Technika a tracking

Evoluce cookies: Od základního sledování k přísné shodě

7. července 2026 · 16 min čtení

Rychlá odpověď

Soubory cookie prohlížeče vznikly v roce 1994 jako jednoduché řešení pro udržení stavu nákupního košíku napříč webovými relacemi, ale evoluce cookies od základního sledování k přísné shodě je proměnila v jednu z nejregulovanějších technologií v digitální historii. Dnes může nasazení cookies bez výslovného souhlasu uživatele vystavit organizace značným regulačním sankcím podle rámců včetně GDPR a CCPA. Pochopení této evoluce je nezbytné pro každého majitele webových stránek, vývojáře nebo profesionála v oblasti ochrany osobních údajů působícího v roce 2026.

Klíčové poznatky

Cookies vynalezl Lou Montulli v Netscape v roce 1994 k vyřešení problému bezstavového HTTP, nikoli ke sledování uživatelů
Cookies třetích stran umožnily profilování chování napříč weby, což od poloviny 20. let vyvolalo globální regulační reakce
GDPR (2018) a CCPA (2020) zásadně změnily způsob, jakým musí webové stránky získávat a dokumentovat souhlas s cookies
Zrušení cookies třetích stran společností Google v prohlížeči Chrome urychlilo přijetí alternativ chránících soukromí, včetně strategií dat první strany a serverové analýzy
Platformy pro správu souhlasu (CMP) jsou nyní pro většinu komerčních webových stránek požadavkem na shodu, nikoli volitelným vylepšením
Cookies první strany zůstávají zákonné a funkční; břemeno shody se týká především sledovacích a reklamních cookies
Bannery pro souhlas s cookies musí splňovat specifické právní normy: předem zaškrtnutá políčka, sdružený souhlas a temné vzory jsou podle GDPR zakázány
Uživatelé mohou cookies kdykoli smazat, ale to ovlivňuje personalizaci, trvalost přihlášení a přesnost analýzy

Co jsou cookies a jak fungují?

Cookies jsou malé textové soubory, které webový server instruuje prohlížeč, aby je lokálně uložil na zařízení uživatele. Když uživatel znovu navštíví stejnou stránku, prohlížeč odešle uloženou cookie zpět na server, což mu umožní rozpoznat relaci, zapamatovat si preference nebo spojit chování napříč stránkami.

Technicky se cookie skládá z páru jméno-hodnota plus volitelných atributů: datum vypršení platnosti, rozsah domény, cesta a bezpečnostní příznaky jako HttpOnly a Secure. Relační cookies vyprší, když se prohlížeč zavře; trvalé cookies zůstávají až do definovaného data vypršení platnosti nebo dokud je uživatel nesmaže. [8]

Klíčové typy cookies podle funkce:

Typ	Účel	Typická životnost
Relační	Udržení stavu přihlášení	Relační prohlížeč
Trvalé	Zapamatování preferencí	Dny až roky
První strany	Nastaveno navštívenou doménou	Liší se
Třetí strany	Nastaveno externími doménami	Často 1-2 roky
Analytické	Měření chování provozu	13-26 měsíců
Marketingové/sledovací	Vytváření reklamních profilů	Až 2 roky

Historie cookies ve webových prohlížečích

Evoluce cookies od základního sledování k přísné shodě začíná jednoduchým inženýrským problémem. V roce 1994 potřeboval Lou Montulli, inženýr v Netscape Communications, způsob, jak implementovat virtuální nákupní košík bez ukládání dat relace na straně serveru. Jeho řešením byla HTTP cookie, odvozená z existujícího konceptu Unixu nazývaného „magická cookie“. [7]

Prohlížeč Netscape byl dodáván s podporou cookies v roce 1994 a Internet Explorer přijal standard do roku 1995. Do roku 1997 IETF formalizovala specifikaci v RFC 2109. [8] Co začalo jako řešení pro bezstavový protokol, se rychle stalo páteří personalizace, autentizace a, kriticky, reklamy.

