Stručná odpověď: Směrnice ePrivacy a GDPR jsou dva odlišné, ale překrývající se zákony EU, které společně upravují souhlas se soubory cookie a online soukromí. Směrnice ePrivacy stanoví specifická pravidla pro umisťování souborů cookie na zařízení uživatelů, zatímco GDPR definuje standardy pro platný souhlas. Většina webových stránek působících v EU musí dodržovat obě, a od roku 2026 probíhá zásadní legislativní reforma, která by mohla pravidla pro soubory cookie konsolidovat přímo do GDPR.
Klíčové poznatky
- Směrnice ePrivacy (2002, aktualizovaná 2009) je primárním zákonem vyžadujícím souhlas před nastavením nepodstatných souborů cookie; GDPR (2018) definuje, co „platný souhlas“ skutečně znamená.
- Oba zákony platí současně pro většinu webových stránek zaměřených na EU, jeden nenahrazuje druhý.
- Navrhované nařízení ePrivacy bylo Evropskou komisí formálně staženo v únoru 2025.
- Balíček Digital Omnibus, představený v listopadu 2025, navrhuje integraci pravidel pro souhlas se soubory cookie do GDPR prostřednictvím nových článků 88a a 88b.
- Základní (nezbytně nutné) soubory cookie jsou vyňaty z požadavků na souhlas podle směrnice ePrivacy.
- Směrnice ePrivacy byla transponována různě v jednotlivých členských státech EU, což vytváří rozdíly v dodržování předpisů podle země.
- Studie z roku 2026 zjistila, že pouze 30,66 % webových stránek obsahovalo tlačítko „odmítnout vše“, což naznačuje rozšířené nedodržování předpisů [7].
- Bannery pro souhlas se soubory cookie mohou splňovat oba zákony, ale pouze pokud splňují podmínky GDPR pro svobodně daný, konkrétní, informovaný a jednoznačný souhlas.
- Platformy pro správu souhlasu (CMP) se budou muset přizpůsobit signálům souhlasu na úrovni prohlížeče podle navrhovaných změn GDPR [3].
Jaký je rozdíl mezi směrnicí ePrivacy a GDPR
Směrnice ePrivacy a GDPR plní různé, ale doplňkové funkce. Směrnice ePrivacy (směrnice 2002/58/ES, ve znění směrnice 2009/136/ES) je odvětvově specifický zákon upravující soukromí elektronických komunikací, včetně používání souborů cookie a podobných sledovacích technologií. GDPR je obecné nařízení o ochraně údajů, které stanoví právní rámec pro zpracování osobních údajů ve všech odvětvích, včetně definice a požadavků na platný souhlas.
Klíčový rozdíl:
| Funkce | Směrnice ePrivacy | GDPR |
|---|---|---|
| Právní forma | Směrnice EU (vyžaduje vnitrostátní transpozici) | Nařízení EU (přímo použitelné) |
| Primární zaměření | Soubory cookie, sledování, elektronické komunikace | Veškeré zpracování osobních údajů |
| Standard souhlasu | Vyžaduje souhlas pro nepodstatné soubory cookie | Definuje, co znamená platný souhlas |
| Donucovací orgán | Vnitrostátní regulační orgány pro telekomunikace/DPA | Vnitrostátní úřady pro ochranu osobních údajů |
| Stav (2026) | Stále v platnosti; reforma probíhá | V platnosti; navrhované změny probíhají |
Protože směrnice ePrivacy je směrnicí spíše než nařízením, každý členský stát EU ji transponoval do vnitrostátního práva odlišně, což vedlo k rozdílům v prosazování a specifických požadavcích napříč zeměmi [6].
Musíte dodržovat směrnici ePrivacy i GDPR, nebo jen jednu
Oba zákony platí současně a dodržování jednoho neznamená splnění druhého. Směrnice ePrivacy vám říká, kdy potřebujete souhlas (před nastavením nepodstatných souborů cookie); GDPR vám říká, jak má tento souhlas vypadat (svobodně daný, konkrétní, informovaný, jednoznačný a kdykoli odvolatelný) [5].
