Co se v roce 2026 změnilo u souborů cookie a co s tím dělat

Prostředí souborů cookie v roce 2026

Soubory cookie třetích stran jsou nyní ve všech hlavních prohlížečích fakticky mrtvé. Chrome na konci roku 2025 konečně dokončil jejich několikaleté vyřazování a připojil se k Safari a Firefoxu. Evropští regulátoři zároveň vydali nové pokyny, podle nichž jsou tlačítka „odmítnout vše“ povinná a oprávněný zájem se u většiny sledování jako právní základ dostává do pozadí. Výsledkem je web, kde je souhlas obtížnější získat, sledování je omezenější a data první strany se stala jediným spolehlivým základem.

Není to krize. Je to korekce. Předchozí model — kdy mohly desítky dodavatelů tiše sledovat uživatele napříč webem — nikdy nebyl udržitelný. To, co máme nyní, je krátkodobě složitější, ale poctivěji ukazuje, co sběr dat skutečně vyžaduje: výslovné povolení uživatele a přímý vztah.

Co konkrétně se změnilo

Vyřazení souborů cookie třetích stran v Chrome je dokončeno

Chrome byl posledním významným prohlížečem, který ve výchozím nastavení podporoval soubory cookie třetích stran. Od 4. čtvrtletí 2025 jsou blokovány pro všechny uživatele, pokud je výslovně nepovolí v nastavení. Rozhraní Privacy Sandbox API — Topics, Protected Audience, Attribution Reporting — jsou aktivní, ale jejich přijetí zůstává nízké. Většina inzerentů stále zjišťuje, zda tato API poskytují dostatečný signál, aby ospravedlnila práci na integraci.

Pro vlastníky webů to znamená, že analytika, reklama nebo personalizace, které se spoléhaly na soubory cookie napříč weby, už v Chrome nefungují, pokud jste nepřešli na přístup první strany nebo Privacy Sandbox. Pokud jste už byli v souladu s pravidly v Safari a Firefoxu, změna v Chrome je jen rozšířením stejných omezení.

Pravidla EU pro souhlas se dále zpřísnila

Evropský sbor pro ochranu osobních údajů vydal na začátku roku 2026 aktualizované pokyny, které vyjasňují dva body:

1. Tlačítka „odmítnout vše“ musí být stejně výrazná jako tlačítka „přijmout vše“. Temné vzorce, které skrývají možnost odmítnutí nebo vyžadují více kliknutí, jsou nyní výslovně nevyhovující. Regulátoři začali udělovat pokuty za rozhraní, která dělají odmítnutí obtížnějším než přijetí.

1. Oprávněný zájem už nelze použít pro většinu reklamy a analytiky. Pokyny zužují výklad čl. 6 odst. 1 písm. f) GDPR a jasně říkají, že sledování uživatelů napříč relacemi nebo weby vyžaduje souhlas, nikoli jen posouzení oprávněného zájmu. To se dotýká mnoha analytických platforem, které se dříve vyhýbaly lištám se souhlasem s odkazem na oprávněný zájem.

Pokud váš web obsluhuje uživatele z EU, vaše lišta se souhlasem pravděpodobně potřebuje aktualizaci. Novým standardem je jednoduché modální okno se dvěma stejně viditelnými tlačítky: přijmout a odmítnout. Žádná předem zaškrtnutá políčka, žádné skryté přepínače, žádné vícekrokové odmítací postupy.

Uživatelé blokují agresivněji

Rozšíření prohlížeče jako uBlock Origin a Ghostery existovala vždy, ale jejich používání stabilně roste. Ještě důležitější je, že samotné prohlížeče dnes ve výchozím nastavení přicházejí se stále agresivnějším blokováním. Safari Intelligent Tracking Prevention blokuje většinu souborů cookie třetích stran a omezuje soubory cookie první strany na sedm dní uložení po poslední interakci uživatele. Firefox Enhanced Tracking Protection dělá podobnou práci.

Praktický dopad je, že i vyhovující analytika první strany je méně čistá. Propojování relací napříč zařízeními je těžší. Sledování vracejících se návštěvníků je méně spolehlivé. Pokud vaše analytika za poslední rok ukazuje pokles vracejících se uživatelů, pravděpodobně je to důvod.

Co s tím dělat

Proveďte audit aktuálního používání souborů cookie

Začněte tím, že pochopíte, jaké soubory cookie váš web skutečně nastavuje. Mnoho webů nashromáždilo soubory cookie od dodavatelů, které už nepoužívají, nebo ze skriptů přidaných před lety a nikdy neodstraněných. Audit souborů cookie je přímočarý: otevřete web v anonymním okně, zkontrolujte vývojářské nástroje prohlížeče v části Application > Cookies a zdokumentujte vše, co uvidíte.

U každého souboru cookie se zeptejte:

• Co ho nastavuje? (Skript první strany, dodavatel třetí strany atd.)
• K čemu se používá? (Analytika, reklama, ověřování, předvolby atd.)
• Je stále nezbytný?
• Vyžaduje souhlas podle GDPR nebo ePrivacy?

Pokud najdete soubory cookie, které neumíte vysvětlit, odstraňte je. Pokud najdete soubory cookie třetích stran od reklamních nebo analytických dodavatelů, ověřte, zda tito dodavatelé přešli na přístupy první strany nebo Privacy Sandbox. Pokud ne, potřebujete náhradu.

Kde je to možné, přejděte na analytiku první strany

Analytické platformy třetích stran jako Google Analytics stále fungují, ale v EU nyní vyžadují výslovný souhlas a čelí rostoucímu blokování ze strany uživatelů zaměřených na soukromí. Analytika první strany — kdy sledovací skript běží na vaší vlastní doméně a ukládá data na vaší vlastní infrastruktuře — naráží na méně překážek.

To neznamená, že si musíte postavit vlastní analytickou platformu. Několik dodavatelů nyní nabízí analytiku první strany, která proxyuje požadavky přes vaši doménu a ukládá data způsobem, který ve výchozím nastavení respektuje soukromí uživatelů. Kompromisem je obvykle menší sledování napříč weby a méně integrací s reklamními platformami, ale data, která skutečně shromáždíte, jsou spolehlivější a s menší pravděpodobností budou blokována.

Pokud stále používáte Google Analytics, zvažte, zda skutečně potřebujete sledování napříč weby a reklamní integrace. U mnoha webů je odpověď ne. Jednodušší nastavení analytiky první strany zaměřené na zobrazení stránek, referrery a základní uživatelské toky často stačí a je mnohem snazší ho udržet v souladu s pravidly. Zpracování dat v prohlížeči se stalo použitelnou strategií pro mnoho úloh citlivých na soukromí a analytika není výjimkou.

Opravte lištu se souhlasem

Pokud vaše lišta se souhlasem nemá stejně výrazné tlačítko „odmítnout vše“, opravte ji hned. Pokyny EU jsou jasné a regulátoři je aktivně vymáhají. Novým standardem je jednoduché modální okno se dvěma tlačítky se stejnou vizuální vahou: „Přijmout vše“ a „Odmítnout vše“. Podrobné ovládací prvky mohou být dostupné přes odkaz „Spravovat předvolby“, ale výchozí volba by měla být binární a zřejmá.

Vyhněte se:

• Předem zaškrtnutým políčkům v podrobných nastaveních
• Odmítacím postupům, které vyžadují více kliknutí
• Jazyku, který naznačuje, že odmítnutí web rozbije
• Zdem, které blokují obsah, dokud uživatel souhlas nepřijme

Pokud používáte platformu pro správu souhlasu (CMP), ověřte, zda aktualizovala své šablony podle nových pokynů. Mnohé to neudělaly.

Přijměte, že budete shromažďovat méně dat

To je nejtěžší úprava. I s vyhovující lištou se souhlasem a analytikou první strany významná část vašich uživatelů sledování odmítne nebo ho zablokuje na úrovni prohlížeče. Vaše analytika bude ukazovat méně uživatelů, kratší relace a menší kontinuitu napříč zařízeními. Není to chyba. Je to nový základ.

Řešením není hledat chytřejší způsoby, jak uživatele sledovat bez souhlasu. Řešením je vybudovat obchodní model, který funguje s menším množstvím dat. Zaměřte se na uživatele, kteří souhlas dají, optimalizujte pro přímé vztahy a přijměte, že agregované trendy jsou důležitější než individuální sledování.

Co se nezměnilo

Autentizační soubory cookie, soubory cookie nákupního košíku a soubory cookie předvoleb nevyžadují podle GDPR souhlas. Pokud je soubor cookie nezbytně nutný pro fungování webu, můžete ho nastavit bez dotazu. Zmatek spočívá v tom, že „nezbytně nutné“ má úzkou právní definici. Analytické soubory cookie nejsou nezbytně nutné. Reklamní soubory cookie nejsou nezbytně nutné. Dokonce ani některé soubory cookie předvoleb — například výběr jazyka — nejsou nezbytně nutné, pokud web dokáže jazyk uživatele odvodit z nastavení jeho prohlížeče.