Klíčové milníky v historii cookies:

1994: Lou Montulli vynalézá HTTP cookie v Netscape [5]
1996: Financial Times zveřejňuje jedno z prvních veřejných varování o sledování založeném na cookies [7]
2000s: Reklamní sítě nasazují cookies třetích stran k vytváření profilů chování napříč weby
2011: Směrnice EU o cookies vyžaduje informovaný souhlas pro nepodstatné cookies
2018: GDPR dramaticky zvyšuje laťku shody, vyžaduje explicitní, granulární souhlas
2020: CCPA uděluje kalifornským spotřebitelům právo odhlásit se z prodeje dat založených na cookies
2024: Google zahajuje postupné rušení cookies třetích stran v prohlížeči Chrome [10]

Cookies první strany vs. cookies třetích stran: Jaký je rozdíl?

Cookies první strany jsou nastaveny doménou, kterou uživatel aktivně navštěvuje. Cookies třetích stran jsou nastaveny jinou doménou, typicky reklamní sítí, poskytovatelem analýzy nebo platformou sociálních médií vloženou na stránku.

Tento rozdíl je nesmírně důležitý jak pro funkčnost, tak pro shodu. Cookies první strany jsou obecně považovány za méně rizikové, protože uživatel má přímý vztah s nastavující doménou. Cookies třetích stran naopak umožňují jediné reklamní entitě sledovat chování uživatele napříč tisíci nesouvisejících webových stránek, čímž vytvářejí podrobné profily chování bez smysluplného povědomí uživatele. [6]

"Cookie třetí strany se stala motorem ekonomiky dohledu, ne proto, že by k tomu byla navržena, ale proto, že její technická architektura učinila sledování napříč weby triviálně snadno implementovatelným ve velkém měřítku."

Většina moderních předpisů o ochraně soukromí se zaměřuje konkrétně na sledovací cookies třetích stran, ačkoli požadavky na souhlas platí pro všechny nepodstatné cookies bez ohledu na původ.

Co je GDPR a jak ovlivňuje cookies?

Obecné nařízení o ochraně osobních údajů (GDPR), které vstoupilo v platnost v květnu 2018, považuje identifikátory cookies za osobní údaje, pokud je lze použít k identifikaci nebo profilování jednotlivce. Podle GDPR musí webové stránky obsluhující obyvatele EU získat svobodně daný, konkrétní, informovaný a jednoznačný souhlas před umístěním jakýchkoli nepodstatných cookies. [2]

Požadavky na shodu s GDPR pro cookies zahrnují:

Souhlas musí být získán před nastavením cookies, nikoli po něm
Uživatelé musí mít možnost odmítnout souhlas stejně snadno, jako jej mohou přijmout
Předem zaškrtnutá políčka souhlasu jsou výslovně zakázána
Souhlas musí být granulární: uživatelé mohou přijmout analytické cookies, ale odmítnout reklamní cookies
Záznamy souhlasu musí být uloženy a auditovatelné
Uživatelé musí mít možnost kdykoli odvolat souhlas

Porušení s sebou nese potenciální pokuty až do výše 4 % celkového ročního obratu nebo 20 milionů EUR, podle toho, co je vyšší. Regulační vymáhání se od roku 2020 zintenzivnilo, přičemž úřady pro ochranu osobních údajů ve Francii, Irsku, Itálii a Španělsku udělily značné pokuty za nevyhovující bannery pro souhlas. [4]

Požadavky na shodu s CCPA pro cookies

California Consumer Privacy Act (CCPA), účinný od ledna 2020 a posílený California Privacy Rights Act (CPRA) v roce 2023, zaujímá odlišný, ale doplňkový přístup. Namísto vyžadování opt-in souhlasu pro všechny sledovací cookies, CCPA uděluje spotřebitelům právo odhlásit se z „prodeje“ nebo „sdílení“ jejich osobních údajů, což zahrnuje data chování založená na cookies přenášená na reklamní platformy třetích stran.

Povinnosti CCPA pro používání cookies zahrnují:

Odkaz „Neprodávat ani nesdílet mé osobní údaje“ musí být výrazně zobrazen
Podniky musí respektovat signály Global Privacy Control (GPC) jako platný mechanismus odhlášení
Zásady ochrany osobních údajů musí zveřejňovat kategorie osobních údajů shromážděných prostřednictvím cookies
Spotřebitelé mají právo požádat o smazání dat shromážděných prostřednictvím cookies

Podniky podléhající CCPA, které obsluhují také uživatele z EU, musí sladit oba rámce, typicky implementací řešení pro správu souhlasu schopného zpracovávat sady pravidel specifické pro jurisdikci.