Představte si to takto: směrnice ePrivacy je spouštěč a GDPR je standard. Banner se soubory cookie, který se technicky objeví před načtením souborů cookie, ale používá předem zaškrtnutá políčka, by porušoval požadavky GDPR na souhlas, i kdyby nominálně splňoval oznamovací povinnost směrnice ePrivacy.
Častá chyba: Předpoklad, že oznámení o souborech cookie (informující uživatele o existenci souborů cookie) je dostatečné. Podle obou rámců pasivní oznámení není souhlasem pro nepodstatné soubory cookie.
Jak se směrnice ePrivacy vztahuje na soubory cookie na vašem webu
Směrnice ePrivacy vyžaduje, aby provozovatelé webových stránek získali předchozí, informovaný souhlas před uložením nebo přístupem k informacím na zařízení uživatele, což zahrnuje soubory cookie, pixely, lokální úložiště a podobné technologie [6]. Tato povinnost platí bez ohledu na to, zda shromážděná data splňují definici osobních údajů podle GDPR.
Prakticky to znamená:
- Žádné nepodstatné soubory cookie se nesmí spustit, dokud uživatel nepodnikne aktivní krok k udělení souhlasu.
- Mechanismus souhlasu musí být jasný a nesmí být spojen s přijetím podmínek služby.
- Uživatelé musí mít možnost odvolat souhlas stejně snadno, jako ho udělili.
Směrnice se vztahuje na jakoukoli službu zaměřenou na uživatele v EU, bez ohledu na to, kde má provozovatel webových stránek sídlo.
Které soubory cookie vyžadují souhlas podle směrnice ePrivacy vs. GDPR
Podle směrnice ePrivacy je souhlas vyžadován pro všechny soubory cookie kromě těch, které jsou „nezbytně nutné“ pro službu výslovně požadovanou uživatelem. Podle GDPR vyžaduje jakékoli zpracování osobních údajů právní základ a pro sledovací soubory cookie je tímto základem téměř vždy souhlas.
Kategorie souborů cookie a požadavky na souhlas:
- Nezbytně nutné soubory cookie (správa relací, stav přihlášení, nákupní košík): Podle směrnice ePrivacy není vyžadován žádný souhlas. Může se uplatnit oprávněný zájem nebo plnění smlouvy podle GDPR.
- Analytické soubory cookie (např. sledování zobrazení stránek, které identifikuje uživatele): Souhlas je vyžadován podle obou rámců.
- Marketingové a reklamní soubory cookie (cílení na chování, retargeting): Souhlas je vyžadován podle obou rámců, jedná se o nejrizikovější kategorii pro vymáhání.
- Funkční soubory cookie (jazykové preference, nastavení uživatelského rozhraní): Diskutabilní; pokud zpracovávají osobní údaje, souhlas je nejbezpečnější přístup.
Je směrnice ePrivacy nahrazována a co je nařízení ePrivacy
Směrnice ePrivacy není nahrazována GDPR. Nicméně navrhované nařízení ePrivacy mělo nahradit směrnici přímo použitelným celoevropským zákonem. Tento návrh byl Evropskou komisí formálně stažen v únoru 2025 s odkazem na nedostatek předvídatelné dohody mezi členskými státy a zastaralý charakter návrhu vzhledem k nedávným technologickým změnám [2].
Směrnice ePrivacy vs. navrhované nařízení ePrivacy: Nařízení by bylo přímo závazné ve všech členských státech (eliminovalo by rozdíly v národní transpozici), ale nikdy nebylo přijato.
Místo toho Evropská komise představila balíček Digital Omnibus dne 19. listopadu 2025. Tento balíček navrhuje integraci pravidel pro souhlas se soubory cookie přímo do GDPR prostřednictvím nových článků 88a a 88b [2][3]. Článek 88a by definoval scénáře, kdy není vyžadován souhlas (například pro přenos elektronických komunikací nebo služby výslovně požadované uživatelem). Článek 88b by zavedl požadavky na automatizované, strojově čitelné mechanismy souhlasu, včetně signálů souhlasu na úrovni prohlížeče [3].
K červenci 2026 je balíček Digital Omnibus stále v legislativním procesu, přičemž konečné znění se očekává koncem roku 2026 nebo začátkem roku 2027 [4].
