Každý provozovatel webu se dříve nebo později setká s otázkou: „Je naše analytika v souladu s GDPR?" Odpověď není jednoduchá – záleží na tom, jaký nástroj používáte, jak ho máte nakonfigurovaný a zda jste správně nastavili systém souhlasů. Tento článek přináší praktický přehled pravidel platných v roce 2026.

Základní právní rámec

GDPR (General Data Protection Regulation, Nařízení 2016/679) je základní evropský předpis o ochraně osobních údajů. Platí pro všechny firmy, které zpracovávají data občanů EU – bez ohledu na to, kde mají sídlo.

ePrivacy Directive (Směrnice o soukromí v elektronických komunikacích, tzv. Cookie Directive) je specificky zaměřená na cookies a elektronické komunikace. Vyžaduje souhlas pro ukládání nebo čtení neinformačně nezbytných cookies.

V České republice je ePrivacy implementována v zákoně č. 127/2005 Sb. o elektronických komunikacích a jeho novelách. ÚOOÚ (Úřad pro ochranu osobních údajů) dohlíží na jeho dodržování.

Rozdělení cookies podle potřeby souhlasu

Technicky nezbytné cookies – souhlas není potřeba

Tyto cookies jsou nepostradatelné pro základní funkčnost webu. Jsou to ty, bez nichž web jednoduše nebude fungovat tak, jak má. Patří sem:

Funkční/preferenční cookies – souhlas doporučen

Tyto cookies si pamatují preference uživatele (zvolená měna, velikost písma, zakázané reklamy). GDPR je považuje za zpracování osobních údajů, ale jsou méně invazivní.

Analytické cookies – souhlas vyžadován

Google Analytics 4 (ve standardní konfiguraci) patří do této kategorie. GA4 přiřazuje uživatelům identifikátory a sleduje jejich chování napříč relacemi. To je zpracování osobních údajů, které vyžaduje souhlas.

Výjimka: Některé analytické nástroje nakonfigurované tak, aby sbíraly výhradně agregovaná data bez identifikátorů (Plausible, Matomo bez cookies v určitém nastavení) mohou být klasifikovány jako nevyžadující souhlas. Toto je ale předmětem výkladu a doporučujeme konzultaci s právníkem.

Marketingové cookies – souhlas vyžadován

Remarketing, behaviorální reklama, Facebook Pixel, Google Ads konverzní tagy. Tyto cookies sledují uživatele napříč weby a jsou nejtransparentnějším příkladem zpracování osobních údajů pro komerční účely.

Česká praxe i ÚOOÚ se konverguje k přísným interpretacím GDPR. Cookie lišta musí:

  1. Nabídnout stejně jednoduchou možnost odmítnout jako přijmout – žádné tlačítko „Přijmout vše" skryté vedle sotva viditelného „Nastavení" nebo „Odmítnout"
  2. Výchozí stav: vše zakázáno – zaškrtnutá políčka ve výchozím stavu jsou zakázána
  3. Jednoznačný souhlas – souhlas musí být aktivní, svobodný, informovaný a specifický
  4. Možnost odvolat souhlas – uživatel musí moci souhlas kdykoli odvolat stejně snadno, jako ho udělil
  5. Dokumentace souhlasů – provozovatel musí být schopen doložit, kdo a kdy souhlas udělil nebo odvolal (až 5 let zpětně)

GA4 a GDPR: praktické nastavení

Anonimizace IP adres

GA4 standardně neukládá plné IP adresy. IP je zpracována pro geolokaci a následně zahozena. Toto je automatické chování GA4 – nemusíte nic nastavovat.

Správce dat (Data Processing Amendment)

Při používání GA4 musíte mít uzavřenou smlouvu o zpracování dat (Data Processing Amendment – DPA) s Googlem. GA4 ji automaticky zahrnuje do podmínek služby. Ujistěte se, že jste je akceptovali.

Uchovávání dat

V GA4 v Administrátor → Nastavení dat nastavte maximální dobu uchovávání dat na 14 měsíců (maximum v bezplatné verzi). Delší uchování vyžaduje zdůvodnění v záznamu o zpracování aktivit (ZOPA).

Server sídla

Pokud potřebujete zaručit, že data zůstanou v EU, GA4 ve standardní verzi není ideální – data se zpracovávají primárně v USA. Alternativami jsou Matomo self-hosted, Piwik PRO s EU hostingem nebo Plausible.

Záznamy o zpracování aktivit (ZOPA)

Každá firma zpracovávající osobní údaje je povinna vést ZOPA. Webová analytika tam musí být zapsána:

Analytika bez souhlasu – je to možné?

Existuje kategorie analytiky, která souhlas nevyžaduje: agregovaná analytika bez identifikátorů. Podmínky:

Nástroje jako Plausible nebo Fathom jsou navrženy s tímto přístupem. Plausible je cookieless by default a dle svého vyjádření nevyžaduje souhlas ve většině evropských jurisdikcí. Stále ale doporučujeme toto ověřit s právníkem pro vaši konkrétní situaci.

Závěr

GDPR a analytika nejsou neslučitelné – vyžadují pouze správné nastavení. Klíčové kroky: implementujte Consent Mode v2, nastavte solidní cookie lištu, ověřte DPA s Googlem a zdokumentujte zpracování dat v ZOPA. Regulace se vyvíjejí, proto sledujte aktuální výklady ÚOOÚ.

Zdroje