Jak získat souhlas uživatele s cookies

Získání platného souhlasu s cookies vyžaduje více než jen umístění banneru na stránku. Souhlas musí splňovat právní normy příslušné jurisdikce, než budou aktivovány jakékoli nepodstatné cookies.

Vyhovující tok souhlasu se řídí těmito kroky:

Zablokujte spouštění všech nepodstatných cookies, dokud nebude zaznamenán souhlas
Zobrazte jasné, srozumitelné oznámení o souhlasu vysvětlující, jaké cookies se používají a proč
Nabídněte skutečné možnosti přijetí a odmítnutí na stejné úrovni prominence
Poskytněte granulární ovládací prvky kategorií (analytika, marketing, preference)
Zaznamenejte událost souhlasu s časovým razítkem, verzí a identifikátorem uživatele
Okamžitě respektujte odvolání souhlasu a propagujte změnu na všechny aktivní značky

Platformy jako Biscotti CMP jsou navrženy tak, aby zvládaly tento pracovní postup, spravovaly shromažďování souhlasu, ukládání a distribuci signálů do následných marketingových a analytických nástrojů napříč více jurisdikcemi.

Osvědčené postupy pro bannery pro souhlas s cookies

Špatně navržený banner pro souhlas je sám o sobě rizikem shody. Regulátoři se konkrétně zaměřili na temné vzory, včetně návrhů, které ztěžují odmítnutí, skrývají možnost odmítnutí za více kliknutími nebo používají barevný kontrast k navádění uživatelů k přijetí.

Charakteristiky vyhovujícího banneru pro souhlas:

Stejná vizuální váha pro tlačítka přijmout a odmítnout
Žádné předem vybrané přepínače pro nepodstatné kategorie
Jasný jazyk bez právního žargonu
Trvalý mechanismus pro opětovné zobrazení a změnu preferencí souhlasu
Responzivní rozložení pro mobilní zařízení, které nezakrývá obsah stránky

Design banneru pro souhlas by měl být testován proti specifickým pokynům vydaným příslušným úřadem pro ochranu osobních údajů. Francouzský CNIL například zveřejnil podrobná technická doporučení ohledně přijatelných formátů bannerů, které přesahují základní text GDPR. [9]

Co nahradilo cookies třetích stran poté, co je Google vyřadil?

Zrušení cookies třetích stran společností Google v prohlížeči Chrome, které začalo naplno v roce 2024, urychlilo hledání funkčních alternativ. Žádná jediná náhrada nedosáhla univerzálního přijetí, ale několik přístupů získalo na popularitě. [10]

Přední alternativy cookies v roce 2026:

Strategie dat první strany: Shromažďování dat chování přímo prostřednictvím vlastních vlastností a ověřených relací
Serverová analýza: Přesun provádění značek na server za účelem snížení závislosti na cookies na straně klienta
Privacy Sandbox API: Sada API založených na prohlížeči od společnosti Google (Topics API, Protected Audience API) navržená tak, aby umožňovala zájmovou reklamu bez identifikátorů napříč weby
Kontextová reklama: Cílení na základě obsahu stránky spíše než historie uživatele
Datové čisté místnosti: Prostředí chránící soukromí, kde lze porovnávat datové sady první strany od více stran bez výměny surových dat
Univerzální ID: Hashované identifikátory založené na e-mailu sdílené napříč vydavatelskými sítěmi se souhlasem uživatele

Každá alternativa s sebou nese vlastní důsledky pro souhlas a shodu. Kontextová reklama nevyžaduje žádná uživatelská data; řešení ověřených ID stále vyžadují explicitní souhlas podle GDPR.

Jsou cookies bezpečné a jaká jsou rizika pro soukromí?

Cookies samy o sobě nejsou spustitelný kód a nemohou instalovat malware. Nesou však významná rizika pro soukromí, zejména pokud se používají pro sledování napříč weby nebo pokud jsou zachyceny prostřednictvím nezabezpečených připojení.

