Consent Mode v2 a cookie lišta: co musí mít český web v roce 2026

Začněme tím nepříjemným. Lišta, která jen oznámí „Používáme cookies“ a mezitím nechá načíst Google Analytics, Meta Pixel a Hotjar, je v Česku od roku 2022 v rozporu se zákonem a přesně tohle Úřad pro ochranu osobních údajů (ÚOOÚ) při kontrolách hledá. Opačný extrém taky bolí. Lišta, která zablokuje úplně všechno, vezme Googlu signály, ze kterých Google Ads dopočítává konverze, a vaše kampaně se pak učí z neúplných dat. Mezi oběma chybami vede úzká cesta. Celá stojí na pořadí, v jakém se na webu spouštějí skripty, a právě to spolu se skutečně uloženými cookies kontrolujeme při každém auditu měření a analytiky. Níž najdete postup, který používáme i na vlastním webu.

Co musí splňovat cookie lišta podle českého zákona?

Od 1. ledna 2022 platí v Česku opt-in: podle § 89 odst. 3 zákona o elektronických komunikacích smí web ukládat cookies do zařízení návštěvníka a číst je jen s jeho prokazatelným souhlasem. Výjimku mají pouze cookies technicky nezbytné pro službu, kterou si návštěvník sám vyžádal, tedy přihlášení, obsah košíku, bezpečnostní tokeny a uložení samotné volby o cookies. Analytika, remarketing, měření reklamy ani personalizace obsahu mezi výjimky nepatří. Lišta proto musí umět víc než informovat. Přijetí i odmítnutí musí nabídnout v první vrstvě, mluvit česky, vyjmenovat cookies s účelem a dobou uložení a dovolit souhlas kdykoli odvolat. A hlavně: dokud návštěvník neklikne, nesmí se netechnické cookies vůbec uložit.

ÚOOÚ svou praxi shrnul v červnu 2024 v prezentaci pro odbornou veřejnost. Z ní plynou požadavky, na kterých starší lišty padají nejčastěji:

• Tlačítko pro odmítnutí je ve stejné, první vrstvě jako tlačítko pro přijetí a je stejně dostupné. „Přijmout vše“ vedle schovaného „Nastavení“ je vadný souhlas.
• Zavření lišty křížkem znamená, že souhlas udělen nebyl.
• Souhlas je aktivní krok. Předem zaškrtnuté kategorie ani souhlas odvozený z toho, že návštěvník scrolluje dál, neobstojí.
• Odkaz „cookies si můžete vypnout v prohlížeči“ souhlas nenahrazuje.
• Informace jsou česky a úplné, včetně seznamu cookies, jejich účelu a doby uložení.
• Odvolat souhlas jde stejně snadno jako ho dát. V praxi to znamená odkaz v patičce, který lištu znovu otevře, ne e-mail na podporu.
• Když přidáte nový měřicí nástroj nebo změníte účely, lišta se musí zeptat znovu, protože starý souhlas se na novinku nevztahuje.

Text lišty přitom úřad nehodnotí. Dívá se, co se v prohlížeči skutečně uložilo, a to si můžete ověřit sami dřív, než to udělá on.

Jak zjistit, jestli vaše cookie lišta opravdu blokuje cookies?

Otevřete svůj web v Chromu v anonymním okně a na lištu zatím neklikejte. Klávesou F12 otevřete nástroje vývojáře, přejděte na Application → Cookies a podívejte se, co je uložené pod vaší doménou. Když tam už teď vidíte _ga, _ga_* nebo cookies Meta Pixelu či Hotjaru, lišta nic neblokuje a máte přesně ten nález, se kterým ÚOOÚ nejčastěji pracuje. Pak klikněte na odmítnutí, obnovte stránku a podívejte se znovu. Smějí zůstat jen technické cookies. Analytické a reklamní se mají objevit až po přijetí, nikdy dřív.

U starých lišt z pluginů tenhle test často neprojde. Plugin obvykle vykreslí hezký panel, ale měřicí kódy vložené do šablony webu na něj nečekají a spustí se hned. Lišta pak slouží jako dekorace a vy nesete riziko, i když jste si „lištu přece nainstalovali“.

Za co ÚOOÚ pokutuje cookies a kolik to stojí?

