Přijdete na web kvůli jedné informaci a než ji uvidíte, musíte odpovědět na otázku, kterou jste nepoložili. Přes obsah leží obdélník. Vlevo Souhlasím se vším, vpravo šedivé Nastavení, pod kterým se skrývá seznam sto padesáti partnerů, o kterých jste v životě neslyšeli.
Většina lidí klikne na to větší tlačítko. Ne proto, že by souhlasili. Proto, že chtějí vidět text pod tím.
Ta lišta ale není přírodní zákon, který by dopadl na každý web na světě. Je to důsledek jednoho technického rozhodnutí, které za vás nejspíš udělal někdo jiný: měřit návštěvnost cizím skriptem v prohlížeči návštěvníka místo toho, aby se počítala na vašem serveru. Tenhle text je o tom, co lišta doopravdy řeší, co vás stojí a kdy jde odstranit bez ztráty.
Odkud se lišta vzala
Pravidlo je starší, než by člověk čekal. Evropská směrnice o soukromí v elektronických komunikacích z roku 2002, novelizovaná v roce 2009, říká jednu jedinou věc: kdo chce ukládat data do zařízení uživatele nebo je z něj číst, potřebuje souhlas. Výjimkou je jen to, co je nezbytné pro přenos zprávy nebo pro službu, kterou si uživatel výslovně vyžádal.
Všimněte si, o čem to pravidlo není. Není o osobních údajích. Je o zařízení. Rozhoduje se podle toho, jestli sáhnete návštěvníkovi do telefonu, ne podle toho, jak citlivá data z toho vytěžíte.
V Česku to bylo dlouho měkčí: stačilo dát možnost sběr odmítnout. Novela zákona o elektronických komunikacích to k 1. lednu 2022 otočila. Od té chvíle platí souhlas předem, tedy opt-in, a lišty se přes noc objevily i tam, kde do té doby stačila věta v patičce.
Tohle číslo vysvětluje, proč je lišta všude. Citlivá data sbírá zlomek webů, měřicí skript třetí strany má skoro každý. A ten skript si do prohlížeče ukládá identifikátor, aby poznal, že jste ten samý člověk jako včera. Tím je rozhodnuto: potřebujete souhlas, a souhlas se sbírá lištou.
Co lišta doopravdy řeší
Zeptejte se majitele webu, k čemu tam ta lišta je. Odpověď bývá „kvůli GDPR“, což je zkratka, která zakrývá, o co jde.
Lišta neochraňuje soukromí. Ochrana soukromí by znamenala, že se data nesbírají. Lišta jen mění, kdo za sběr odpovídá: web se zeptá, návštěvník klikne, a od té chvíle je sběr v pořádku, protože si ho návštěvník sám odsouhlasil. Je to právní nástroj, ne technický.
Cookie lišta není ochrana soukromí. Je to přenesení odpovědnosti z provozovatele webu na návštěvníka, který má dvě vteřiny na rozhodnutí a nemá informace
Aby ten přenos platil, musí být souhlas svobodný, informovaný a konkrétní. Odmítnout musí být stejně snadné jako souhlasit a odvolat se musí dát stejně snadno, jako se udělil.
Tady se to celé láme. Web, který tuhle podmínku splní poctivě, přijde o většinu měřených dat. A web, který o data přijít nechce, začne lištu ohýbat.
Ten samý výzkum udělal ještě druhou věc: rozdal lidem různě navržené lišty a měřil, jak se rozhodovali. Výsledky jsou nepříjemně jednoznačné.
- Když z první obrazovky zmizí tlačítko na odmítnutí, souhlas stoupne o 22 až 23 procentních bodů
- Když se na první obrazovku naopak přidají podrobná nastavení, souhlas klesne o 8 až 20 procentních bodů
- Jestli je lišta proužek dole, nebo přehrada přes celou obrazovku, nemá na rozhodnutí měřitelný vliv
Jinými slovy: podíl souhlasů neurčuje to, co si lidé myslí o vašem webu. Určuje ho to, kam někdo umístil tlačítko.
Lišta, která data zachrání: odmítnutí schované pod Nastavením, šedé tlačítko proti barevnému. Souhlasí přes devadesát procent lidí a čísla vypadají skvěle. Je to přesně ta konstrukce, za kterou padají pokuty.
Lišta podle pravidel: Přijmout a Odmítnout vedle sebe, stejně velké. Odmítne přes šedesát procent lidí, měření se scvrkne na třetinu a vy platíte za nástroj, který vidí menšinu návštěv.
