Webstránka musí plniť zákonné povinnosti vždy, keď spracúva osobné údaje alebo ukladá cookies, a to platí pre e-shop, firemnú vizitku aj web penziónu. Základ tvoria tri veci: identifikačné údaje podnikateľa, informácia o spracúvaní osobných údajov a cookies lišta, ktorá analytické a marketingové cookies spustí až po súhlase. Pokuty podľa GDPR môžu dosiahnuť 20 miliónov € alebo 4 % obratu a pri cookies sú nároky prísne. V článku nájdete prehľad zákonov, praktickú kontrolu cookies lišty, nedávne zmeny (zrušená platforma ODR, zákon o prístupnosti) a príklad z praxe.
Ktoré zákony sa týkajú firemného webu?
Povinnosti webu nevyplývajú z jedného zákona. Stránka, ktorá zbiera údaje a používa cookies, sa riadi viacerými predpismi naraz a ich okruh sa mení podľa toho, či ide o vizitku, e-shop alebo rezervačný systém.
| Predpis | Čo upravuje na webe | Koho sa týka |
|---|---|---|
| GDPR (nariadenie EÚ 2016/679) | Spracúvanie osobných údajov: formuláre, rezervácie, newsletter, analytika, informovanie návštevníkov a ich práva | Každý web, ktorý spracúva osobné údaje |
| Zákon č. 452/2021 Z. z. o elektronických komunikáciách, § 109 ods. 8 | Súhlas s ukladaním informácií do zariadenia návštevníka alebo s prístupom k nim (cookies) | Každý web s cookies okrem nevyhnutných |
| Obchodný zákonník | Identifikačné údaje: obchodné meno, sídlo, IČO, register a číslo zápisu | Podnikatelia, aj bez e-shopu |
| Zákon č. 22/2004 Z. z. o elektronickom obchode | Navyše DIČ (ak ste platiteľ DPH), e-mail, telefón a dozorný orgán | E-shopy a online obchod |
| Zákon č. 102/2014 Z. z. o predaji na diaľku | Informácie pred objednávkou: cena, platba, dodanie, reklamácie, odstúpenie od zmluvy | Predaj spotrebiteľom online |
| Zákon č. 351/2022 Z. z. o prístupnosti výrobkov a služieb | Prístupnosť online služieb pre osoby so zdravotným postihnutím | E-shopy a online služby, mikropodniky sú vyňaté |
Identifikačné údaje patria do pätičky alebo na stránku Kontakt, Obchodný zákonník presné miesto nepredpisuje. Podľa Podnikajte.sk ide o obchodné meno, sídlo, IČO, register a číslo zápisu, pri e-shope aj DIČ, e-mail, telefón a dozorný orgán (v praxi SOI). Zdroj je z roku 2019, preto si aktuálne znenie zákonov pri revízii webu overte.
Kedy web spracúva osobné údaje a čo musíte uviesť?
Osobné údaje web spracúva nielen pri e-shope. Stačí kontaktný formulár, rezervačný dopyt, prihlásenie na newsletter alebo komentár. GDPR vyžaduje, aby ste návštevníka informovali, kto jeho údaje spracúva, na aký účel a na akom právnom základe, ako dlho ich uchováva a aké má práva. Patrí to na stránku Zásady ochrany osobných údajov a stručný odkaz priamo pri formulári.
Súhlas pritom nie je jediný možný právny základ. Odpoveď na dopyt alebo vybavenie rezervácie sa zvyčajne opiera o iný základ a pri formulári stačí správna informácia o spracúvaní. Samostatný, nepredzaškrtnutý a od marketingu oddelený súhlas potrebujete napríklad na newsletter. Správny právny základ pre každý účel si určte s právnikom. Pri technických kontrolách webov sa najčastejšie opakujú štyri chyby:
- Formulár nemá checkbox so súhlasom tam, kde je súhlas potrebný.
- Checkbox je predzaškrtnutý.
- Formulár sa dá odoslať aj bez potvrdenia súhlasu.
- Súhlas sa nikde neeviduje, takže ho neviete preukázať.
Ako majú fungovať cookies a čo žiada slovenský úrad?
Cookies upravuje na Slovensku § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách, nielen GDPR. Stanovisko k nim vydal Regulačný úrad pre elektronické komunikácie a poštové služby v spolupráci s Úradom na ochranu osobných údajov. Súhlas treba pri všetkých cookies okrem nevyhnutných, a to pred ich uložením, a musí byť preukázateľný. Nevyhnutné sú len tie, bez ktorých služba, o ktorú návštevník výslovne žiada, nefunguje. Analytické, štatistické a marketingové cookies, vrátane cookies tretích strán, ako sú Google Analytics či Meta Pixel, nevyhnutné spravidla nie sú.
