Cookies lišta na e-shope:povinnosti v roku 2026

Skontrolujte svoj e-shop zadarmo: odstúpenie, zásady, cookies

Krátka odpoveď: e-shop smie bez súhlasu ukladať len nevyhnutné cookies, napríklad košík alebo prihlásenie počas jednej návštevy. Google Analytics, Meta Pixel, Heureka či Sklik smú bežať až po kliknutí na súhlas. Lišta musí mať odmietnutie všetkých cookies už v prvej vrstve a zavretie krížikom nie je súhlas. Pokuta je od 200 € do 5 % obratu. Pravidlo platí od roku 2022, naposledy ho zákon spresnil 12. 11. 2025.

Veľká zmena roku 2026 pre e-shopy sa cookies netýka: od 19. 6. 2026 musí mať e-shop funkciu na odstúpenie od zmluvy, ktorú rozoberáme v článku o funkcii na odstúpenie od zmluvy. Pri cookies platí povinnosť súhlasu zo zákona účinného od 1. 2. 2022.

Regulačný úrad weby kontroluje a pokutuje. Nižšie je, čo smie bežať bez súhlasu, čo presne musí mať lišta podľa stanoviska úradu, ako ju nastaviť na Shoptete, v doplnkoch pre WordPress a v Google Tag Manageri a ako si overiť, že skripty naozaj čakajú na súhlas.

Čo platí v roku 2026 a čo je zatiaľ len návrh

Základ je § 109 ods. 8 zákona č. 452/2021 Z. z. Informácie do zariadenia návštevníka smiete ukladať alebo z neho čítať, len ak dal preukázateľný súhlas. Výnimkou je to, čo je bezpodmienečne potrebné na službu, ktorú si návštevník sám výslovne vyžiadal.

Posledná zmena prišla 12. 11. 2025. Odvtedy zákon výslovne žiada súhlas, ktorý spĺňa náležitosti podľa článku 4 ods. 11 GDPR, teda slobodný, konkrétny, informovaný a jednoznačný. Regulačný úrad to tak vykladal už vo svojom stanovisku, od tohto dňa to hovorí priamo zákon. V piatich verziách zákona, ktoré začali platiť v roku 2026, je toto znenie rovnaké.

Pokutu za cookies ukladá Úrad pre reguláciu elektronických komunikácií a poštových služieb. Podľa § 124 ods. 3 je to od 200 € do 5 % z obratu za predchádzajúce účtovné obdobie a týka sa firiem aj živnostníkov. Do 31. 8. 2023 bola horná hranica 10 % z obratu, od 1. 9. 2023 je 5 %. Staršie články preto uvádzajú 10 %.

Pri prvom porušení niektorých povinností dá úrad namiesto pokuty len upozornenie, § 109 ods. 8 však medzi nimi nie je. Firma, ktorá za predchádzajúce účtovné obdobie nemala obrat alebo sa nedá vypočítať, napríklad úplne nová, môže dostať pokutu najviac do 300-tisíc eur. Pokutu možno uložiť do dvoch rokov od zistenia porušenia, najneskôr do štyroch rokov od porušenia.

Úrad kontroluje z vlastnej iniciatívy aj na podnet a používa aj vlastný nástroj Cookies Auditor. V tlačovej správe, ktorú naposledy aktualizoval 27. 8. 2025, píše, že ukladanie cookies bez preukázateľného súhlasu je na slovenských weboch pretrvávajúci problém. Predseda úradu v nej uvádza, že od účinnosti zákona úrad urobil viac ako 105 kontrol webov a uložil pokuty spolu za viac ako 80-tisíc eur. Novšie súhrnné číslo sme 25. 9. 2026 nenašli.

Čo zatiaľ neplatí: Európska komisia 19. 11. 2025 navrhla v balíku Digital Omnibus presunúť pravidlá o cookies do GDPR a umožniť súhlas jedným kliknutím platný šesť mesiacov alebo uložené nastavenie v prehliadači. K 1. 8. 2026 bol návrh stále v legislatívnom procese a hlasovanie o mandáte Rady bolo zrušené. Kým návrh neprejde, riadite sa slovenským zákonom.

Ktoré cookies e-shop smie bez súhlasu a ktoré nie

O výnimke rozhoduje účel cookie, nie jej technická vlastnosť. Typické prípady rozoberá stanovisko WP 194 z roku 2012, poradný výklad európskych úradov na ochranu údajov, nie záväzné pravidlo. Slovenský regulačný úrad vo svojom stanovisku píše, že cookies tretích strán spravidla nevyhnutné nie sú.