Tohle je jádro celé věci. Poctivá lišta a úplná data jsou dva cíle, které jdou proti sobě. Mít oboje nejde. Většina firem si vybere jeden a tváří se, že má oba.
Je to amatérismus, nebo pohodlí
Ani jedno úplně. Je to výchozí nastavení nástrojů, ze kterých se weby skládají.
Když stavíte web na WordPressu, měření se řeší zásuvným modulem. Modul vloží do stránky skript od Googlu. Skript si uloží identifikátor do prohlížeče. A protože jste právě sáhli do zařízení návštěvníka, potřebujete souhlas, takže nainstalujete druhý modul, který vykreslí lištu. Nikdo v té řadě neudělal chybu. Každý krok dával v tu chvíli smysl.
Problém je, že ta cesta vede jen jedním směrem. Krabicové řešení ani běžná šablona nenabízí variantu „počítej návštěvy na serveru a nikomu je neposílej“, protože k tomu potřebujete sáhnout na to, co na serveru běží. Modul instalovaný z galerie běží v prohlížeči, a tam je jediný způsob, jak poznat vracejícího se člověka, uložit mu něco do zařízení.
Takže odpověď zní: pohodlí, které se za pár let usadilo jako norma. Amatérismus začíná až tam, kde se lišta nasadí a nikdo nezkontroluje, co pod ní vlastně běží. To se stává často: skripty se spustí dřív, než člověk klikne, odmítnutí nevypne nic a lišta je jen dekorace, která nechrání ani návštěvníka, ani provozovatele.
Kolik lišta stojí
Náklad je trojí a ani jeden z nich není faktura za nástroj.
Peníze
Evropská komise si to spočítala, když v listopadu 2025 zdůvodňovala návrh na zjednodušení celého systému. Vyšlo jí zhruba 1 200 eur na jeden web za tři roky provozu a přes 800 milionů eur ročně napříč unií. Nejsou to jen licence za nástroj: je v tom nastavení, roztřídění cookies do kategorií, kontroly a právník.
Rychlost
Lišta musí být na stránce dřív než cokoliv, co potřebuje souhlas. Načítá se tedy mezi prvními a zabírá hlavní vlákno prohlížeče přesně ve chvíli, kdy má prohlížeč vykreslovat obsah.
Jak dlouho trvá, než lišta zareaguje na kliknutí
Hodnoty v milisekundách
lišta běží v samostatném rámu
448 ms blokovaného hlavního vlákna v jednom z měření
| Popis | Hodnota |
|---|---|
| Sourcepoint | 6 ms |
| Usercentrics | 56 ms |
| Cookiebot | 57 ms |
| TrustArc | 67 ms |
| Termly | 69 ms |
| Quantcast | 74 ms |
| CookieYes | 81 ms |
| Didomi | 95 ms |
| OneTrust | 104 ms |
| Osano | 225 ms |
| Google Funding Choices | 468 ms |
Dva z jedenácti měřených nástrojů překročí hranici dobré odezvy samy o sobě, ještě než se na stránce stane cokoliv jiného. A to je jen reakce na kliknutí. Horší bývá, co lišta udělá s vykreslením: v jednom měřeném případě se text lišty stal největším prvkem na obrazovce a doba do vykreslení hlavního obsahu vyskočila z 1,43 na 3,61 sekundy. Web tím spadl z pásma dobré do pásma špatné, aniž by se na něm změnilo cokoliv jiného.
Data
Třetí náklad je ten, kvůli kterému se to celé dělalo. Lištu si dáváte na web proto, abyste směli měřit. Jenže po jejím nasazení naměříte míň, než kdybyste ji neměli.
Z čeho se skládá sto návštěv, když měříte cizím skriptem
Složení v procentech
- Uvidíte v přehledu36 %
- Odmítli souhlas54 %
- Skript se vůbec nespustil10 %
Celkem 100 %
| Popis | Hodnota |
|---|---|
| Uvidíte v přehledu | 36 % |
| Odmítli souhlas | 54 % |
| Skript se vůbec nespustil | 10 % |
Ten model je hrubý schválně. U technického publika je blokování mnohem vyšší: srovnání dvou měření na jednom webu, kam mířila návštěvnost z Hacker News a Redditu, ukázalo, že Google Analytics neviděl 58 procent návštěvníků. Na Firefoxu 88 procent, na Chromu 50. U běžné firemní klientely bude blokování nižší, nikdy ale ne nulové.