Když si nejste jistí, požádejte o souhlas. Náklady na lištu se souhlasem jsou nižší než náklady na pokutu podle GDPR.

Klíčové závěry

• Soubory cookie třetích stran jsou nyní ve výchozím nastavení blokovány ve všech hlavních prohlížečích, takže sledování napříč weby je bez přihlášení uživatele fakticky nemožné.
• Pravidla EU pro souhlas nyní vyžadují stejně výrazná tlačítka „přijmout“ a „odmítnout“ a oprávněný zájem už nelze používat jako právní základ pro většinu sledování.
• Hlavními alternativami jsou analytika první strany a rozhraní Privacy Sandbox API, ale obě v EU vyžadují výslovný souhlas a čelí rostoucímu blokování na úrovni prohlížeče.
• Mnoho webů stále nastavuje zbytečné soubory cookie ze starých integrací dodavatelů — proveďte audit souborů cookie a odstraňte vše, co aktivně nepoužíváte.
• Přijměte, že budete do budoucna shromažďovat méně dat; řešením je vybudovat obchodní model, který funguje s menším sledováním, ne hledat nové způsoby, jak obejít požadavky na souhlas.

FAQ

Q: Potřebuji v roce 2026 souhlas pro Google Analytics?

A: Ano, pokud obsluhujete uživatele z EU. Google Analytics nastavuje soubory cookie, které sledují uživatele napříč relacemi, což podle GDPR vyžaduje výslovný souhlas. Skutečnost, že Google nyní nabízí režim „cookieless“, na tom nic nemění — jakékoli trvalé sledování uživatele, i prostřednictvím fingerprintingu nebo identifikátorů první strany, vyžaduje v EU souhlas.

Q: Jsou Privacy Sandbox API skutečnou alternativou k souborům cookie třetích stran?

A: Teoreticky ano. V praxi je jejich přijetí stále nízké a API jsou omezenější než to, co umožňovaly soubory cookie třetích stran. Topics API poskytuje kategorie zájmů místo individuálního sledování. Protected Audience API umožňuje remarketing, ale s méně granularním cílením. Attribution Reporting API poskytuje konverzní data, ale se šumem přidaným kvůli ochraně soukromí. Pro většinu malých webů je analytika první strany jednodušší a spolehlivější cesta.

Q: Co se stane, když nová pravidla pro souhlas prostě ignoruji?

A: Regulátoři v EU aktivně vymáhají GDPR a ePrivacy a pokuty jsou významné — až 4 % celosvětového obratu nebo 20 milionů EUR, podle toho, co je vyšší. Imunní nejsou ani malé weby; regulátoři se zaměřili i na weby s několika tisíci návštěvníky měsíčně, pokud byla porušení závažná. Pokud obsluhujete uživatele z EU, soulad s pravidly není volitelný.

Q: Mohu pro analytiku použít oprávněný zájem místo souhlasu?

A: Už ne, alespoň ne v EU. Pokyny EDPB z roku 2026 jasně říkají, že sledování uživatelů napříč relacemi nebo weby vyžaduje souhlas, i když tvrdíte, že máte oprávněný zájem porozumět tomu, jak se váš web používá. Jediná analytika, která by se pod oprávněný zájem mohla ještě vejít, je striktně první strany, pouze v rámci relace a agregovaná — v podstatě serverové logy bez trvalých identifikátorů.

Q: Jak poznám, že můj web nastavuje soubory cookie třetích stran?

A: Otevřete web v anonymním okně, otevřete vývojářské nástroje prohlížeče (F12 nebo Cmd+Option+I), přejděte na Application > Cookies a podívejte se na sloupec Domain. Jakýkoli soubor cookie s doménou, která neodpovídá doméně vašeho webu, je soubor cookie třetí strany. Mezi časté viníky patří analytické platformy, reklamní sítě, widgety sociálních médií a vložené přehrávače videa.

Zdroje

• European Data Protection Board: Guidelines on consent under GDPR — Oficiální pokyny k tomu, co představuje platný souhlas podle GDPR, pravidelně aktualizované.
• Chrome Privacy Sandbox documentation — Technická dokumentace k rozhraním Chrome Privacy Sandbox API, včetně Topics, Protected Audience a Attribution Reporting.
• IAB Europe: Transparency and Consent Framework — Oborový standard pro správu souhlasu uživatelů napříč reklamními dodavateli, široce používaný, ale stále více kontrolovaný regulátory.
• Mozilla: Enhanced Tracking Protection — Vysvětlení vestavěné ochrany proti sledování ve Firefoxu, která ve výchozím nastavení blokuje většinu souborů cookie třetích stran.