Bez súhlasu, lebo ide o službu, o ktorú zákazník sám požiadal:

  • nákupný košík, ktorý si pamätá tovar pridaný tlačidlom do košíka, aj keď pretrvá niekoľko hodín po zatvorení prehliadača,
  • prihlásenie do účtu počas jednej návštevy; trvalé prihlásenie cez viac návštev už výnimkou nie je.

Len so súhlasom:

  • analytika, aj vlastná, napríklad Google Analytics, ktorá ukladá cookie _ga s platnosťou 2 roky,
  • reklama a remarketing: Meta Pixel, ktorý pri cookies prvej strany ukladá _fbp, Google Ads, TikTok Pixel, Sklik, Microsoft Advertising, Pinterest Tag, LinkedIn Insight Tag a Leadhub,
  • ďalšie sledovanie tretích strán, napríklad Hotjar, Microsoft Clarity alebo meranie konverzií Heureka.

Pozor na zmiešaný účel. Ak jedna cookie slúži na viac účelov, výnimku má len vtedy, keď ju má každý z nich. Podobne pri analytike: ak v lište poviete, že meriate návštevnosť, tie isté údaje nesmiete použiť na marketing.

Čo musí mať lišta podľa regulačného úradu

Úrad v stanovisku, ktoré vydal spolu s Úradom na ochranu osobných údajov SR, vymenúva body, ktoré musí lišta splniť všetky naraz:

  1. tlačidlo, ktoré jedným kliknutím prijme všetky cookies,
  2. tlačidlo, ktoré jedným kliknutím odmietne všetky cookies, a to už v prvej vrstve lišty, nie až v nastaveniach,
  3. voľbu medzi druhmi cookies, napríklad analytickými a marketingovými, bez vopred zaškrtnutých políčok okrem nevyhnutných,
  4. možnosť prehliadať a nakupovať aj bez súhlasu,
  5. jasné rozlíšenie, ktoré cookies sú nevyhnutné a ktoré sa ukladajú len so súhlasom,
  6. ak má lišta krížik, po jej zavretí bežia len nevyhnutné cookies.

Chyby, ktoré stanovisko výslovne označuje za nesprávne:

  • tlačidlo „Rozumiem“: nevyjadruje súhlas, treba napríklad „Súhlasím“ alebo „Prijať“,
  • lišta cez celú stránku, bez ktorej odkliknutia sa nedá pokračovať: súhlas je vynútený, nie slobodný,
  • zelené „Povoliť všetko“ a červené ostatné tlačidlá: dizajn navádza na súhlas,
  • len „Povoliť všetko“ a „Odmietnuť všetko“ bez voľby druhov, hoci e-shop používa analytiku alebo marketing,
  • sledovacie cookies uložené hneď pri prvej návšteve s tým, že lišta sa pýta až potom.

Aby bol súhlas informovaný, návštevník má vedieť, kto cookies používa, na aký účel, aké údaje a že súhlas môže odvolať. Časť môže byť priamo v lište a zvyšok v zásadách používania cookies. Odvolanie má byť rovnako jednoduché ako udelenie súhlasu. Úrad odporúča ľahko dostupné tlačidlo s cookies na stránke alebo možnosť zmeniť voľby v zásadách cookies. Dôkaz, že súhlas bol daný slobodne, musíte vedieť predložiť vy.

Ako lištu opraviť: Shoptet, WordPress, Google Tag Manager a režim súhlasu

Ak inzerujete cez Google Ads alebo používate Google Analytics, Google od vás pri návštevníkoch z Európskeho hospodárskeho priestoru žiada získať súhlas a posielať mu signály súhlasu. Režim súhlasu lištu nenahrádza, len odovzdá značkám Google, čo návštevník na lište zvolil, napríklad parametrami ad_user_data a ad_personalization. Lištu podľa slovenského zákona teda potrebujete tak či tak.