Potřebují základní soubory cookie souhlas podle směrnice ePrivacy
Ne. Nezbytně nutné soubory cookie jsou výslovně vyňaty z požadavku na souhlas podle směrnice ePrivacy. Jedná se o soubory cookie, bez nichž nemůže fungovat služba, kterou uživatel aktivně požadoval, například identifikátory relací, ověřovací tokeny a soubory cookie nákupního košíku [6].
Krajní případ: „Nezbytné“ je interpretováno úzce. Soubor cookie, který zlepšuje výkon nebo umožňuje analýzu, není nezbytně nutný, i když ho provozovatel považuje za provozně důležitý. V případě pochybností se přikloňte k vyžadování souhlasu.
Jak získat platný souhlas se soubory cookie, který splňuje obě nařízení
Platný souhlas podle GDPR (a tedy i podle směrnice ePrivacy, která se řídí standardy souhlasu GDPR) musí být:
- Svobodně daný, Žádné „cookie zdi“ ani nucené spojování s přijetím podmínek.
- Konkrétní, Samostatný souhlas pro každou kategorii souborů cookie (analytické, marketingové atd.).
- Informovaný, Uživatelé musí vědět, co soubory cookie dělají a kdo data zpracovává.
- Jednoznačný, Je vyžadována aktivní akce; předem zaškrtnutá políčka jsou neplatná.
- Odvolatelný, Odvolání souhlasu musí být stejně snadné jako jeho udělení [5].
Dobře nakonfigurovaná platforma pro správu souhlasu (CMP) zvládá tento pracovní postup. Biscotti CMP je navržena tak, aby podporovala tyto požadavky, včetně granulárních kategorií souhlasu a protokolování souhlasu pro účely auditu. Vzhledem k tomu, že balíček Digital Omnibus navrhuje signály souhlasu na úrovni prohlížeče podle článku 88b, budou CMP muset také přijímat a respektovat signály z nastavení prohlížeče, což je pro toto odvětví významná provozní změna [3].
Mohou bannery se soubory cookie splňovat požadavky ePrivacy i GDPR
Ano, ale pouze pokud je banner správně navržen. Banner se soubory cookie, který splňuje standardy souhlasu GDPR, uspokojí také požadavek na souhlas podle směrnice ePrivacy, protože směrnice se pro členské státy EU řídí definicí souhlasu podle GDPR [5][6].
Vyhovující banner musí:
- Předložit jasnou možnost „Přijmout“ a „Odmítnout“ (nebo ekvivalentní) se stejnou vizuální prominencí.
- Nepoužívat „dark patterns“ (např. ztěžovat nalezení „Odmítnout“ než „Přijmout“).
- Blokovat nepodstatné soubory cookie, dokud není udělen souhlas.
- Zaznamenávat a ukládat souhlas s časovým razítkem a odkazem na verzi.
- Umožnit uživatelům kdykoli změnit své preference.
Studie z roku 2026 zjistila, že pouze 30,66 % webových stránek obsahovalo tlačítko „odmítnout vše“, což znamená, že většina dotazovaných stránek pravděpodobně nesplňuje očekávání ohledně dodržování předpisů [7].
Existují země, kde se směrnice ePrivacy neuplatňuje
Směrnice ePrivacy platí ve všech členských státech EU. Nicméně, protože se jedná o směrnici (nikoli nařízení), každá země ji transponovala do vnitrostátního práva s určitými rozdíly v rozsahu, prioritách prosazování a sankcích [6]. Země mimo EU, včetně Spojeného království po Brexitu, mají své vlastní ekvivalentní zákony (britské nařízení o ochraně soukromí a elektronických komunikacích, neboli PECR).
Vyberte si základ pro dodržování předpisů na základě toho, kde se nacházejí vaši uživatelé, nikoli pouze kde je vaše firma registrována. Společnost se sídlem v USA s významným provozem z EU musí dodržovat jak směrnici ePrivacy (jak je transponována v příslušných členských státech), tak GDPR.
Co se stane, když nedodržíte pravidla směrnice ePrivacy
Nedodržení směrnice ePrivacy (jak je transponována do vnitrostátního práva) může mít za následek pokuty a donucovací opatření ze strany vnitrostátních regulačních orgánů. Sankce se liší podle členského státu, ale mohou být značné, a porušení GDPR způsobená neplatným souhlasem (například zpracování osobních údajů prostřednictvím sledovacích souborů cookie bez platného právního základu) nesou pokuty až do výše 4 % celkového ročního obratu nebo 20 milionů eur, podle toho, co je vyšší [5].