Primární rizika pro soukromí spojená s cookies:

Profilování napříč weby: Cookies třetích stran umožňují podrobné profily chování bez povědomí uživatele
Únos relace: Cookies přenášené přes nešifrované HTTP mohou být zachyceny útočníky na sdílených sítích
Synchronizace cookies: Reklamní sítě si navzájem sdílejí identifikátory cookies, čímž rozšiřují dosah sledování za jednu platformu
Zombie cookies (trvalé identifikátory): Některé sledovací technologie se pokoušejí znovu vytvořit smazané cookies pomocí otisků prohlížeče nebo lokálního úložiště

Příznaky HttpOnly a Secure zmírňují některé vektory útoku, ale neřeší strukturální rizika pro soukromí spojená se sledováním chování. [8]

Jak zkontrolovat, jaké cookies web používá

Každý uživatel nebo vývojář může auditovat cookies webové stránky pomocí nástrojů nativních pro prohlížeč. V prohlížeči Chrome nebo Firefox otevřením Nástrojů pro vývojáře (F12) a navigací na kartu Aplikace nebo Úložiště se zobrazí všechny cookies aktuálně nastavené pro aktivní doménu, včetně jejich názvů, hodnot, domén, dat vypršení platnosti a bezpečnostních příznaků.

Pro strukturovanější audit poskytují nástroje, které procházejí web a kategorizují cookies podle typu a účelu, úplnější obrázek, což je obzvláště užitečné pro dokumentaci shody. Webové stránky by měly provádět pravidelné audity cookies, protože skripty třetích stran přidané prostřednictvím správců značek mohou zavádět nové cookies bez výslovného přezkumu.

Jak cookies ovlivňují výkon webových stránek?

Cookies mají měřitelný, ale typicky skromný dopad na výkon načítání stránky. Každý požadavek HTTP na doménu zahrnuje všechny cookies nastavené pro tuto doménu v hlavičce požadavku, což přidává režii úměrnou počtu a velikosti přítomných cookies.

Významnější dopady na výkon pocházejí z JavaScriptu, který nastavuje cookies: skripty značek třetích stran, platformy pro správu souhlasu a analytické knihovny, to vše přispívá k váze stránky a době provádění. Špatně spravované implementace značek mohou přidat stovky milisekund k Time to First Byte (TTFB) a Largest Contentful Paint (LCP), což obojí ovlivňuje skóre Core Web Vitals.

Osvědčeným postupem je asynchronní načítání nepodstatných skriptů, používání systému pro správu značek k řízení pořadí spouštění a pravidelný audit skriptů cookies třetích stran pro redundanci.

Mohou uživatelé smazat cookies a co se stane?

Ano, uživatelé mohou cookies kdykoli smazat prostřednictvím nastavení prohlížeče, a to je okamžité a úplné pro uložené cookies. Důsledky závisí na typu smazané cookie.

Smazání relačních cookies odhlásí uživatele z aktivních relací
Smazání cookies preferencí resetuje uložená nastavení, jako je jazyk nebo možnosti zobrazení
Smazání analytických cookies resetuje identifikaci návštěvníka, což způsobí, že se vracející uživatelé objeví jako noví návštěvníci v analytických platformách
Smazání reklamních cookies odstraní profily cílení reklam, ačkoli sledování založené na otiscích prstů může částečně přetrvávat

Uživatelé, kteří smažou cookies, ale neupraví své preference souhlasu, budou typicky při další návštěvě znovu „cookied“, protože záznam souhlasu může být sám uložen jako cookie. Některé CMP používají serverové úložiště souhlasu k řešení tohoto problému.

Can Users Delete Cookies and What Happens?

Závěr: Navigace v budoucnosti shody s cookies

Evoluce cookies od základního sledování k přísné shodě odráží širší vyrovnání se s tím, jak byla digitální infrastruktura vybudována bez adekvátních záruk soukromí. Co začalo jako 30řádkové inženýrské řešení v roce 1994, se stalo základem bilionového reklamního ekosystému a poté se stalo jednou z nejvíce soudně napadaných technologií v regulační historii. [1]

Akční další kroky pro majitele webových stránek a vývojáře v roce 2026:

Proveďte úplný audit cookies vašeho webu, včetně všech skriptů třetích stran načtených prostřednictvím správců značek
Implementujte platformu pro správu souhlasu (CMP), jako je Biscotti CMP, pro zpracování shromažďování a dokumentace souhlasu s ohledem na jurisdikci
Zkontrolujte svůj banner pro souhlas s aktuálními regulačními pokyny, konkrétně zkontrolujte temné vzory a možnosti přijetí/odmítnutí se stejnou váhou
Vypracujte strategii dat první strany, abyste snížili závislost na sledovacích cookies třetích stran
Nastavte opakované připomenutí v kalendáři pro čtvrtletní opětovný audit cookies, protože skripty třetích stran se často mění
Zajistěte, aby vaše zásady ochrany osobních údajů přesně odrážely kategorie a účely všech používaných cookies