Postup podľa návodov samotných výrobcov; ich sľuby sme netestovali:

  1. Shoptet: lištu nastavíte v administrácii na stránke Vzhľad a obsah, Cookies pod záložkou Nastavenia. Shoptet píše, že na splnenie zákonných podmienok treba voľbu Potrebný súhlas; pri voľbe Informácie o súboroch cookie sa analytika a marketing spúšťajú hneď po príchode zákazníka. Zapnite aj Zobraziť tlačidlo odmietnuť všetko, lebo úrad chce odmietnutie už v prvej vrstve, a nastavenie súhlasu v pätičke, aby zákazník mohol voľbu neskôr zmeniť. Lištu nedávajte na stred obrazovky, podľa Shoptetu to nezodpovedá odporúčaniam Úradu na ochranu osobných údajov. Na prípadnú kontrolu slúži Export súhlasov do CSV.
  2. WordPress a WooCommerce: súhlas rieši doplnok, napríklad Complianz, CookieYes alebo Cookiebot. Podľa svojich stránok na wordpress.org blokujú cookies do súhlasu a podporujú režim súhlasu Google; ktorý si vyberiete, je na vás. Naša kontrola tieto doplnky v kóde stránky rozpozná. Samotný WooCommerce podľa svojej dokumentácie ukladá cookies košíka, napríklad woocommerce_cart_hash a wp_woocommerce_session_, a osobné údaje v nich nie sú.
  3. Google Tag Manager: v Admin, Container Settings zapnite Enable consent overview. Značka nástroja na súhlas patrí na spúšťač Consent Initialization, ktorý beží pred ostatnými. Značky Google Ads, Google Analytics a Floodlight majú vstavanú kontrolu súhlasu; pri ostatných, napríklad pri vlastnom kóde Meta Pixelu, voľba Not set súhlas nekontroluje. Pri nich v Advanced Settings, Consent Settings zvoľte Require additional consent for tag to fire a doplňte ad_storage pre marketing alebo analytics_storage pre analytiku. Značka sa potom spustí, len keď je súhlas udelený.
  4. Základný alebo rozšírený režim súhlasu: v základnom režime sa značky Google nenačítajú, kým návštevník na lište neklikne, a bez súhlasu Google nedostane nič. V rozšírenom sa načítajú hneď a pred súhlasom posielajú merania bez cookies; cookies zapisujú až po súhlase. Stanovisko slovenského úradu režim súhlasu Google nespomína, rozšírený režim teda výslovne neposudzuje. Ak nechcete, aby pred súhlasom odchádzalo čokoľvek, zvoľte základný režim. Shoptet k tomu píše, že po odmietnutí posiela Googlu „iba tzv. základné anonymizované dáta“.

Ako to overiť: naša kontrola a pohľad do prehliadača

Takto znejú hlásenia našej bezplatnej kontroly e-shopu na vzorových e-shopoch z našich testov:

  • Google Analytics a Meta Pixel bez lišty, Nález: „Beží Google Analytics a Meta Pixel, ale v kóde úvodnej stránky sme nenašli nástroj na súhlas s cookies. Sledovacie cookies sa smú ukladať až po súhlase návštevníka.“
  • lišta „Tento web používa cookies.“ len s tlačidlom OK, Nevieme overiť: „z kódu nevieme povedať, či ponúka voľbu (prijať aj odmietnuť), alebo len oznamuje. Lišta, ktorá len oznamuje, na súhlas nestačí“
  • lišta Cookie Notice s tlačidlami Súhlasím aj Odmietnuť, V poriadku, s dovetkom: „Či skripty naozaj čakajú na súhlas, zistí až kontrola v prehliadači, tú táto verzia nerobí.“
  • len Google Tag Manager, Nevieme overiť: „Mohol by sa načítať cez Google Tag Manager, to bez prehliadača nevidíme.“

Pri vzorke s Meta Pixelom kontrola našla ešte jednu vec: pixel nebol menom uvedený v zásadách ochrany osobných údajov, čo je samostatný Nález v riadku o príjemcoch. Lišta a zásady spolu súvisia, lebo pri súhlase majú byť vymenovaní aj ďalší prevádzkovatelia, ktorí sa oň opierajú.

Kontrola beží bez prehliadača a číta len kód stránky, preto nevidí, či skripty naozaj čakajú na súhlas. To overíte sami: otvorte e-shop v súkromnom okne Chrome, na lištu nekliknite a v nástrojoch pre vývojárov otvorte Application, Storage, Cookies. Ak tam pred kliknutím vidíte _ga alebo _fbp, Google Analytics alebo Meta Pixel ukladajú cookies ešte pred súhlasom, a to stanovisko úradu nepripúšťa.