Vnitrostátní úřady pro ochranu osobních údajů (DPA) nadále aktivně vyšetřují a pokutují organizace za selhání v oblasti souhlasu se soubory cookie [1]. Donucovací opatření se zaměřila jak na velké platformy, tak na malé provozovatele.
Časté chyby v dodržování předpisů:
- Spouštění analytických nebo reklamních souborů cookie při načítání stránky před zaznamenáním souhlasu.
- Používání bannerů se souhlasem, které neblokují soubory cookie až po interakci.
- Selhání v rychlém dodržení odvolání souhlasu.
- Neaktualizace záznamů o souhlasu při změně zásad pro soubory cookie.
- Považování oznámení o souborech cookie za ekvivalent mechanismů souhlasu.
Jak dlouho mohou být soubory cookie uloženy podle pravidel směrnice ePrivacy
Směrnice ePrivacy přímo nestanoví maximální dobu uložení souborů cookie. Nicméně, zásady minimalizace dat a omezení doby uložení GDPR se uplatňují tam, kde soubory cookie zpracovávají osobní údaje. Souhlas by měl být časově omezen a regulační orgány obecně očekávají, že organizace budou pravidelně znovu žádat o souhlas, přičemž běžně uváděné pokyny naznačují 12 měsíců jako přiměřený interval, ačkoli to není pevný zákonný limit [6].
Praktické pokyny: Nastavte doby platnosti souborů cookie úměrně jejich účelu. Soubor cookie relace by měl vypršet po zavření prohlížeče. Analytický soubor cookie nepotřebuje dvouletou životnost, pokud šest měsíců slouží stejnému účelu.
Jaké jsou běžné chyby, kterých se společnosti dopouštějí při dodržování ePrivacy
Kromě výše uvedených problémů se v případech vymáhání a auditech neustále objevuje několik vzorců:
- Implicitní souhlas: Předpoklad, že pokračování v prohlížení představuje souhlas. To bylo výslovně odmítnuto soudy EU a DPA.
- Sdružený souhlas: Kombinace souhlasu se soubory cookie s přijetím zásad ochrany osobních údajů jedním kliknutím.
- Nekonzistentní geografické cílení: Uplatňování přísnějších pravidel pro souhlas pouze pro uživatele z určitých zemí, zatímco sledovací soubory cookie jsou poskytovány ostatním, což je riziko vzhledem k tomu, že vymáhání může sledovat polohu uživatele.
- Ignorování národních rozdílů: Předpoklad, že jedna konfigurace banneru uspokojuje všechny členské státy EU, když ve skutečnosti některé země mají přísnější národní požadavky [6].
- Žádná auditní stopa souhlasu: Selhání v zaznamenávání toho, s čím uživatelé souhlasili, kdy a podle jaké verze oznámení o ochraně osobních údajů [1].
Závěr
Vztah mezi směrnicí ePrivacy a GDPR: Orientace v pravidlech EU pro soubory cookie není otázkou výběru jednoho rámce před druhým, platí oba a oba musí být splněny. Směrnice ePrivacy definuje, kdy je pro soubory cookie potřeba souhlas; GDPR definuje, jak vypadá platný souhlas. Společně tvoří právní základ pro dodržování předpisů týkajících se souborů cookie v celé EU.
Regulační prostředí se mění. Návrh nařízení ePrivacy byl stažen na začátku roku 2025 a balíček Digital Omnibus nyní navrhuje začlenit pravidla pro soubory cookie přímo do GDPR prostřednictvím článků 88a a 88b. Konečné znění se očekává koncem roku 2026 nebo začátkem roku 2027, ale stávající povinnosti zůstávají mezitím plně v platnosti.
Akční kroky pro rok 2026:
- Proveďte audit chování souborů cookie na vašem webu, abyste potvrdili, že se žádné nepodstatné soubory cookie nespustí před získáním souhlasu.
- Zkontrolujte svůj banner se souhlasem na „dark patterns“ a ujistěte se, že možnosti „odmítnout“ jsou stejně prominentní jako „přijmout“.