Regulační prostředí se bude nadále vyvíjet. Předpisy o ochraně soukromí se geograficky rozšiřují, vymáhání se zintenzivňuje a dodavatelé prohlížečů přímo do svých platforem zabudovávají další omezení. Organizace, které považují správu cookies za průběžnou provozní disciplínu spíše než za jednorázový implementační projekt, budou nejlépe připraveny udržet si důvěru uživatelů i regulační postavení.

Často kladené dotazy

Jaký je rozdíl mezi relační cookie a trvalou cookie? Relační cookie se smaže, když se prohlížeč zavře, a používá se k udržení stavu během jedné návštěvy, například k udržení uživatele přihlášeného. Trvalá cookie má definované datum vypršení platnosti a zůstává na zařízení mezi relacemi, používá se pro preference, analýzu a reklamu.

Vyžadují všechny cookies souhlas podle GDPR? Ne. Striktně nezbytné cookies, jako jsou ty, které jsou vyžadovány pro ověření přihlášení nebo funkčnost nákupního košíku, jsou podle GDPR osvobozeny od požadavků na souhlas. Všechny nepodstatné cookies, včetně analytických a reklamních cookies, vyžadují výslovný předchozí souhlas.

Co je platforma pro správu souhlasu (CMP)? CMP je softwarový nástroj, který spravuje shromažďování, ukládání a vynucování souhlasu uživatele s cookies. Zobrazuje banner pro souhlas, zaznamenává volby uživatele a signalizuje tyto volby následným marketingovým a analytickým značkám. Biscotti CMP (www.biscotti-cmp.com) je jednou z takových platforem vytvořených pro shodu s více jurisdikcemi.

Může web fungovat bez cookies? Ano, ale s významnými omezeními. Základní funkce, jako je trvalost přihlášení, nákupní košíky a personalizovaný obsah, typicky závisí na cookies první strany. Analytické a reklamní funkce lze částečně nahradit alternativami bez cookies, ale se sníženou přesností.

Co je temný vzor v banneru pro souhlas s cookies? Temný vzor je designová technika, která manipuluje uživatele k přijetí cookies, které by jinak odmítli. Příklady zahrnují zvýraznění a obarvení tlačítka „Přijmout vše“, zatímco „Odmítnout vše“ je skryto za více nabídkami, nebo použití předem zaškrtnutých políček pro nepodstatné kategorie.

Jak dlouho musí být uchovávány záznamy o souhlasu? Podle GDPR by záznamy o souhlasu měly být uchovávány po dobu, po kterou probíhá zpracování, plus přiměřenou dobu pro prokázání shody v případě regulačního šetření. Mnoho organizací uchovává protokoly souhlasu minimálně tři roky.

Co je Global Privacy Control (GPC)? GPC je signál na úrovni prohlížeče, který automaticky sděluje webovým stránkám preferenci uživatele pro odhlášení. Podle CCPA/CPRA jsou kalifornské podniky povinny respektovat signály GPC jako platné odhlášení z prodeje nebo sdílení osobních údajů.

Jsou analytické cookies považovány za osobní údaje podle GDPR? Obecně ano. Analytické cookies, které přiřazují prohlížeči jedinečný identifikátor, lze použít k profilování individuálního chování v průběhu času, což představuje zpracování osobních údajů podle GDPR, vyžadující právní základ, jako je souhlas.

Co se stane, pokud web nedodrží pravidla GDPR pro cookies? Úřady pro ochranu osobních údajů mohou vydávat varování, napomenutí a pokuty. Pokuty GDPR za porušení pravidel pro cookies se pohybovaly od desítek tisíc do stovek milionů eur, v závislosti na závažnosti, trvání a počtu dotčených osob.

Je implicitní souhlas (pokračování v prohlížení) platný podle GDPR? Ne. Soudní dvůr Evropské unie a několik úřadů pro ochranu osobních údajů potvrdily, že pokračování v prohlížení nepředstavuje platný souhlas. Souhlas musí být kladný, jednoznačný akt.