V prvních sedmi měsících roku 2023 uložil ÚOOÚ za cookies bez dostatečného souhlasu pokuty za 4,443 milionu korun. Pravomocných z toho bylo 1,64 milionu a nejvyšší pravomocná pokuta činila 898 tisíc korun. Od roku 2023 úřad počítá výši pokut podle pokynů Evropského sboru pro ochranu osobních údajů (EDPB 4/2022), takže rozhoduje obrat firmy, závažnost a délka porušení. Velikost webu vás neochrání. Důvody pokut se přitom opakují: netechnické cookies uložené před souhlasem nebo i po odmítnutí, odmítnutí schované ve druhé vrstvě, předvyplněné kategorie, chybějící český seznam cookies a souhlas, který nejde odvolat.

Jednu chybu lidé přehlížejí, protože vypadá jako otázka designu: zelené tlačítko „Přijmout“ vedle šedého textového odkazu „Odmítnout“ podle úřadu není rovnocenná volba. Obě možnosti mají být stejně viditelné a stejně snadno dosažitelné.

Co je Consent Mode v2 a proč ho Google vyžaduje?

Consent Mode v2 je technický signál, kterým cookie lišta říká Google tagům (GA4, Google Ads, Floodlight), co návštěvník povolil. Není to lišta a není to právní souhlas. Souhlas získá lišta, Consent Mode ho jen předá dál. Verze 2 přidala ke dvěma původním signálům dva nové, ad_user_data a ad_personalization, a Google je od března 2024 vyžaduje po inzerentech v Evropském hospodářském prostoru. Když chybějí, nesmí Google data z vašeho webu použít pro měření konverzí propojených s uživatelem, pro remarketing ani pro personalizaci reklam. V účtu Google Ads se objeví varování. Publika se zmenší a kampaně se optimalizují podle chudších dat.

Pozor na poslední řádek tabulky. Lišta, která umí jen starší signály, vyřeší ad_user_data díky automatickému mapování z ad_storage, ale ad_personalization za ni nikdo nepošle. Bez něj Google data z vašeho webu pro remarketing použít nesmí. Proto se u každé lišty díváme do diagnostiky konverzí v Google Ads, jestli dorazily všechny signály v2, a nespoléháme na to, že „Consent Mode přece máme“.

U e-shopu jde o peníze, ne o paragrafy. Na Oleje.Pro máme nákupní kampaně rozdělené podle kategorií a balení a rozpočty posouváme podle toho, které kategorie se vyplácejí. Takové rozhodnutí stojí na konverzích v Google Ads. Když jim chybějí signály souhlasu, přesouváte peníze podle neúplných čísel.

Základní, nebo pokročilý Consent Mode: který zvolit?

Pokud inzerujete v Google Ads, volte pokročilý režim. V základním režimu (basic) jsou Google tagy do souhlasu úplně zablokované, takže od návštěvníků, kteří odmítnou, nedostanete nic a Google nemá z čeho dopočítat chybějící konverze. V pokročilém režimu (advanced) se tagy načtou vždy, ale s výchozím stavem denied, takže místo cookies posílají anonymní pingy bez identifikátorů a Google Ads z nich modeluje konverze, které by jinak chyběly. Zákonu vyhoví oba režimy, protože do souhlasu se neuloží žádná cookie. Google sám doporučuje tagy načítat vždy a řídit je souhlasem, místo aby se blokovaly.

Základní režim dává smysl jen tam, kde Google Ads vůbec nepoužíváte a stačí vám hrubý obrázek z GA4. Jakmile platíte za kliknutí, každá konverze, kterou Google nevidí ani nemodeluje, kampaním chybí při učení.

Jak nastavit Consent Mode v2 krok za krokem?

Celé nastavení stojí na pořadí. Nejdřív musí na stránce proběhnout příkaz gtag('consent','default',{…}) se všemi čtyřmi signály na denied a teprve potom se smí načíst gtag.js nebo Google Tag Manager. Pak se zobrazí lišta, po kliknutí odejde příkaz update s volbou návštěvníka, web tu volbu uloží a při další návštěvě ji pošle rovnou v příkazu default. Google si ji sám nepamatuje. Skripty, které Consent Mode neznají, třeba Meta Pixel, Sklik nebo Hotjar, blokujete do souhlasu zvlášť. Nakonec přidáte do patičky odkaz „Nastavení cookies“ a všechno otestujete v anonymním okně.

1. 01

   Sepište, co se na webu načítá

   Projděte web v anonymním okně a zapište si každý skript a cookie: GA4, Google Ads, Meta Pixel, Sklik, Hotjar, chat, YouTube, mapy. Každé položce přiřaďte kategorii (technické, analytické, marketingové, preferenční). Stejný seznam pak patří do textu lišty i do zásad.