- Prvá vrstva: Len Prijať, odmietnutie ukryté v nastaveniach
- Výber účelov: Predzaškrtnuté polia alebo jeden súhlas na všetko
- Vzhľad tlačidiel: Výrazné Prijať a nenápadný odkaz Odmietnuť (vodiace farby)
- Zatvorenie krížikom: Krížik znamená súhlas
- Prístup k obsahu: Lišta cez celú obrazovku, ktorú treba potvrdiť
- Text tlačidla: Rozumiem pri analytických či marketingových cookies
- Odvolanie súhlasu: Odvolanie len cez e-mail
- Prvá vrstva: Tlačidlo Prijať všetko aj rovnako ľahké Odmietnuť všetko
- Výber účelov: Nevyhnutné cookies vždy, ostatné nezaškrtnuté, samostatný súhlas pre každý účel
- Vzhľad tlačidiel: Rovnaký dizajn všetkých možností
- Zatvorenie krížikom: Berie sa ako odmietnutie, ukladajú sa len nevyhnutné cookies
- Prístup k obsahu: Web je použiteľný aj bez súhlasu
- Text tlačidla: Prijať, Súhlasím
- Odvolanie súhlasu: Kedykoľvek, rovnako jednoducho ako udelenie
Súhlas sa podľa stanoviska úradu spravidla obnovuje po 12 mesiacoch a ak ho návštevník odmietne, nemá sa pýtať znova aspoň 12 mesiacov. Server by mal evidovať jedinečný identifikátor prehliadača, ktorý ukazuje, či bol súhlas udelený alebo odmietnutý. Zákon konkrétnu lehotu nestanovuje, ide o odporúčanie úradu. Kto cookies dozoruje, nie je úplne jasné: podľa Podnikajte.sk môžu postupovať Regulačný úrad aj ÚOOÚ, preto počítajte s oboma.
Ako zistiť, či cookies lišta naozaj funguje?
Najčastejšia chyba pri technických auditoch nie je chýbajúca lišta, ale lišta, ktorá je len formálna: Google Analytics alebo reklamné skripty sa spustia hneď po načítaní stránky a lišta na tom nič nemení. Funkčnosť zistíte za pár minút bez špeciálnych nástrojov:
Aby ste nemali uložený žiadny predchádzajúci súhlas.
Ešte pred kliknutím na lištu pozrite, či sa nenačítavajú požiadavky na Google Analytics, Google Tag Manager, Meta Pixel alebo reklamné siete.
Analytické a marketingové požiadavky sa nesmú objaviť.
Až teraz sa majú tieto skripty spustiť.
A porovnajte uložené cookies so zoznamom v zásadách o cookies.
Ak sa skripty spúšťajú pred súhlasom alebo po odmietnutí, lišta zákonu nevyhovuje, hoci vyzerá správne. Rovnaký test platí pre vložené mapy, videá a chaty, ktoré môžu ukladať cookies tiež.
Aké pokuty hrozia a čo ukazujú skutočné prípady?
Rozpätie sankcií je široké a závisí od toho, ktorý predpis porušíte. Tabuľka zhŕňa horné hranice a niekoľko overených príkladov.
| Predpis alebo úrad | Strop pokuty | Za čo |
|---|---|---|
| GDPR, čl. 83 ods. 5 | do 20 mil. € alebo 4 % celosvetového ročného obratu, podľa toho, čo je vyššie | Porušenie zásad spracúvania, súhlasu a práv dotknutých osôb |
| GDPR, čl. 83 ods. 4 | do 10 mil. € alebo 2 % obratu | Napríklad povinnosti pri zabezpečení a pri sprostredkovateľoch |
| Zákon č. 452/2021 (cookies) | od 200 € do 10 % z obratu | Cookies bez preukázateľného súhlasu |
| Zákon č. 351/2022 (prístupnosť) | od 200 € do 30 000 € | Nesplnenie požiadaviek na prístupnosť |
| CNIL (Francúzsko), 2025 | Google 325 mil. €, Shein 150 mil. € | Reklamné cookies bez slobodného a informovaného súhlasu |
Ide o stropy, nie o typickú pokutu. Výšku určuje závažnosť, trvanie a okolnosti porušenia, preto z tabuľky nevyčítate, koľko by zaplatil konkrétny malý web. Francúzsky príklad ukazuje, čo úrady sledujú: súhlas musí byť slobodný a informovaný. Podnet na kontrolu pritom môže podať ktokoľvek, napríklad návštevník alebo konkurent.