Google na to má odpověď: režim souhlasu chybějící data dopočítá modelováním, tedy odhadem podle chování lidí, kteří souhlasili. Má to dva háčky. První: v přehledu nepoznáte, co je naměřené a co dopočítané. Druhý, a pro menší firmu podstatnější: modelování se zapne, až když máte aspoň tisíc událostí denně od lidí bez souhlasu po dobu sedmi dnů a zároveň tisíc denně od lidí se souhlasem. Firemní web s pěti sty návštěvami měsíčně se k té hranici nikdy nepřiblíží. Zůstane mu díra a žádná náplast.
Zaplatíte za lištu, zpomalíte web, otravujete návštěvníky a výsledkem je, že o části z nich nevíte vůbec nic
Jak se dá měřit bez lišty
Vraťme se k tomu, co pravidlo doopravdy říká. Souhlas potřebujete, když ukládáte data do zařízení návštěvníka nebo je z něj čtete. Když neděláte ani jedno, není k čemu se vyjadřovat.
Server přitom o návštěvě ví tak jako tak. Musí, jinak by nemohl stránku odeslat. Zná adresu stránky, čas, druh prohlížeče i to, odkud člověk přišel. Tyhle údaje se dají spočítat na místě a uložit jako čísla v souhrnu, aniž by se do prohlížeče cokoliv zapsalo.
Zbývá jediná otázka: jak poznat, že dvě zobrazení patří jednomu člověku, aniž byste ho označkovali. Řešení, které na svých webech používám, vypadá takhle.
- 1Z IP adresy, druhu prohlížeče a dnešního data se spočítá otisk, tedy nevratný haš.
- 2Do výpočtu vstupuje náhodná sůl, která vznikne při startu aplikace, žije jen v paměti a nikam se neukládá.
- 3Uloží se otisk místo IP adresy. Zpětně z něj IP dopočítat nejde, protože sůl nemá k dispozici nikdo, ani já.
- 4Sůl se každý den mění, takže se otisk téhož člověka po půlnoci rozejde. Návštěva se dá složit dohromady, profil napříč týdny ne.
- 5Podrobné záznamy se po šedesáti dnech mažou. Zůstanou denní souhrny, ze kterých nejde dohledat nikdo konkrétní.
Do prohlížeče se nezapíše nic. Žádná cookie, žádný záznam v úložišti stránky, žádné čtení z něj. Pravidlo o souhlasu na to nedopadá, protože se nedotýká zařízení. A v databázi nezůstane údaj, ze kterého by šel identifikovat člověk, takže nemá co řešit ani ochrana osobních údajů.
Cena za to je poctivá a je fér ji říct nahlas. Tohle měření nepozná, že se stejný člověk vrátil za tři týdny. Nespojí klik v reklamě v pondělí s objednávkou v pátek. Neumí reklamní publika. Ví, kolik lidí přišlo, odkud, co četli, jak daleko dočetli, kde odešli a kolik z nich odeslalo poptávku. Pro naprostou většinu firemních webů je to přesně ta množina otázek, na které si někdo opravdu odpoví.
| Cizí skript s lištou | Měření na vlastním serveru | |
|---|---|---|
| Souhlas návštěvníka | Nutný, bez něj se skript nesmí spustit | Není potřeba, do zařízení se nic neukládá |
| Kolik návštěv uvidíte | Jen ty se souhlasem a bez blokátoru | Všechny, včetně Firefoxu s blokátorem |
| Kde data leží | Na serverech provozovatele nástroje | Ve vaší databázi vedle zbytku webu |
| Vliv na rychlost | Skript lišty a skript měření před obsahem | Žádný, počítá se při odeslání stránky |
| Vracející se návštěvník | Pozná ho podle uloženého identifikátoru | Nepozná, otisk se každý den mění |
| Reklamní publika a remarketing | Umí, to je hlavní důvod, proč nástroj existuje | Neumí a ani se o to nesnaží |
| Kdo čísla vidí | Vy a provozovatel nástroje | Jen vy |
Kdy lištu opravdu potřebujete
Nebudu tvrdit, že se bez ní obejde každý. Jsou případy, kdy je nutná a kdy je snaha ji obejít jen tichým porušováním pravidel:
- Sbíráte publika pro reklamu, děláte remarketing nebo měříte konverze z Google Ads a Meta. Bez identifikátoru v prohlížeči to nefunguje
- Máte na webu vložené video z YouTube, mapu, chat, nástroj na testování variant nebo nahrávání relací. Každý z nich sahá do zařízení sám za sebe
- Provozujete e-shop s doporučováním zboží podle chování, s košíkem napříč zařízeními nebo s věrnostním programem
- Pracujete s přiřazením konverzí přes víc dní a kanálů a to číslo něco řídí
V těch případech lištu mít musíte a má smysl ji udělat pořádně, ne aby vypadala jako u konkurence. Rozdíl proti běžnému stavu je v tom, že tady je lišta vědomé rozhodnutí, ne vedlejší produkt toho, že se web poskládal ze zásuvných modulů.
A i tam jde oddělit dvě věci. Základní návštěvnost měřit na serveru, tedy u všech lidí bez výjimky, a souhlas sbírat jen kvůli reklamním nástrojům. Když pak polovina lidí lištu odmítne, přijdete o reklamní publika, ne o přehled, kolik vám chodí lidí a odkud.
Past jménem „bez cookies“
Kolem řešení „bez cookies“ se dnes prodává hodně věcí a část z nich pravidlo obchází jen naoko. Evropský sbor pro ochranu osobních údajů to v pokynech přijatých v říjnu 2024 postavil najisto: rozhoduje se podle toho, jestli se sahá do zařízení, ne podle toho, jak se tomu říká.
Do působnosti pravidla proto spadají i sledovací pixely v obrázcích, odkazy s připojenými identifikátory, otisk prohlížeče a v některých případech i práce s IP adresou. Nástroj, který místo cookie posbírá z prohlížeče třicet vlastností a složí z nich jedinečný podpis zařízení, souhlas potřebuje úplně stejně. Jen o tom mlčí.
Rozdíl je v tom, co se dělá se zařízením návštěvníka, ne v tom, co je napsané na obalu.
Co se chystá a proč to stojí za pozornost
Evropská komise předložila v listopadu 2025 balík zvaný Digital Omnibus, který má cookie lišty výrazně omezit. Pro provozovatele webů jsou podstatné tři věci:
- Pravidla o cookies se přesouvají ze směrnice o soukromí přímo do GDPR, do nových článků 88a a 88b. Vedle jiného to znamená sankční strop až 4 procenta celosvětového obratu
- Vzniká výslovná výjimka pro měření návštěvnosti: agregovaná statistika o užívání služby, kterou si provozovatel dělá výhradně pro sebe, nemá souhlas vyžadovat
- Volbu ponese prohlížeč a web ji bude muset respektovat. Kdo odmítne, nesmí být na totéž dotázán dřív než za šest měsíců
Zatím je to návrh, ne právo. V polovině roku 2026 běží vyjednávání mezi Parlamentem a Radou, cookie ustanovení patří ke sporným bodům a přijetí se nečeká dřív než na konci roku. Do té doby platí dnešní stav.
Směr je ale čitelný a stojí za zvážení při rozhodování o novém webu. Výjimka, o které se jedná, je psaná přesně na měření, které si provozovatel dělá sám pro sebe a nikam ho nepředává. Web postavený takhle dnes ustojí obě varianty: vyhovuje tomu, co platí teď, a po případném přijetí novely se nebude muset měnit vůbec.
Jak si za deset minut ověříte, jak na tom jste
- 1Otevřete svůj web v anonymním okně a lištu nechte být, nic neklikejte. V nástrojích pro vývojáře v záložce Application se podívejte na uložené cookies. Cokoliv nad rámec technických tam v tu chvíli být nesmí.
- 2Dejte Odmítnout vše a projděte seznam znovu. Když po odmítnutí přibyly, lišta nedělá to, co tvrdí.
- 3V záložce Network si seřaďte požadavky podle domény a vypište si všechny cizí. Ke každé napište, k čemu tam je. Ty, u kterých to nevíte, jsou kandidáti na smazání.
- 4Porovnejte počet návštěv v měřicím nástroji s počtem požadavků na stránky v logu serveru nebo u hostingu. Rozdíl je to, co nevidíte.
- 5Sepište, která čísla z přehledu jste za poslední rok skutečně použili k rozhodnutí. Většinou jich je pět, ne padesát. Pak se ptejte, jestli kvůli nim potřebujete lištu.
Poslední bod bývá nejnepříjemnější a zároveň nejužitečnější. Většina firemních webů má nasazený nástroj postavený pro velké e-shopy, používá z něj tři čísla a platí za to lištou, rychlostí a částí návštěvnosti, o které neví.