- Implementujte CMP, jako je Biscotti CMP, která zaznamenává záznamy o souhlasu a podporuje granulární správu kategorií.
- Sledujte pokrok balíčku Digital Omnibus a posuďte, zda se váš dodavatel CMP připravuje na podporu signálů souhlasu na úrovni prohlížeče.
- Zkontrolujte národní transpozici směrnice ePrivacy v každém členském státě EU, kde máte významný uživatelský provoz.
Často kladené otázky
Otázka: Nahrazuje GDPR směrnici ePrivacy pro soubory cookie? Ne. GDPR a směrnice ePrivacy koexistují. Směrnice ePrivacy zůstává primárním zákonem vyžadujícím souhlas pro soubory cookie; GDPR upravuje, co znamená platný souhlas a jak se musí nakládat s osobními údaji zpracovávanými prostřednictvím souborů cookie.
Otázka: Co je nařízení ePrivacy a bude stále platit? Nařízení ePrivacy bylo navrhovaným zákonem EU, který měl nahradit směrnici ePrivacy přímo použitelným nařízením. Bylo formálně staženo Evropskou komisí v únoru 2025 a v současné podobě nebude pokračovat.
Otázka: Co je balíček Digital Omnibus? Balíček Digital Omnibus, představený v listopadu 2025, je legislativní návrh EU, který by zjednodušil digitální regulaci integrací pravidel pro souhlas se soubory cookie do GDPR prostřednictvím nových článků 88a a 88b. K červenci 2026 je stále v legislativním přezkumu.
Otázka: Jsou analytické soubory cookie vyňaty z požadavků na souhlas? Ne. Analytické soubory cookie, které identifikují jednotlivé uživatele nebo zařízení, jsou nepodstatné a vyžadují předchozí souhlas podle směrnice ePrivacy, bez ohledu na to, zda jsou používány pro komerční účely.
Otázka: Může „cookie zeď“ (blokování přístupu, pokud uživatelé nepřijmou soubory cookie) představovat platný souhlas? Obecně ne. Regulační orgány a soudy EU zjistily, že souhlas získaný prostřednictvím „cookie zdí“ není svobodně daný podle GDPR, protože uživatelé nemají skutečnou volbu. Některé národní DPA povolují „cookie zdi“ za omezených okolností, pokud je nabízena placená alternativa, ale to zůstává sporné.
Otázka: Jak často musí být uživatelé žádáni o opětovné udělení souhlasu se soubory cookie? Neexistuje žádná pevná zákonná lhůta, ale regulační orgány obecně očekávají, že souhlas bude obnoven, když se podstatně změní účely nebo seznam souborů cookie, nebo po přiměřené době (v praxi se často uvádí 12 měsíců). Souhlas získaný podle předchozí verze oznámení o ochraně osobních údajů nemusí pokrývat nové činnosti zpracování.
Otázka: Co je nezbytně nutný soubor cookie? Nezbytně nutný soubor cookie je takový, bez něhož nemůže fungovat služba výslovně požadovaná uživatelem, například token přihlašovací relace nebo identifikátor nákupního košíku. Tyto jsou vyňaty z požadavku na souhlas podle směrnice ePrivacy.
Otázka: Vztahuje se směrnice ePrivacy na podniky mimo EU? Ano, pokud tyto podniky cílí na uživatele v EU nebo jim poskytují služby. Územní rozsah se řídí polohou uživatele, nikoli registrovanou adresou provozovatele.
Otázka: Co bych měl hledat u platformy pro správu souhlasu? Vyhovující CMP by měla blokovat nepodstatné soubory cookie před udělením souhlasu, podporovat granulární kategorie souhlasu, zaznamenávat souhlas s časovými razítky, umožňovat snadné odvolání a být připravena podporovat signály souhlasu na úrovni prohlížeče, jak je vyžadováno podle navrhovaných změn GDPR.
Otázka: Mohu použít jeden banner se soubory cookie pro celou EU? Jeden banner může fungovat jako základ, ale protože směrnice ePrivacy byla transponována různě v jednotlivých členských státech, některé země mohou mít přísnější požadavky. Pro weby s vysokou návštěvností je vhodné právní posouzení podle vnitrostátního práva každého cílového trhu.
Reference
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai