Jak napsat zásady používání cookies: návod krok za krokem + vzor

Cookie lišta je vidět na první pohled, a tak jí weby věnují většinu pozornosti. Zásady používání cookies — dokument, na který lišta odkazuje — pak často vznikají za pět minut zkopírováním z cizího webu. Jenže právě zásady si dozorový úřad při kontrole otevře jako první. Dobrá zpráva: napsat je pořádně není složité. V tomhle návodu projdeme, co do zásad cookies patří, jak je sestavit krok za krokem podle vzorové struktury a jak je udržet aktuální, aniž byste je museli každý měsíc přepisovat ručně.

Co jsou zásady používání cookies a proč je potřebujete

Zásady používání cookies (anglicky cookie policy) jsou veřejně dostupná stránka, která návštěvníkům vysvětluje, jaké cookies a podobné technologie váš web ukládá, k čemu slouží, jak dlouho v prohlížeči zůstávají a jak lze souhlas s jejich používáním odvolat.

Povinnost mít je nevzniká z jednoho paragrafu, ale z kombinace tří předpisů:

• GDPR (čl. 12 a 13) — pokud cookies zpracovávají osobní údaje (a identifikátory jako _ga nebo _fbp osobními údaji podle úřadů jsou), musíte o zpracování transparentně informovat.
• Zákon o elektronických komunikacích (§ 89) — od 1. ledna 2022 platí v Česku režim opt-in: ukládat cookies smíte jen se souhlasem, s výjimkou technicky nezbytných. Souhlas je přitom platný, jen když je informovaný — a informace poskytují právě zásady.
• ePrivacy směrnice — evropský základ, ze kterého národní úpravy vycházejí.

Prakticky to znamená jediné: bez zásad cookies neexistuje platný souhlas. Cookie lišta, která odkazuje na prázdnou nebo neexistující stránku, sbírá souhlasy, které by u kontroly neobstály.

Zásady cookies vs. zásady ochrany osobních údajů

Dva dokumenty, které se pletou i zkušeným provozovatelům:

• Zásady ochrany osobních údajů (privacy policy) pokrývají veškeré zpracování osobních údajů — objednávky, newsletter, fakturaci, reklamace, kamerové systémy.
• Zásady používání cookies řeší výhradně cookies a podobné technologie: localStorage, měřicí pixely, SDK třetích stran.

Spojit je do jednoho dokumentu lze, ale nedoporučujeme to. Cookies se mění mnohem častěji než zbytek zpracování — každý nový marketingový nástroj přidá vlastní. Samostatná stránka se aktualizuje snáz a cookie lišta na ni může odkazovat přímo, bez scrollování přes deset stran textu o fakturaci.

Co musí zásady cookies obsahovat

Checklist povinných náležitostí, které by ve výsledném dokumentu neměly chybět:

• Kdo je správce — název firmy, IČO a kontakt.
• Co jsou cookies — dvě tři věty vysvětlení pro laika.
• Jaké cookies web konkrétně používá — tabulka s názvem cookie, poskytovatelem, účelem, dobou platnosti a kategorií. Tohle je jádro celého dokumentu a nejčastěji chybějící část.
• Kategorie cookies — nezbytné, preferenční, analytické, marketingové — a k čemu která slouží.
• Právní základ — technicky nezbytné cookies běží bez souhlasu, všechny ostatní souhlas vyžadují.
• Třetí strany a předávání do třetích zemí — Google, Meta, Hotjar a spol., včetně informace o předávání dat mimo EU.
• Jak odvolat souhlas — konkrétní postup, ideálně odkaz nebo tlačítko, které znovu otevře cookie lištu.
• Jak spravovat cookies v prohlížeči — odkazy na nápovědu Chrome, Firefox, Safari a Edge.
• Datum poslední aktualizace — bez něj nikdo (včetně vás) nepozná, jestli dokument ještě odpovídá realitě.

Jak napsat zásady cookies krok za krokem

Krok 1: Zjistěte, jaké cookies web skutečně používá

Nejčastější chyba je psát zásady od stolu, podle toho, co si myslíte, že na webu běží. Realita bývá jiná — vývojář kdysi přidal Hotjar, plugin pro recenze si přinesl vlastní tracking, embedované YouTube video ukládá cookies taky. Otevřete web v anonymním okně s DevTools (záložka Application, sekce Cookies), nebo si ušetřete práci automatickým scannerem cookies. Podrobný postup máme v článku Cookies audit: Jak zjistit, jaké cookies používáte.

