Příslib „banner není potřeba“

Analytické nástroje zaměřené na soukromí se často prezentují jako nástroje bez cookies a některé jdou dál a naznačují, že banner souhlasu už nepotřebujete. Pro vydavatele se štíhlým stackem je to lákavá myšlenka. Realita je nuancovanější. Zda je souhlas potřeba, závisí na tom, co nástroj v zařízení skutečně dělá, jaká data zpracovává, kde jsou vaši uživatelé a co dalšího na vašich stránkách běží.

Tento článek vysvětluje otázky, které je třeba si položit, než z nastavení souhlasu analytiku odstraníte. Jde o obecné vodítko, nikoli právní radu.

Cookies nejsou jediným spouštěčem

V EU vychází pravidlo o souhlasu pro zařízení z článku 5(3) směrnice ePrivacy. Zahrnuje ukládání informací v zařízení uživatele nebo přístup k informacím z něj — nejen cookies. Pod něj mohou spadat lokální úložiště, úložiště relace, pixely způsobující čtení informací a techniky odvozující identifikátory z vlastností zařízení. Evropský sbor pro ochranu osobních údajů toto široké chápání vyložil ve svých Pokynech 2/2023 k technické působnosti čl. 5 odst. 3.

Takže „nenastavujeme cookies“ je začátek analýzy, ne její konec. Musíte vědět, zda nástroj vůbec něco v zařízení ukládá nebo čte.

Čtyři otázky k jakémukoli analytickému nástroji

1. Ukládá nebo čte něco v zařízení?

Po načtení stránky zkontrolujte panely úložiště v prohlížeči: cookies, lokální úložiště, úložiště relace, IndexedDB. Ve skriptu hledejte kód, který sbírá vlastnosti zařízení za účelem vytvoření identifikátoru. Pokud se pro analytické účely cokoli ukládá nebo čte, uplatní se pravidlo ePrivacy, pokud neplatí výjimka.

2. Zpracovává osobní údaje?

I bez ukládání v zařízení analytika obvykle zpracovává IP adresy, user agenty a URL stránek. Podle GDPR to mohou být osobní údaje. To vyžaduje právní základ — kterým může být oprávněný zájem, nikoli souhlas — plus transparentnost ve vašem oznámení o ochraně soukromí, minimalizaci údajů a vhodné uchovávání. „Bez banneru“ nikdy neznamená „bez povinností“.

3. Platí výjimka v zemích vašich uživatelů?

Někteří regulátoři uznávají, že omezené měření publika může být od souhlasu osvobozeno, pokud jsou splněny přísné podmínky. Francouzský CNIL zveřejnil podmínky pro osvobození nástrojů měření publika a vede program identifikující nástroje, které lze nakonfigurovat tak, aby je splnily. Podmínky obvykle zahrnují výhradně použití první stranou, pouze agregované statistiky, žádné sledování napříč weby a omezené uchovávání. Zákon Spojeného království Data (Use and Access) Act 2025 zavedl nové výjimky z požadavku PECR na souhlas, mimo jiné pro určité statistické účely, za podmínek, jako jsou jasné informace a možnost vznést námitku. Ne každá země zaujímá stejný postoj, proto zkontrolujte situaci na každém trhu, který obsluhujete, a které ustanovení jsou v platnosti.

4. Sdílejí se data s někým dalším?

Pokud nástroj odesílá data dodavateli, který je používá pro vlastní účely nebo je kombinuje napříč zákazníky, výjimky obvykle zanikají. Čtěte podmínky zpracování, nejen marketingovou stránku.

Co obvykle stále vyžaduje souhlas

• Reklamní tagy. Vydavatelé financovaní z reklamy potřebují souhlas s personalizovanou reklamou a s ukládáním v zařízení reklamními dodavateli, ať už jejich analytický nástroj dělá cokoli.
• Nástroje s identifikátory napříč relacemi. Trvalá ID návštěvníků, i první strany, obvykle nástroj vyvedou z většiny výjimek.
• Přehrávání relací a teplotní mapy. Ty zachycují podrobné chování a jen zřídka se považují za osvobozené měření.
• Vložený obsah a sociální widgety. Ty nastavují vlastní cookies a identifikátory.
• Konverzní a remarketingové pixely. Ty existují k propojení chování s reklamou.

U většiny webů financovaných z reklamy je banner kvůli reklamnímu stacku stejně vyžadován. Skutečnou otázkou je, zda má být analytika jednou z podmíněných kategorií, nebo může běžet nezávisle pod úzkou výjimkou.

Praktický způsob rozhodnutí

1. Vypište každý analytický skript a co ukládá, čte a odesílá.
2. Zjistěte země, kde je většina vašich uživatelů.
3. U každého nástroje ověřte, zda jeho konfigurace splňuje výjimku uznávanou v těchto zemích.
4. Nástroj nakonfigurujte na nejpřísnější verzi, kterou potřebujete: zkrácení IP adresy, žádná trvalá ID, krátké uchovávání, žádné sdílení dat.
5. Zdokumentujte odůvodnění a analytický nástroj v obou případech uvádějte v zásadách cookies a oznámení o ochraně soukromí.
6. Znovu zkontrolujte, když dodavatel změní produkt nebo se změní vaše trhy.

Provoz osvobozené analytiky vedle CMP

Pokud se rozhodnete, že nástroj splňuje podmínky, uveďte jej v CMP jako nezbytně nutný nebo osvobozený, aby byl zveřejněn, ale nepodmíněn, a zajistěte, aby jeho konfigurace zůstala v rámci výjimky. Mnoho vydavatelů si také ponechává analytické nastavení závislé na souhlasu pro bohatší měření a používá Google Consent Mode v2 nebo podobné signály k jeho úpravě podle volby uživatele. FlexyConsent podporuje Google Consent Mode v2 vedle IAB TCF 2.4 a IAB GPP v1.1.

Hlavní poznatky

• „Bez cookies“ automaticky neznamená „souhlas není potřeba“; čl. 5 odst. 3 zahrnuje jakékoli ukládání v zařízení nebo přístup k němu.
• Analytika bez ukládání v zařízení může stále zpracovávat osobní údaje a vyžaduje právní základ a transparentnost.
• Výjimky pro měření publika v některých zemích existují, ale s přísnými podmínkami.
• Reklamní tagy, přehrávání relací a remarketing stále vyžadují souhlas.
• Zdokumentujte, proč se nástroj považuje za osvobozený, a pravidelně to znovu ověřujte.