Prázdna tabuľka cookies ešte neznamená, že je všetko v poriadku:

  • v rozšírenom režime súhlasu sa značky Google načítajú hneď a merania bez cookies posielajú aj pred súhlasom, pohľad do cookies to neukáže,
  • stanovisko úradu platí aj pre iné ukladanie do zariadenia, napríklad fingerprinting alebo web beacon, preto pozrite aj Application, Storage, Local Storage,
  • súkromné okno Chrome predvolene blokuje cookies tretích strán, takže cookies reklamných služieb z iných domén sa v ňom nemusia ukázať.

Vlastná skúsenosť: arling.sk nemá cookie lištu, lebo nenastavuje cookies. Návštevy počítame vlastným Umami bez cookies a odpovede nášho servera 25. 9. 2026 nemali hlavičku Set-Cookie. Kto používa len nevyhnutné cookies, súhlas pýtať nemusí; úrad len odporúča o nich návštevníka informovať.

Časté otázky

Potrebuje cookies lištu e-shop, ktorý nemá analytiku ani reklamu?

Súhlas nepotrebuje, ak ukladá len nevyhnutné cookies, napríklad košík. Úrad odporúča návštevníka aj vtedy informovať a slovo „Rozumiem“ je v takom prípade v poriadku. Preverte však vložené služby tretích strán, ich cookies spravidla nevyhnutné nie sú.

Stačí, keď sa Google Analytics spustí po zavretí lišty krížikom?

Nie. Zavretie lišty nie je súhlas a po ňom smú bežať len nevyhnutné cookies. Analytika potrebuje aktívne kliknutie na tlačidlo s jednoznačným textom, napríklad „Prijať“ alebo „Súhlasím“.

Koľko hrozí za zle nastavenú lištu?

Podľa aktuálneho znenia zákona od 200 € do 5 % z obratu za predchádzajúce účtovné obdobie; do 31. 8. 2023 bola horná hranica 10 %. Firma bez obratu v predchádzajúcom účtovnom období, napríklad nová, môže dostať až 300-tisíc eur. Upozornenie namiesto pokuty pri prvom porušení sa na cookies nevzťahuje. Úrad prihliada aj na nápravu a od účinnosti zákona do augusta 2025 uložil pokuty spolu za viac ako 80-tisíc eur.

Platí to aj pre živnostníka a malý e-shop na Shoptete?

Áno. Pokutu za cookies ukladá úrad právnickej osobe aj fyzickej osobe podnikateľovi, teda aj živnostníkovi. Na Shoptete máte vstavanú lištu, ktorú naša kontrola rozpozná; rozhoduje, ako ju nastavíte, najmä voľba Potrebný súhlas a tlačidlo na odmietnutie všetkého.

Ako často sa smie lišta pýtať znova? Je to 13 mesiacov?

Slovenský zákon ani stanovisko úradu lehotu neurčujú, 13 mesiacov teda nie je slovenské pravidlo. Francúzsky úrad CNIL považuje za dobrú prax uchovať voľbu súhlasu aj odmietnutia 6 mesiacov. Shoptet ukladá súhlas na šesť mesiacov a po odmietnutí zobrazí lištu znova po počte dní, ktorý si nastavíte.

Skontrolujte svoj e-shop

Zadajte adresu do bezplatnej kontroly e-shopu a pozrite sa na riadok Súhlas s cookies pri sledovacích skriptoch. Kontrola je zadarmo, bez registrácie a bez e-mailu a nie je to právne poradenstvo; či skripty naozaj čakajú na súhlas, overíte až v prehliadači.

Ak kontrola nájde problém so zásadami alebo cookies, ponúkne balík GDPR dokumentov predvyplnený nájdenými službami. Balík obsahuje aj zásady používania cookies s textom lišty; zásady ochrany osobných údajov sú zadarmo a celý balík stojí 39 € s DPH.

Zdroje

Fakty v článku sú očíslované podľa interného podkladu a overené k dátumu vydania. Ak niektorý zdroj zmenil znenie, napíšte na podpora@arling.sk a článok opravíme.

Adresu e-shopu zadáte na stránke kontroly e-shopu: server prečíta úvodnú stránku a najviac tri ďalšie z päty a ukáže sedem riadkov so stavom a zdrojom (funkcia na odstúpenie, zrušená platforma RSO, zásady, príjemcovia, cookies, údaje o predávajúcom, podmienky). Je to zadarmo, bez registrácie a bez e-mailu, adresu neukladáme. Je to automatická kontrola verejnej stránky, nie právne poradenstvo.