Krok 2: Roztřiďte cookies do kategorií

Standardem jsou čtyři kategorie: nezbytné (přihlášení, košík, uložení souhlasu), preferenční (jazyk, měna), analytické (Google Analytics, Matomo) a marketingové (Google Ads, Meta Pixel, Sklik). Důležité: stejné kategorie musí používat i vaše cookie lišta. Pokud lišta nabízí tři kategorie a zásady popisují čtyři, souhlas neodpovídá dokumentaci.

Krok 3: Sestavte tabulku cookies

Pro každé cookie uveďte pět údajů: název, poskytovatele, účel, dobu platnosti a kategorii. Příklad řádku: cookie _ga, poskytovatel Google Analytics, účel rozlišení návštěvníků pro statistiky návštěvnosti, platnost 2 roky, kategorie analytické. Zní to pracně — a ručně to pracné je, zvlášť když web používá třicet cookies. Proto tuhle část v Consentio generujeme automaticky z výsledků scanu.

Krok 4: Popište, jak souhlas odvolat

Článek 7 odst. 3 GDPR říká, že odvolat souhlas musí být stejně snadné jako ho udělit. V praxi: do zásad patří věta typu „Své nastavení cookies můžete kdykoli změnit kliknutím na tlačítko Nastavení cookies" — a to tlačítko musí opravdu existovat, typicky v patičce webu.

Krok 5: Propojte zásady s cookie lištou

Lišta odkazuje na zásady, zásady odkazují na nastavení lišty. Kruh se uzavře a návštěvník se z každého místa dostane tam, kam potřebuje. Jak má vypadat samotná lišta, řešíme v článku Cookies lišta: Jak ji správně nastavit podle GDPR.

Vzorová struktura zásad cookies

Pokud začínáte na prázdné stránce, tahle osnova pokryje všechno podstatné:

1. Kdo jsme — identifikace správce a kontakt
2. Co jsou cookies a proč je používáme
3. Jaké kategorie cookies rozlišujeme
4. Tabulka konkrétních cookies (název, poskytovatel, účel, platnost, kategorie)
5. Kdo další má k cookies přístup (třetí strany, předávání mimo EU)
6. Jak udělit a odvolat souhlas
7. Jak cookies zablokovat či smazat v prohlížeči
8. Datum poslední aktualizace

Nejčastější chyby v zásadách cookies

1. Zkopírovaný dokument z cizího webu. Popisuje cookies, které nemáte, a mlčí o těch, které máte. Při kontrole působí hůř než žádný dokument — dokazuje, že o svém zpracování nemáte přehled.
2. Chybí tabulka konkrétních cookies. Obecné „používáme analytické a marketingové cookies" nesplňuje požadavek transparentnosti. Úřady chtějí vidět konkrétní cookies s dobou platnosti.
3. Zásady a lišta si neodpovídají. Lišta zmiňuje jiné kategorie nebo jiné nástroje než dokument. Typicky poté, co marketing přidal nový pixel a nikdo neaktualizoval zásady.
4. Mrtvý odkaz z lišty. Web prošel redesignem, stránka se zásadami změnila URL a odkaz v liště vede na 404. Souhlas sebraný bez dostupných informací je neplatný.
5. Dokument vznikl jednou a rok se ho nikdo nedotkl. Průměrný web přidá nebo změní cookies několikrát ročně — s každým novým nástrojem, pluginem nebo kampaní.

Jak udržet zásady aktuální bez ruční práce

Zásady cookies nejsou dokument, který jednou napíšete a máte hotovo. Jsou to živá dokumentace webu — a ruční aktualizace je přesně ten typ práce, na kterou se vždycky zapomene.

Proto jsme v Consentio postavili generátor cookie zásad, který dokument sestaví automaticky z výsledků pravidelného scanu vašeho webu: tabulka cookies, kategorie, doby platnosti i třetí strany se doplní samy a při každé změně se přegenerují. Vy jen do lišty a patičky vložíte odkaz. Spolu se scannerem a cookie lištou to celé nastavíte za pár minut — bezplatný plán na to stačí. A pokud chcete mít jistotu, že máte pokryté všechno ostatní, projděte si náš GDPR cookies compliance checklist.