Technika a tracking

Za soubory cookie: Rizika soukromí a právní problémy spojené s otiskem prohlížeče

7. července 2026 · 15 min čtení

Stručná odpověď: Otisk prohlížeče je bezstavová sledovací technika, která identifikuje uživatele kombinací atributů zařízení a prohlížeče, aniž by vyžadovala soubory cookie. Na rozdíl od souborů cookie nelze otisky smazat, což je činí mnohem trvalejšími a právně složitějšími. Podle GDPR, CCPA a rostoucího počtu státních zákonů o ochraně soukromí se otisk prohlížeče kvalifikuje jako zpracování osobních údajů a obecně vyžaduje výslovný souhlas uživatele před nasazením.

Klíčové poznatky

Otisk prohlížeče shromažďuje desítky atributů zařízení (písma, rozlišení obrazovky, GPU, časové pásmo) k vytvoření jedinečného identifikátoru, aniž by cokoli ukládal na zařízení uživatele.
Blokování nebo mazání souborů cookie nezastaví otisk prohlížeče; tyto dvě techniky fungují na zcela odlišných mechanismech.
Studie z roku 2025 zjistila, že automatizované prohledávače přehlédnou téměř 45 % skriptů pro otisk prohlížeče, se kterými se setkávají skuteční uživatelé, což znamená, že skutečná prevalence sledování je výrazně podhodnocena [7].
GDPR klasifikuje otisk prohlížeče jako zpracování osobních údajů; nedodržení může vést k pokutám až do výše 4 % celkového ročního obratu [1].
K roku 2026 přibližně dvacet amerických států přijalo komplexní zákony o ochraně soukromí, které pokrývají otisk prohlížeče pod širokými definicemi osobních údajů [1].
Serverový otisk prohlížeče překonává většinu nástrojů pro ochranu soukromí prohlížeče; pouze Tor Browser a režim Firefoxu „Resist Fingerprinting“ nabízejí spolehlivou ochranu [3].
Otisk prohlížeče se používá jak pro prevenci podvodů, tak pro behaviorální reklamu, což vytváří problém dvojího použití, který komplikuje regulační zacházení [4].
Společnosti musí implementovat mechanismy pro získání souhlasu, které zabrání spuštění skriptů pro otisk prohlížeče, dokud nebude získán platný souhlas uživatele [8].

Co je otisk prohlížeče a jak funguje

Otisk prohlížeče je metoda sledování, která identifikuje uživatele sestavením profilu charakteristik prohlížeče a zařízení, spíše než ukládáním identifikátoru na samotné zařízení. Když uživatel navštíví webovou stránku, skript pro otisk prohlížeče se dotáže prohlížeče na desítky atributů současně a poté je zahashuje do jedinečného identifikátoru.

Mezi běžně shromažďované datové body patří:

Typ, verze a nainstalované pluginy prohlížeče
Operační systém a jazyková nastavení
Rozlišení obrazovky a barevná hloubka
Nainstalovaná písma (vyjmenovaná přes canvas nebo CSS)
Renderer GPU a možnosti WebGL
Časové pásmo a posun systémových hodin
Výstup vykreslování Canvas a AudioContext
HTTP hlavičky, včetně Accept-Language a stavu Do Not Track

Výsledný hash je statisticky jedinečný pro velkou část uživatelů. Protože na zařízení není zapsán žádný soubor, je proces neviditelný pro standardní nástroje pro ochranu soukromí, které se zaměřují na správu souborů cookie. Jde-li za soubory cookie, rizika soukromí a právní problémy otisku prohlížeče pramení právě z této neviditelnosti.

Jak se otisk prohlížeče liší od souborů cookie

Zásadní rozdíl spočívá v trvalosti a viditelnosti souhlasu. Soubory cookie jsou soubory uložené na zařízení uživatele, které lze prohlížet, blokovat nebo mazat prostřednictvím nastavení prohlížeče. Otisk prohlížeče je odvozen z existujících atributů zařízení a nezanechává žádnou lokální stopu.

Funkce	Soubory cookie	Otisk prohlížeče
Uloženo na zařízení	Ano	Ne
Uživatel může smazat	Ano	Ne
Blokováno nastavením	Ano	Zřídka
Vyžaduje volání serveru	Ne	Často ano
Viditelnost souhlasu	Vysoká	Nízká
Regulační jasnost	Zavedená	Vyvíjející se

Tato trvalost je klíčová pro to, proč otisk prohlížeče vyvolává vážnější obavy o soukromí. Uživatel, který vymaže soubory cookie, používá soukromé prohlížení nebo nainstaluje blokátor souborů cookie, stále představuje stejný otisk při další návštěvě [2].

Mohou mě webové stránky sledovat pomocí otisku prohlížeče, i když blokuji soubory cookie

Ano, zcela. Nástroje pro blokování souborů cookie, rozšíření prohlížeče, která odmítají soubory cookie třetích stran, a dokonce i režimy soukromého prohlížení nezabrání spuštění skriptů pro otisk prohlížeče. Skript čte atributy, které jsou vždy přítomny v prostředí prohlížeče, bez ohledu na nastavení souborů cookie.

To je hlavní výzva, která posouvá konverzaci o soukromí za hranice souborů cookie. Rizika soukromí a právní problémy otisku prohlížeče jsou umocněny skutečností, že uživatelé, kteří se domnívají, že se odhlásili ze sledování prostřednictvím bannerů se souhlasem s cookies, mohou být stále komplexně sledováni prostřednictvím otisku.

Jaká rizika pro soukromí představuje otisk prohlížeče

Otisk prohlížeče umožňuje trvalé sledování napříč weby, behaviorální profilování a cenovou diskriminaci bez jakéhokoli povědomí nebo kontroly uživatele. Protože otisk přetrvává napříč relacemi a nelze jej resetovat, společnosti mohou vytvářet dlouhodobé profily chování při prohlížení, které trvají měsíce nebo roky [2].

Specifická rizika zahrnují:

Behaviorální profilování napříč weby: Jeden otisk může propojit aktivitu napříč nesouvisejícími webovými stránkami a vytvářet podrobné profily zájmů a záměrů.
Opětovná identifikace po odhlášení: Uživatelé, kteří se výslovně odhlásí ze sledování založeného na souborech cookie, mohou být znovu identifikováni prostřednictvím svého otisku.
Rizika demografického cílení: Výzkum naznačuje, že uživatelé s nižšími příjmy čelí nepřiměřené expozici otisku prohlížeče a starší uživatelé jsou jak více znepokojeni, tak častěji vystaveni otisku prohlížeče [6].
Cenová diskriminace: Prodejci a cestovní platformy používají signály zařízení a prohlížeče k nabízení různých cen různým segmentům uživatelů.
Rozšíření rozsahu: Data shromážděná pro prevenci podvodů mohou být znovu použita pro reklamu nebo prodána datovým makléřům, což je problém, na který konkrétně upozornil Tech Institute Georgetown Law [4].

Jaká data shromažďují společnosti prostřednictvím otisku prohlížeče

Společnosti shromažďují aktivní i pasivní signály. Pasivní signály jsou automaticky přenášeny s každým požadavkem HTTP (řetězec user-agent, IP adresa, jazykové preference). Aktivní signály vyžadují spuštění JavaScriptu a zahrnují otisky canvas, řetězce rendereru WebGL, výsledky výčtu písem a výstup AudioContext.

Moderní serverový otisk prohlížeče jde dál a odesílá surovou telemetrii prohlížeče do centralizovaných backendů strojového učení, které mohou propojovat relace, i když se jednotlivé atributy mění, například když uživatel aktualizuje svůj prohlížeč nebo změní svou IP adresu [3]. To činí shromažďování dat podstatně trvalejším než tradiční sledování založené na souborech cookie.

Je otisk prohlížeče legální podle GDPR a CCPA

Podle GDPR představuje otisk prohlížeče zpracování osobních údajů, protože generuje jedinečný identifikátor spojený se zařízením jednotlivce. Směrnice o soukromí a elektronických komunikacích (ePrivacy Directive) dále vyžaduje předchozí informovaný souhlas pro jakoukoli techniku, která přistupuje k informacím nebo je ukládá na koncovém zařízení uživatele, což otisk prohlížeče účinně dělá čtením stavu zařízení [1].

Požadavky na dodržování GDPR pro otisk prohlížeče:

Získat výslovný, svobodně udělený souhlas před spuštěním jakéhokoli skriptu pro otisk prohlížeče.
Poskytnout jasné oznámení o ochraně osobních údajů vysvětlující, jaká data jsou shromažďována a za jakým účelem.
Umožnit uživatelům odvolat souhlas stejně snadno, jako jej udělili.
Dokumentovat právní základ pro zpracování v záznamech o činnostech zpracování.

Podle CCPA a CPRA v Kalifornii spadá otisk prohlížeče do široké definice „osobních údajů“, což dává spotřebitelům právo vědět, smazat a odhlásit se z prodeje nebo sdílení těchto dat [1]. K roku 2026 přibližně dvacet amerických států přijalo srovnatelné zákony, což vytváří roztříštěné, ale stále náročnější prostředí pro dodržování předpisů. Spojeným státům stále chybí federální zákon o ochraně soukromí; návrh zákona z roku 2026, SECURE Data Act, navrhoval požadavky na minimalizaci dat, ale nebyl schválen [1].

Jaké jsou právní důsledky pro společnosti používající otisk prohlížeče

Finanční riziko podle GDPR je značné. Pokuty mohou dosáhnout 20 milionů EUR nebo 4 % celkového ročního obratu, podle toho, co je vyšší [1]. Pokuta Amazonu ve výši 746 milionů EUR v roce 2021 za porušení související se sledováním ilustruje, že regulátoři jsou ochotni uplatňovat maximální pokuty za rozsáhlé postupy zpracování dat [8].

Kromě pokut čelí společnosti poškození pověsti, soudním příkazům vyžadujícím úplné zastavení otisku prohlížeče a povinným auditům. Technické dodržování je nezbytné: skripty pro otisk prohlížeče musí být blokovány před spuštěním, dokud není zaznamenán platný souhlas, a odvolání souhlasu musí okamžitě zastavit veškerou aktivitu otisku prohlížeče [8].

Jak přesný je otisk prohlížeče pro identifikaci uživatelů

Přesnost otisku prohlížeče je vysoká, ale ne dokonalá. Studie důsledně ukazují, že dobře zkonstruovaný otisk může jedinečně identifikovat velkou většinu uživatelů v dané populaci. Přesnost se však snižuje, když uživatelé sdílejí zařízení, používají identické firemní hardwarové konfigurace nebo používají nástroje pro ochranu soukromí, které normalizují atributy prohlížeče.

Serverový otisk prohlížeče se strojovým učením výrazně zlepšuje přesnost korelováním částečných shod napříč relacemi, což znamená, že ani změněná verze prohlížeče nebo nová IP adresa nemusí zabránit opětovné identifikaci [3].

Jak mohu zabránit otisku prohlížeče na svém zařízení

Prevence je obtížná, protože otisk prohlížeče zneužívá atributy, které prohlížeče záměrně vystavují. Několik přístupů však snižuje riziko:

Používejte Firefox s povoleným režimem Resist Fingerprinting: Tento režim normalizuje nebo randomizuje mnoho vektorů otisku prohlížeče a je jednou z mála klientských obran účinných proti serverovým technikám [3].
Používejte Tor Browser: Směruje provoz přes více uzlů a agresivně normalizuje atributy prohlížeče; nejspolehlivější dostupná ochrana [3].
Selektivně zakázat JavaScript: Blokuje otisk canvas a WebGL, ale rozbíjí většinu moderních webových stránek.
Používejte prohlížeč zaměřený na soukromí s randomizací otisku prohlížeče: Některé prohlížeče randomizují výstupy canvas a písem pro každou relaci.
Vyhněte se rozšířením prohlížeče, která přidávají jedinečné signály: Ironicky, rozšíření pro ochranu soukromí mohou prohlížeč učinit spíše jedinečným než méně.

Zvolte Tor Browser, pokud je prioritou maximální anonymita a jsou přijatelné kompromisy v použitelnosti. Zvolte Firefox s režimem Resist Fingerprinting, pokud je potřeba rovnováha mezi ochranou a každodenním prohlížením.

Které prohlížeče nabízejí nejlepší ochranu proti otisku prohlížeče

Tor Browser a Firefox s režimem Resist Fingerprinting nabízejí nejsilnější ochranu. Většina ostatních běžných prohlížečů, včetně prohlížečů založených na Chromiu, poskytuje ve výchozím nastavení omezenou nebo žádnou smysluplnou odolnost proti otisku prohlížeče, a to i s povolenými nastaveními soukromí [3].

Širší trh s prohlížeči pomalu přijímá opatření proti otisku prohlížeče, protože mnoho technik otisku prohlížeče se také používá pro legitimní detekci podvodů, což vytváří tlak, aby je zcela nezrušily.

Zastaví VPN a nástroje pro ochranu soukromí otisk prohlížeče

VPN maskují IP adresy, ale neovlivňují atributy prohlížeče, které skripty pro otisk prohlížeče čtou. Uživatel za VPN stále představuje stejný otisk canvas, stejný seznam písem a stejný řetězec rendereru GPU. Standardní blokátory reklam a správci souborů cookie jsou podobně neúčinné proti otisku prohlížeče, pokud specificky nezachytávají skripty pro otisk prohlížeče [3].

Běžnou chybou je předpokládat, že VPN plus blokátor souborů cookie poskytuje komplexní ochranu proti sledování. Neposkytuje. Otisk prohlížeče funguje na vrstvě, na kterou tyto nástroje nedosáhnou.

Proč webové stránky používají otisk prohlížeče namísto pouze souborů cookie

Webové stránky používají otisk prohlížeče, protože je trvalejší a pro uživatele obtížněji překonatelný. Požadavky na souhlas s cookies podle GDPR a CCPA učinily tradiční sledování založené na cookies právně omezenějším a provozně složitějším. Otisk prohlížeče nabízí trvalý identifikátor, který přežije smazání cookies, soukromé prohlížení a odvolání souhlasu, což jej činí atraktivním pro reklamní sítě a datové makléře navzdory jeho právní nejednoznačnosti [4].

Právě proto je důležité porozumět plnému rozsahu rizik soukromí a právních problémů otisku prohlížeče, které jdou za soubory cookie: posun od souborů cookie nesnížil sledování; v mnoha případech učinil sledování méně viditelným a obtížněji napadnutelným.

Používá se otisk prohlížeče pro detekci podvodů nebo pouze pro sledování

Otisk prohlížeče slouží oběma účelům a toto dvojí použití je jedním z hlavních právních a etických napětí v této oblasti. Detekce podvodů je legitimní případ použití: banky, e-commerce platformy a platební procesory používají otisky zařízení k označení převzetí účtů, aktivity botů a podezřelých vzorců přihlášení [4].

Stejná infrastruktura pro otisk prohlížeče však může být znovu použita pro behaviorální reklamu, sledování napříč weby nebo cenovou diskriminaci. Tech Institute Georgetown Law konkrétně poznamenal, že data shromážděná pod odůvodněním prevence podvodů mohou být a byla použita pro účely daleko přesahující původní rozsah [4]. Regulátoři v EU začali tento problém dvojího použití podrobněji zkoumat a očekává se, že nadcházející nařízení ePrivacy se jím bude zabývat explicitněji [9].

Jaké jsou běžné chyby, kterých se lidé dopouštějí ohledně otisku prohlížeče

Několik mylných představ přetrvává i mezi technicky informovanými uživateli:

„Vymazání souborů cookie zastaví otisk prohlížeče.“ Nezastaví. Otisk prohlížeče je odvozen ze stavu zařízení, nikoli z uložených souborů.
„Režim inkognito poskytuje anonymitu.“ Soukromé prohlížení zabraňuje ukládání místní historie, ale nemění otisk prohlížeče.
„Bannery se souhlasem s cookies pokrývají otisk prohlížeče.“ Mnoho bannerů se souhlasem je konfigurováno pouze pro sledování založené na cookies. Správně nakonfigurovaná platforma pro správu souhlasu musí také blokovat skripty pro otisk prohlížeče. Biscotti CMP (www.biscotti-cmp.com) je navržena tak, aby splňovala tento požadavek a zajistila, že skripty pro otisk prohlížeče budou blokovány, dokud nebude získán platný souhlas.
„Otisk prohlížeče používají pouze velké reklamní sítě.“ Studie z roku 2025 zjistila, že skuteční uživatelé se setkávají s otiskem prohlížeče na téměř dvakrát tolika webech, než kolik detekují automatizované prohledávače, což naznačuje rozšířené nasazení napříč weby všech velikostí [7].
„VPN znemožňují otisk prohlížeče.“ VPN mění IP adresu, ale ponechávají všechny atributy prohlížeče nedotčené.

Závěr

Otisk prohlížeče představuje zásadní posun v tom, jak funguje sledování uživatelů, posun, který se rozhodně posouvá za soubory cookie a do oblasti, kde tradiční kontroly soukromí nabízejí malou ochranu. Pro odborníky na ochranu osobních údajů a podniky jsou povinnosti dodržování předpisů jasné: GDPR a rozšiřující se seznam amerických státních zákonů považují otisk prohlížeče za zpracování osobních údajů vyžadující výslovný souhlas, s pokutami, které mohou dosáhnout stovek milionů eur.

Akční další kroky pro různé cílové skupiny:

Majitelé a vývojáři webových stránek: Proveďte audit svého webu na skripty pro otisk prohlížeče, včetně těch, které jsou vloženy do analytických a reklamních SDK třetích stran. Implementujte řešení pro správu souhlasu, jako je Biscotti CMP (www.biscotti-cmp.com), které blokuje všechny sledovací technologie, včetně otisku prohlížeče, dokud nebude získán platný souhlas uživatele.
Podniky: Proveďte inventuru zpracování dat, která explicitně zohledňuje otisk zařízení. Zmapujte právní základ pro každý případ použití a zajistěte, aby odůvodnění detekce podvodů nepřecházela do reklamního použití.
Odborníci na ochranu osobních údajů: Prosazujte explicitní smluvní omezení otisku prohlížeče v dohodách s dodavateli a sledujte pokrok nařízení EU o soukromí a elektronických komunikacích (ePrivacy Regulation) pro aktualizované pokyny.
Koncoví uživatelé: Pro citlivé prohlížení přepněte na Firefox s povoleným režimem Resist Fingerprinting nebo Tor Browser. Nespoléhejte se pouze na VPN nebo blokátory souborů cookie.

Právní prostředí kolem otisku prohlížeče se v roce 2026 a dále ještě zpřísní. Organizace, které jej dnes považují za šedou zónu, podstupují měřitelné regulační a reputační riziko.

Často kladené otázky

Jaká je nejjednodušší definice otisku prohlížeče? Otisk prohlížeče je technika, která identifikuje uživatele čtením atributů prohlížeče a zařízení, jako je rozlišení obrazovky, nainstalovaná písma a typ GPU, a jejich kombinováním do jedinečného identifikátoru, aniž by se na zařízení uživatele ukládal jakýkoli soubor.

Je otisk prohlížeče nezákonný? Není univerzálně nezákonný, ale je silně regulován. Podle GDPR vyžaduje výslovný souhlas. Podle CCPA a podobných amerických státních zákonů spadá do definic osobních údajů, které s sebou nesou práva na zveřejnění a odhlášení. Nasazení otisku prohlížeče bez řádných mechanismů souhlasu může vést k značným pokutám.

Mohu zjistit, zda mě webová stránka otiskuje? Není to snadné. Skripty pro otisk prohlížeče jsou obvykle vloženy do JavaScriptu třetích stran a spouštějí se tiše. Nástroje pro vývojáře prohlížeče mohou odhalit podezřelé volání canvas nebo výčtu písem, ale většina uživatelů by si jich nevšimla.

Vyžaduje GDPR, aby banner se souhlasem s cookies pokrýval otisk prohlížeče? Ano, pokud se na webu používá otisk prohlížeče. Banner se souhlasem, který se zabývá pouze cookies, zatímco umožňuje spouštění skriptů pro otisk prohlížeče, není v souladu. Všechny sledovací technologie, včetně otisku prohlížeče, musí být pokryty mechanismem souhlasu.

Jaký je nejúčinnější prohlížeč pro zamezení otisku prohlížeče? Tor Browser poskytuje nejsilnější ochranu normalizací atributů prohlížeče a směrováním provozu přes více uzlů. Firefox s režimem Resist Fingerprinting je nejlepší praktickou volbou pro každodenní použití.

Chrání VPN před otiskem prohlížeče? Ne. VPN maskuje vaši IP adresu, ale nemění atributy prohlížeče, které skripty pro otisk prohlížeče čtou. Váš otisk canvas, seznam písem a řetězec GPU zůstávají za VPN nezměněny.

Co je serverový otisk prohlížeče? Serverový otisk prohlížeče odesílá surovou telemetrii prohlížeče na backendový server, kde modely strojového učení propojují relace v čase, i když se jednotlivé atributy mění. Překonává většinu klientských nástrojů pro ochranu soukromí kromě Tor Browser a režimu Firefoxu „Resist Fingerprinting“.

Jak otisk prohlížeče ovlivňuje detekci podvodů? Otisk prohlížeče je legitimní a účinný nástroj pro detekci podvodů, který se používá k označení převzetí účtů, aktivity botů a podezřelých transakcí. Právní problém nastává, když jsou stejná data znovu použita pro reklamu nebo behaviorální profilování nad rámec původního rozsahu prevence podvodů.

Existují odvětví, kde je otisk prohlížeče obzvláště běžný? Finanční služby, e-commerce, rezervace cest a online reklama jsou největšími uživateli. Prevence podvodů pohání přijetí ve financích a platbách; behaviorální cílení pohání v reklamě a maloobchodě.

Co by měla firma udělat hned teď, aby vyhověla? Auditovat všechny skripty třetích stran na chování otisku prohlížeče, implementovat platformu pro správu souhlasu, která blokuje skripty pro otisk prohlížeče, aktualizovat oznámení o ochraně osobních údajů, aby zveřejnila postupy otisku prohlížeče, a dokumentovat právní základ pro jakékoli použití otisku prohlížeče v záznamech o činnostech zpracování.