Jak to dělám já
Weby, které stavím, měří samy sebe. Není to knihovna ani cizí služba, je to část webu, kterou máte v administraci vedle poptávek. Konkrétně:
- Nula cizích skriptů. Žádný Google Analytics, žádné písmo z cizí domény, žádné tlačítko sociální sítě, které by s sebou přitáhlo sledování
- Žádná cookie lišta, protože není co odsouhlasit
- Přehled v administraci: kolik lidí přišlo, odkud, které stránky čtou a jak daleko, kde odcházejí, co hledali a nenašli, kolik návštěv skončilo poptávkou
- Rychlost naměřená na skutečných návštěvnících, ne jen simulace z PageSpeed. Tytéž metriky, které hodnotí Google
- Roboti se počítají zvlášť, včetně těch od jazykových modelů, takže vidíte i to, jestli si váš web čte ChatGPT nebo Claude
- Podrobné záznamy se po šedesáti dnech mažou samy, zůstanou souhrny
Typický firemní web: WordPress, modul na Google Analytics, modul na lištu, pixel od Facebooku, písmo z cizí domény. Návštěvník odklikne otázku, kterou nechtěl, a vy stejně vidíte jen část lidí.
Web na míru s vlastním měřením: návštěvník rovnou vidí obsah, do zařízení se mu nic nezapíše a vy v administraci vidíte všechny návštěvy, ne jen ty odsouhlasené.
Musí mít každý web cookie lištu?
Ne. Lišta je potřeba jen tehdy, když web ukládá do zařízení návštěvníka data nad rámec technicky nezbytných nebo je z něj čte. Web, který měří návštěvnost na vlastním serveru a nemá na sobě cizí skripty, souhlas nesbírá, protože není k čemu ho dávat.
Potřebují analytické cookies souhlas i v Česku?
Ano. ÚOOÚ řadí cookies určené ke sledování návštěvnosti mezi netechnické, tedy ty, které se do zařízení smějí ukládat jen se souhlasem. Výjimka v § 89 odst. 3 zákona o elektronických komunikacích pokrývá jen přenos zprávy a to, co je nezbytné pro službu, kterou si uživatel výslovně vyžádal. Ve Francii má měření návštěvnosti za přísných podmínek vlastní výjimku, v Česku ne.
Hrozí za špatně udělanou cookie lištu pokuta?
Ano a nejsou to symbolické částky. Francouzský úřad uložil v září 2025 pokutu 325 milionů eur Googlu a 150 milionů eur Sheinu za cookies ukládané bez souhlasu. V Česku je nejvyšší pravomocná pokuta za cookies 898 tisíc korun. Nejčastější prohřešek je pořád stejný: skripty se spustí dřív, než návštěvník klikne.
Je Google Analytics zakázaný?
Ne. Po rozhodnutích z roku 2022 se situace uklidnila díky rámci pro předávání dat mezi EU a USA, který v září 2025 obstál u Tribunálu Evropské unie. Odvolání k Soudnímu dvoru běží. Používat ho tedy lze, ale potřebujete souhlas návštěvníka a musíte počítat s tím, že se právní podklad může znovu pohnout.
Přijdu odstraněním Google Analytics o data pro SEO?
Ne. Údaje o pozicích ve vyhledávání, o zobrazeních a klicích z výsledků jsou v Google Search Console, která na webu žádný skript nepotřebuje. Zůstanou vám i po odstranění měřicího skriptu.
Pozná měření bez cookies vracejícího se návštěvníka?
Ne a je to vědomá cena. Aby to šlo, muselo by si měření uložit trvalý identifikátor, a tím by se dostalo přesně tam, kde začíná povinnost sbírat souhlas. Pro firemní web to bývá dobrý obchod: víte, kolik lidí chodí, odkud a co dělají, a nesledujete jednotlivce.
Co když inzerujeme v Google Ads?
Pak lištu potřebovat budete, protože měření konverzí a remarketing bez identifikátoru v prohlížeči nefungují. Rozumné je oddělit dvě věci: běžnou návštěvnost měřit na serveru bez souhlasu a souhlas sbírat jen kvůli reklamním nástrojům. Základní čísla tím zůstanou úplná i u lidí, kteří lištu odmítnou.
Zruší Evropská unie cookie lišty?
Návrh Digital Omnibus z listopadu 2025 je chce výrazně omezit: zavádí výjimku pro měření návštěvnosti a přenáší volbu do prohlížeče. V polovině roku 2026 je to stále jednání, ne platné právo, a přijetí se nečeká dřív než na konci roku. Weby, které dnes měří samy a lištu nemají, se po případném přijetí měnit nebudou.