Čo navyše potrebuje web penziónu, e-shopu alebo rezervačný formulár?
Ak cez web predávate alebo prijímate objednávky od spotrebiteľov, platí zákon o predaji na diaľku. Pred objednávkou musíte uviesť hlavné vlastnosti služby, celkovú cenu s daňou a poplatkami, platobné a dodacie podmienky, reklamačný postup a právo na odstúpenie od zmluvy vrátane formulára. Ako sa právo na odstúpenie uplatní pri rezervácii ubytovania na konkrétny termín, posúďte s právnikom, pretože pri službách viazaných na termín platia osobitné pravidlá.
Často uvádzaný „rekreačný poplatok“ je v skutočnosti daň za ubytovanie podľa zákona č. 582/2004 Z. z. Sadzbu za osobu a noc určuje obec vo všeobecne záväznom nariadení, platí ju ubytovateľ za hostí a vyberá ju a odvádza obci podľa jej pravidiel. Na webe preto uvádzajte sumu len ak ju poznáte z nariadenia vašej obce, a jasne uveďte, či je v cene zahrnutá.
Zrušená platforma ODR: Európska komisia ukončila platformu pre online riešenie sporov 20. júla 2025 (nariadenie 2024/3228) a povinnosť uvádzať na ňu odkaz tým zanikla. Skontrolujte obchodné podmienky a pätičku a nefunkčný odkaz odstráňte. Informácia o alternatívnom riešení sporov je samostatná povinnosť, nechajte ju skontrolovať pri revízii podmienok.
Vzťahuje sa na váš web zákon o prístupnosti?
Od 28. júna 2025 platí zákon č. 351/2022 Z. z. o prístupnosti výrobkov a služieb, ktorý sa týka najmä e-shopov a online služieb pre spotrebiteľov. Mikropodniky, teda firmy s menej ako 10 zamestnancami a ročným obratom alebo bilančnou sumou do 2 miliónov €, sú pri službách z povinností vyňaté, takže malý penzión zvyčajne nepatrí medzi povinné subjekty. Väčší prevádzkovateľ e-shopu áno. Technické kritériá vychádzajú z noriem WCAG 2.2, dozor vykonáva SOI a pokuty sú v rozsahu 200 až 30 000 €.
Obrázky potrebujú zmysluplný alternatívny text.
Text sa nesmie strácať na pozadí.
Menu, formuláre aj tlačidlá musia fungovať bez myši.
Povinné subjekty ho musia zverejniť na webe.
Aj keď sa vás zákon netýka, rovnaké základy zlepšujú použiteľnosť webu pre každého návštevníka a pomáhajú aj pri SEO. Preto sa oplatí na ne myslieť už pri tvorbe webu.
Aké technické základy má mať web, ktorý zbiera údaje?
HTTPS. GDPR nepredpisuje konkrétnu technológiu, ale vyžaduje primerané technické zabezpečenie spracúvania. Plne funkčné HTTPS je jeho základ, preto kontrolujte platnosť certifikátu, presmerovanie všetkých HTTP adries a mixed content, teda obrázky či skripty načítané cez HTTP na zabezpečenej stránke. Formulár musí odosielať údaje výhradne cez HTTPS.
Ochrana formulárov. Anti-spam mechanizmus, napríklad CAPTCHA, chráni formulár pred automatickým odosielaním a zneužitím. Pri službách tretích strán, ako sú CAPTCHA, mapy alebo vložené videá, preto overte, či pred súhlasom nespúšťajú cookies alebo neprenášajú údaje, a ak áno, načítajte ich až po súhlase alebo zvoľte riešenie bez sledovania.
Evidencia súhlasov a zosúladenie dokumentov. Súhlas musíte vedieť preukázať, preto sa musí ukladať. Zásady ochrany osobných údajov a zoznam cookies musia zodpovedať tomu, čo web naozaj robí, nie vzoru stiahnutému z internetu. Pri každej zmene nástrojov, napríklad pri pridaní nového reklamného pixelu, ich treba aktualizovať.
Príklad z praxe: keď lišta len vyzerala správne
Nasledujúci modelový príklad zhŕňa najčastejší scenár, s ktorým sa pri audite webov stretávame. Nejde o konkrétneho klienta ani o namerané čísla.
Web penziónu mal cookies lištu s jediným tlačidlom „Rozumiem“ a odkazom na zásady. Majiteľ mal pocit, že povinnosť je splnená.