2. 02

   Výchozí denied ještě před Google tagem

   Příkaz default se všemi čtyřmi signály na denied musí proběhnout před gtag.js nebo GTM. Přidejte wait_for_update (Google v dokumentaci uvádí 500 ms), aby tagy s prvním pingem chvíli počkaly na odpověď lišty.

3. 03

   Google tagy načtěte, ostatní zablokujte

   Google tagy umí na Consent Mode reagovat, takže se mohou načíst hned. Meta Pixel, Hotjar, Sklik nebo vložená videa blokujte do souhlasu ve správci značek nebo atributem type="text/plain" s pozdějším spuštěním.

4. 04

   Lišta se dvěma rovnocennými tlačítky

   „Povolit“ a „Pouze nezbytné“ vedle sebe, stejně výrazná, česky, s větou o účelu a odkazem na podrobnosti. Druhá vrstva s kategoriemi je volitelná. Nic předem zaškrtnutého.

5. 05

   Update, uložení volby a odkaz v patičce

   Kliknutí vyvolá gtag('consent','update',{…}). Volbu uložte do cookie nebo localStorage a při další návštěvě ji pošlete v příkazu default. Odkaz „Nastavení cookies“ v patičce lištu znovu otevře. Když přidáte nový nástroj, zvyšte verzi souhlasu, aby se lišta ukázala znovu.

6. 06

   Otestujte, co se skutečně děje

   V nástrojích vývojáře zkontrolujte cookies před kliknutím, po odmítnutí a po přijetí. V Google Tag Assistant ověřte stav souhlasu u každého tagu, v GA4 DebugView stav signálů a v Google Ads diagnostiku konverzí, která hlásí, jestli signály v2 dorazily.

Oprava je v obou případech stejná a v kódu zabere pár řádků. Uloženou volbu přečtěte a pošlete už v příkazu default, ve stejném skriptu, který běží před Google tagem.

Proč po nasazení cookie lišty chybí data v GA4?

Návštěvníci, kteří odmítnou, se do GA4 nezapíšou, a tak to má být. Analytické cookies se jim neuloží, takže je GA4 nepočítá jako uživatele ani relace. Doplnit je umí jen behaviorální modelování a to má práh: vlastnost musí sbírat aspoň 1 000 událostí denně se zamítnutým analytics_storage po dobu 7 dní a zároveň mít aspoň 1 000 denních uživatelů se souhlasem v 7 z posledních 28 dní. Menší český web nebo e-shop na to obvykle nedosáhne. Google Ads mezitím konverze od nesouhlasících návštěvníků modeluje, takže rozdíl mezi Google Ads a GA4 se po nasazení lišty zvětší.

S tím se dá dobře pracovat, jen musíte vědět, na co se díváte. Podíl souhlasů bývá u jednoho webu dlouhodobě podobný, proto meziměsíční trendy v GA4 fungují dál. Absolutní čísla už ne. Porovnávat návštěvy z GA4 s objednávkami v administraci e-shopu nemá po nasazení lišty smysl.

Doporučujeme měřit i samotný podíl souhlasů, například jednoduchou událostí consent_granted a consent_denied, protože pak uvidíte, jakou část návštěv GA4 vidí, a čísla budete číst správně. Když je podíl souhlasů podezřele nízký, zkontrolujte design lišty, ne návštěvníky. Proč se konverze v obou nástrojích rozcházejí i z dalších důvodů, rozebíráme v článku Proč se liší konverze v Google Ads a GA4.

Jak vypadá správně nastavená cookie lišta v praxi?

Na webu, který právě čtete, běží přesně postup z tohoto článku. Hned na začátku stránky, ještě před načtením gtag.js, se z localStorage přečte uložená volba a odejde příkaz default: analytics_storage podle uložené volby, jinak denied, všechny tři reklamní signály trvale denied a wait_for_update 500 ms. GA4 se tedy načte vždy, ale bez souhlasu dostává jen pingy bez cookies. Lišta má dvě stejně velká tlačítka, „Povolit měření“ a „Pouze nezbytné“, a odkaz „Nastavení cookies“ v patičce ji kdykoli znovu otevře. Reklamní signály nepovolujeme vůbec, protože tady neměříme reklamu ani nesbíráme publika pro remarketing.

