Co by měla pokrývat kontrola souladu webových stránek v EU

„Je náš web v souladu s předpisy?“ zní jako jedna otázka. V EU jde nejméně o šest otázek, které upravují různé právní předpisy s různými dozorovými orgány: úřady pro ochranu osobních údajů u cookies a zásad ochrany osobních údajů, orgány ochrany spotřebitele u informací v e-shopech a orgány dozoru nad trhem u přístupnosti. Dobrá kontrola souladu, ať ji provádíte sami, nebo si koupíte skener, by měla pokrýt všechny a u každého zjištění uvést, ze kterého předpisu vyplývá.

1. Cookies, ukládání a souhlas

Čl. 5 odst. 3 směrnice ePrivacy vyžaduje souhlas před uložením informací do zařízení návštěvníka nebo před přístupem k nim, pokud to není nezbytně nutné pro službu, o kterou návštěvník výslovně požádal. Pravidlo se vztahuje na cookies, ale také na local storage, pixely a techniky fingerprintingu. Standard souhlasu je stejný jako v GDPR: svobodný, konkrétní, informovaný a jednoznačný (čl. 4 bod 11 a čl. 7 GDPR).

Kontrola by proto měla:

• načíst web v čistém prohlížeči bez jakékoli interakce a zaznamenat každý soubor cookie, každý záznam v úložišti a každý síťový požadavek, které se objeví před jakoukoli volbou;
• zopakovat návštěvu po kliknutí na „odmítnout“ a ověřit, že sledovací prvky, které nejsou nezbytné, zůstanou vypnuté;
• ověřit, že odmítnutí je stejně snadné jako přijetí, že žádná možnost není předem zaškrtnutá a že souhlas lze odvolat stejně snadno, jako byl udělen (čl. 7 odst. 3 GDPR);
• porovnat, co tvrdí lišta a seznam cookies, s tím, co se skutečně načítá.

Podrobnosti rozebírá náš samostatný průvodce Souhlas s cookies: co vyžadují pravidla ePrivacy.

2. Požadavky na třetí strany a předávání údajů

Každé vložené písmo, video, mapa, chatovací widget nebo analytický tag odesílá IP adresu a údaje o prohlížeči návštěvníka jiné společnosti. Podle GDPR jde o předání osobních údajů, které vyžaduje právní základ (čl. 6) a v případě příjemce mimo EHP také nástroj pro předávání podle kapitoly V. Soudní dvůr v rozsudku Fashion ID (C-40/17) rozhodl, že provozovatel webu, který vloží plugin třetí strany, může být společným správcem při shromažďování a předávání údajů návštěvníků.

Skener by měl uvést každého hostitele třetí strany, kterého stránka kontaktuje, kdy jej kontaktuje (před souhlasem, nebo po něm) a ideálně také, kde je příjemce usazen. Hostování písem a skriptů na vlastním serveru je u mnoha zjištění nejjednodušší náprava.

3. Zásady ochrany osobních údajů

Čl. 13 a 14 GDPR stanoví, o čem musí být návštěvníci informováni: kdo je správce a jak jej kontaktovat (a také pověřence pro ochranu osobních údajů, pokud byl jmenován), účely a právní základy každé činnosti zpracování, příjemci, předávání mimo EHP, doby uložení, práva subjektů údajů, právo podat stížnost u dozorového úřadu a zda dochází k automatizovanému rozhodování. Čl. 12 dodává, že informace musí být stručné, transparentní a snadno přístupné.

Automatizované nástroje mohou potvrdit, že zásady existují, jsou odkazovány z každé stránky a uvádějí požadované náležitosti. Zda obsah odpovídá tomu, co web skutečně dělá, je nejdůležitější část, a zároveň ta, kterou skener dokáže jen přibližně odhadnout porovnáním zásad s nalezenými sledovacími prvky.

4. Údaje o poskytovateli („právní informace“)

Čl. 5 směrnice o elektronickém obchodu ukládá každé službě informační společnosti zpřístupnit určité údaje „snadno, přímo a trvale“: jméno nebo název poskytovatele, zeměpisnou adresu, kontaktní údaje včetně e-mailové adresy, zápis v obchodním rejstříku a registrační číslo, daňové identifikační číslo pro DPH a případně dozorový orgán nebo profesní pravidla. Několik členských států to provádí formou samostatné stránky s právními informacemi (Německo § 5 DDG, Rakousko § 5 ECG, Slovensko zákon č. 22/2004 Z. z.).

Kontrola by měla potvrdit, že stránka existuje, je z každé stránky dostupná jedním nebo dvěma kliknutími a obsahuje všechny náležitosti. Více informací: Právní informace a informační povinnosti podle spotřebitelského práva pro e-shopy v EU.

5. Informace podle spotřebitelského práva pro e-shopy

Pokud web prodává spotřebitelům, přidává směrnice o právech spotřebitelů předsmluvní informace (čl. 6), znění tlačítka objednávky (čl. 8 odst. 2) a 14denní právo na odstoupení od smlouvy (čl. 9). Od přijetí směrnice Omnibus 2019/2161 musí e-shopy také vysvětlit, jak se určuje pořadí produktů, uvést, zda a jak ověřují spotřebitelské recenze, a při oznámení slevy zobrazit předchozí cenu (směrnice o označování cen, čl. 6a).

6. Přístupnost

Od 28. června 2025 se Evropský akt o přístupnosti vztahuje na elektronický obchod určený spotřebitelům a na několik dalších služeb. V praxi to znamená splnit webové požadavky normy EN 301 549, která odkazuje na WCAG 2.1 úrovně AA. Automatizované testy spolehlivě najdou chybějící alternativní texty, nedostatečný kontrast, neoznačená pole formulářů a chybějící atributy jazyka; ovládání klávesnicí a průchod čtečkou obrazovky je stále nutné testovat ručně. Viz Přístupnost (EAA 2025) pro webové stránky.

Kontrolní seznam na jedné stránce

Co žádný skener nevidí

Záznamy o činnostech zpracování (čl. 30 GDPR), zpracovatelské smlouvy (čl. 28), posouzení vlivu na ochranu osobních údajů (čl. 35), sledování na straně serveru a to, co se děje v oblastech po přihlášení, jsou pro crawler neviditelné. Sken je nejlepší první krok a výborný regresní test; úplným auditem však není. Náš průvodce Co automatizované skenery souladu dokážou a nedokážou zkontrolovat vysvětluje, kde vede hranice.