Hneď po otvorení stránky sa načítala analytika aj reklamný pixel, ešte pred akýmkoľvek kliknutím. Formulár dopytu zároveň odchádzal bez informácie o spracúvaní údajov a bez evidencie súhlasu s newsletterom.
Test v anonymnom okne so sieťovými požiadavkami potvrdil, že lišta je len formálna a skripty bežia bez súhlasu. Problém bol rovnako technický ako právny, preto ho samotný text zásad nevyriešil.
Skripty sa viazali na súhlas, lišta dostala rovnocenné tlačidlá Prijať a Odmietnuť a výber účelov. K formuláru pribudla informácia o spracúvaní a samostatný, nepredzaškrtnutý súhlas s newsletterom, zásady a zoznam cookies sa zosúladili s realitou.
Záver: zákonné povinnosti webu sa dajú splniť
Kľúčové závery: Každý web, ktorý spracúva osobné údaje alebo ukladá cookies, musí splniť základ: identifikačné údaje, informáciu o spracúvaní údajov a funkčnú cookies lištu so súhlasom pred spustením analytiky a marketingu. Lišta musí mať rovnocenné tlačidlá, nepredzaškrtnuté polia a technicky blokovať skripty, nielen vyzerať správne. Pokuty môžu dosiahnuť až 20 miliónov € alebo 4 % obratu a pri cookies od 200 € do 10 % obratu, no výška závisí od závažnosti. Platforma ODR je zrušená a zákon o prístupnosti sa týka najmä e-shopov a online služieb. Článok nie je právne poradenstvo, konkrétnu situáciu si overte s právnikom.
Ako ďalej? Ak plánujete nový web alebo chcete skontrolovať súčasný, pozrite si proces tvorby webstránky, portfólio a cenník alebo nás rovno kontaktujte. Pri audite vám povieme, či cookies lišta a formuláre technicky fungujú tak, ako majú.
Často kladené otázky o GDPR a cookies
Platí GDPR aj pre malý web alebo penzión?
Potrebujem cookies lištu, ak používam len nevyhnutné cookies?
Musí byť tlačidlo Odmietnuť už na prvej vrstve lišty?
Ako dlho platí súhlas s cookies?
Kto na Slovensku kontroluje cookies?
Aká pokuta hrozí za nesprávne cookies?
Musím mať na webe odkaz na platformu ODR?
Vzťahuje sa zákon o prístupnosti aj na malý web?
Zdroje
- Nariadenie (EÚ) 2016/679 (GDPR), úplné znenie na EUR-LexZákladný právny predpis o ochrane osobných údajov, vrátane informačných povinností a zabezpečenia spracúvania.
- GDPR, článok 83: Všeobecné podmienky ukladania správnych pokútHorné hranice pokút: 20 miliónov € alebo 4 % obratu a 10 miliónov € alebo 2 % obratu.
- Regulačný úrad: Stanovisko k získavaniu súhlasu s cookies (§ 109 ods. 8 zákona č. 452/2021 Z. z.)Pravidlá pre cookies lištu: odmietnutie, predzaškrtnuté polia, krížik, odvolanie súhlasu a doba platnosti.
- Podnikajte.sk: Cookies a pravidlá ich spracúvania od 1. 2. 2022Prehľad povinností pri cookies podľa nového zákona o elektronických komunikáciách, dozor a výška pokút.
- ePravo.sk: Cookies a nový zákon o elektronických komunikáciáchSúhlas s cookies, nevyhnutné cookies a rozpätie pokút od 200 € do 10 % obratu.
- Podnikajte.sk: Aké údaje musí obsahovať firemný webPovinné údaje podľa Obchodného zákonníka, zákona o elektronickom obchode a predaja na diaľku (článok z roku 2019).
- Podnikajte.sk: Prístupnosť webov a aplikácií, nové povinnosti od 28. 6. 2025Zákon č. 351/2022 Z. z., komu sa vzťahuje, výnimka pre mikropodniky a pokuty.
- Právne noviny: Slovenské firmy majú nové povinnosti, hrozí pokuta až 30-tisíc eurZhrnutie zákona o prístupnosti, prechodné pravidlá a dozor SOI.
- Taylor Wessing: Abolition of the ODR platformZrušenie európskej platformy ODR k 20. júlu 2025 a čo to znamená pre obchodníkov.
- Slovensko.sk: Daň za ubytovanieKto daň platí, kto určuje sadzbu a aké povinnosti má ubytovateľ.
- SITA: Google dostal vo Francúzsku rekordnú pokutu za cookiesPokuty francúzskeho úradu CNIL z roku 2025 pre Google a Shein za reklamné cookies.