun do GDPR zamietnutý) |
| Základná anonymná analytika | Vyžaduje sa predchádzajúci súhlas | Bez súhlasu (výnimka pre anonymné meranie návštevnosti) |
| Meranie kontextovej reklamy | Vyžaduje sa predchádzajúci súhlas | Bez súhlasu (ak nedochádza k profilovaniu osôb) |
| Retargeting a profilovanie | Vyžaduje sa predchádzajúci súhlas | Vyžaduje sa predchádzajúci súhlas (bez zmeny) |
| Opätovná žiadosť po zamietnutí | Zákon neurčuje presnú lehotu | Zákaz znova žiadať o súhlas minimálne 4 mesiace |
| Kontrolný orgán na Slovensku | Regulačný úrad (RÚ) | Úrad na ochranu osobných údajov SR (ÚOOÚ) (od 1. 1. 2027) |
Čo to znamená pre váš web dnes? Ešte nič nemeníme!
Hoci sa pri cookie lištách jednoznačne blýska na lepšie časy – menej zbytočných otázok, jednoduchšie fungovanie základnej analytiky a jasnejšie pravidlá pri zamietnutí – dnes sa v praxi ešte nič nemení.
Schválenie pozície Rady EÚ je dôležitým míľnikom, no celý legislatívny proces ešte čakajú tri nevyhnutné kroky:
-
Pozícia Európskeho parlamentu: Svoj pohľad na návrh musia odhlasovať europoslanci.
-
Trialóg: Nasledovať budú vyjednávania medzi Európskou komisiou, Radou EÚ a Európskym parlamentom, kde sa dohodne finálny kompromisný text.
-
Transpozícia na Slovensku: Keďže cookies zostávajú v smernici, po jej schválení v Bruseli ju bude musieť slovenský parlament preklopiť do našej národnej legislatívy prostredníctvom novely Zákona o elektronických komunikáciách.
Dovtedy na Slovensku bez akýchkoľvek výnimiek platí súčasný § 109 ods. 8 Zákona o elektronických komunikáciách. Súhlasy teda musíte naďalej zbierať „po starom“ a žiadne analytické ani marketingové skripty nesmiete spúšťať bez toho, aby ich návštevník na lište aktívne povolil.
4 kroky, ako využiť čas a pripraviť svoj web
Namiesto čakania na poslednú chvíľu využite nadchádzajúce mesiace na to, aby ste si na webe či e-shope urobili poriadok. Keď zmeny vstúpia do platnosti a dozor preberie ÚOOÚ SR, budete mať náskok.
-
Spravte si dôkladnú technickú inventúru cookies: Otvorte si vývojárske nástroje v prehliadači alebo využite skener cookies a zistite, čo všetko sa na vašom webe reálne spúšťa. Na mnohých weboch dodnes bežia zabudnuté meracie kódy (napr. starý Facebook Pixel, Hotjar či skripty z dávno ukončených kampaní), o ktorých už nikto vo firme nevie, no z pohľadu zákona predstavujú nelegálny zber dát.
-
Skontrolujte reálnu funkčnosť vašej cookie lišty: To, že na webe svieti lišta, ešte neznamená, že je v súlade so zákonom. Overte si dve najčastejšie chyby: či sa analytické a reklamné skripty nespúšťajú už pri samotnom načítaní stránky (ešte pred kliknutím na tlačidlo) a či má používateľ na prvej vrstve lišty rovnako jednoduchú možnosť súhlas odmietnuť ako ho prijať.
-
Oddeľte čistú analytiku od marketingového profilovania: Pozrite sa na to, ako máte nastavené meracie nástroje (napr. v Google Tag Manageri). Ak máte v šablónach jasne oddelené technické, štatistické a marketingové značky, pri prechode na nové výnimky budete vedieť upraviť pravidlá spúšťania v priebehu niekoľkých minút.
-
Zosúlaďte technický stav s právnou dokumentáciou: Skontrolujte, či zoznam cookies a nástrojov tretích strán, ktorý uvádzate vo svojich Zásadách používania súborov cookies a v Zásadách ochrany osobných údajov (GDPR), zodpovedá realite na vašom webe. Práve rozpor medzi tým, čo web o sebe tvrdí v dokumentoch, a tým, čo reálne robí na pozadí, býva pri kontrolách prvým bodom, na ktorom prevádzkovatelia pohoria.