Stejně postupujeme u klientů v rámci auditu měření konverzí, který stojí do 10 000 Kč. Projdeme skutečně ukládané cookies, pořadí tagů, lištu i signály v2 v Google Ads. Co blokuje měření nebo porušuje zákon, opravíme. Pokud chcete, aby data z GA4 dávala i obchodní smysl, navazuje audit Google Analytics 4 do 12 500 Kč. Pokud měření teprve zavádíte, nastavíme GA4 i lištu od začátku v rámci služby nastavení GA4 a měření konverzí.

Cenu znáte předem a nastavení u vás nedělá junior podle šablony. Dělá ho člověk, který vidí souvislost mezi zákonem, Google tagy a vašimi čísly, a mluví s vámi přímo, bez account manažera uprostřed. Úvodní konzultace je zdarma, menší úpravy řešíme hodinově za 1 250 Kč.

O autorovi a odborném zázemí

Kdo za článkem stojí a jak vznikl

Autor · rešerše · zpracování

Ondřej Pšenička

Zakladatel Rostu. Několik let navrhuje weby a e-shopy, vede SEO a Google Ads a propojuje je s analytikou pro firmy i menší projekty. Vystudoval marketing na Cornell University (Ivy League), drží specializaci SEO z UC Davis a certifikaci Google Analytics.

LinkedIn

Odborné zázemí Rostu

Menší tým, větší péče o každý projekt

Jsme menší tým, a právě proto si na každém projektu dáváme záležet: komunikujete přímo s lidmi, kteří práci dělají, ne s account manažerem velké agentury. Jsme levnější než velké komerční firmy a naše práce je často na vyšší úrovni — měřeno výsledky, ne prezentacemi. Články vycházejí z projektů, které sami vedeme — od nového webu pro zprostředkovatele luxusních světel Di LUCE přes e-shop Oleje.Pro po SEO a obsah německé lázeňské cestovky TOPKUR.

Projekty, na kterých pracujeme

Jak jsme ověřovali data: Požadavky na cookie lištu bereme z prezentace ÚOOÚ o jeho praxi v oblasti cookies (červen 2024) a z výkladu novely zákona o elektronických komunikacích na Lupa.cz. Částky pokut pocházejí ze zpravodajství Lupa.cz a pokrývají jen prvních sedm měsíců roku 2023. Chování Consent Mode v2, prahy modelování a pořadí příkazů jsme ověřili v dokumentaci Googlu v říjnu 2026. Typické chyby popisujeme z vlastních auditů měření; jde o opakovanou zkušenost, ne o statistiku. Ukázka nastavení odpovídá kódu tohoto webu.

Zdroje

1. 01Lupa.cz: Od 1. ledna se změní pravidla pro cookies, připravte si lišty, radí právnička (2021) — novela zákona o elektronických komunikacích, přechod na opt-in od 1. 1. 2022, co souhlas vyžaduje a co ne
2. 02ÚOOÚ: Praxe ÚOOÚ v oblasti cookies (prezentace, 12. 6. 2024) — § 89 odst. 3 ZEK, požadavky na lištu (odmítnutí stejně snadné, první vrstva, křížek, čeština, odvolání), typická porušení, výpočet pokut dle EDPB 4/2022
3. 03Lupa.cz: Za cookies bez dostatečného souhlasu úřad na pokutách letos vybral už čtyři a půl milionu korun (2023) — 4,443 mil. Kč za prvních sedm měsíců 2023, 1,64 mil. pravomocně, nejvyšší pravomocná pokuta 898 tis. Kč
4. 04Google Tag Manager Help: Mapping ad_storage to ad_user_data — definice ad_user_data a ad_personalization, požadavek na signály v EHP od března 2024, automatické mapování ad_storage
5. 05Google for Developers: Set up consent mode on websites — příkazy default a update, pořadí před načtením tagů, wait_for_update, uložení volby
6. 06Google Analytics Help: Consent mode on websites and mobile apps — základní vs. pokročilý režim, cookieless pingy, chování analytics_storage a ad_storage, ads_data_redaction
7. 07Google Analytics Help: Behavioral modeling for consent mode — prahy pro modelování: 1 000 událostí denně s denied po 7 dní, 1 000 denních uživatelů s granted v 7 z 28 dní

Publikováno 8. října 2026, naposledy aktualizováno 29. října 2026. Článek vyjadřuje odbornou zkušenost autora; konkrétní situaci vašeho webu nebo e-shopu vždy posuzujeme podle jeho dat a zadání.