# Fingerprinting prohlížeče: ochrana údajů bez cookie > Fingerprinting prohlížeče vysvětlen: jak funguje, proč mohou § 25 TDDDG a § 165 TKG platit i bez cookie a kde leží hranice k serveru. Quelle: https://whovisit.app/cs/blog/fingerprinting-prohlizece-ochrana-udaju Veröffentlicht: 2026-11-07 Herausgeber: Whovisit (ARAVILO, Innsbruck) „Nepoužíváme žádné cookies“ zní jako volný lístek. Platí to jen tehdy, pokud se ani jinak nic neukládá na zařízení ani se z něj nečte. Fingerprinting prohlížeče je nejznámější technika, která se obejde bez cookie a přesto činí návštěvníky znovu rozpoznatelnými. Tento článek vysvětluje, jak funguje, jak ji zařazuje právo a čím se liší od dotazu na serveru. ## Co je fingerprinting Při fingerprintingu skript spojí mnoho znaků zařízení do vzoru, který se jen málokdy vyskytne dvakrát. Typickými stavebními prvky jsou verze prohlížeče, operační systém, rozlišení obrazovky, časové pásmo, jazyková nastavení, nainstalovaná písma a zvláštnosti grafického výstupu. Vzor působí jako průkaz, který návštěvník nikdy nevystavil. Nelze jej jednoduše smazat jako cookie, protože není nikde uložen. Při každé návštěvě vzniká znovu ze stejných znaků. Rozlišujte dva druhy: - **Aktivní.** Skript v prohlížeči cíleně dotazuje vlastnosti, například přes programovací rozhraní pro obrazovku, písma nebo grafiku. - **Pasivní.** Server vyhodnocuje jen to, co prohlížeč při každém načtení stránky tak či tak posílá, například typ prohlížeče v záhlaví požadavku a IP adresu. ## Proč může § 25 TDDDG platit i bez cookie Německé pravidlo platí nejen pro ukládání, ale také pro „přístup k informacím, které jsou již uloženy v koncovém zařízení“. Znění najdete na [gesetze-im-internet.de](https://www.gesetze-im-internet.de/ttdsg/__25.html). Kdo skriptem čte znaky zařízení, přistupuje k takovým informacím. To je důvod, proč se pravidlo podrobně vysvětluje v článku [§ 25 TDDDG: cookies a tracking v Německu](https://whovisit.app/blog/tdddg-paragraf-25-cookies). Konference pro ochranu údajů vypracovala v [Orientierungshilfe für Telemedien](https://www.datenschutzkonferenz-online.de/orientierungshilfen.html) k tomu linii. Podle ní přístup předpokládá cílené předání informací o prohlížeči, které nevyvolal jen koncový uživatel. Aktivní fingerprinting tedy spadá pod povinnost souhlasu, čistě pasivní vyhodnocování toho, co se tak či tak posílá, podle tohoto výkladu nikoli. Je to názor dozorových úřadů, otázka není v právní vědě všude zodpovězena stejně. Na evropské úrovni sahá linie dál. Evropský sbor pro ochranu osobních údajů ve svých [Pokynech 2/2023](https://www.edpb.europa.eu/system/files/2024-10/edpb_guidelines_202302_technical_scope_art_53_eprivacydirective_v2_en_0.pdf) k oblasti působnosti čl. 5 odst. 3 směrnice ePrivacy uvedl, že fingerprinting spadá do jejich působnosti. Sem může patřit i sběr informací z hlaviček požadavku nebo z mechanismů cachování, pokud se používá pro fingerprinting nebo tracking (bod 43). ## Rakousko a Švýcarsko **Rakousko.** § 165 odst. 3 TKG 2021 vyžaduje souhlas pro zjišťování údajů, s výjimkami pro technicky nezbytné. Úřad pro ochranu údajů vykládá předpis široce. Jak je postaven, vysvětluje [Cookies v Rakousku: výklad § 165 TKG 2021](https://whovisit.app/blog/cookies-oesterreich-tkg-165). **Švýcarsko.** Spolkový pověřenec pro ochranu údajů a transparentnost uvádí ve svém návodu k cookies výslovně fingerprinting prohlížeče jako příklad „podobných technologií“, u nichž se na zařízení nic neukládá. Pro ně platí stejné požadavky na informování a možnost odmítnutí jako pro cookies. Více v článku [Webový tracking ve Švýcarsku: revDSG a FMG](https://whovisit.app/blog/website-tracking-schweiz-revdsg). ## A GDPR? Navíc platí GDPR, jakmile lze z otisku určit osobu. U vzoru, který má návštěvníky znovu rozpoznat napříč více návštěvami, to bývá zpravidla případ. Otisk je pak online identifikátor ve smyslu čl. 4 bodu 1 GDPR. Kdo jej používá pro tracking nebo reklamní účely, potřebuje právní základ, v praxi většinou souhlas. Kdy místo toho nese oprávněný zájem, ukazuje [Oprávněný zájem podle GDPR: 3 kroky posouzení](https://whovisit.app/blog/berechtigtes-interesse-dsgvo). ## Vymezení: dotaz na držitele sítě na serveru Rozpoznání firem přes držitele sítě k IP adrese funguje jinak. Nečte vlastnosti zařízení a nevytváří identifikátor, který by návštěvníka později znovu našel. Server vyhledá ve veřejném registru sítí, komu síť patří. Poté se IP adresa zahodí. Jak to technicky probíhá, popisuje [Jak funguje rozpoznání firem? Technika v 6 krocích](https://whovisit.app/blog/firmenerkennung-website-technik). Zda tím leží bezpečně mimo § 25 TDDDG, přesto není samozřejmostí. Evropský sbor pro ochranu osobních údajů v uvedených pokynech uvádí (body 54 a 55), že čl. 5 odst. 3 může platit i při trackingu pouze na základě IP adresy, pokud pochází z koncového zařízení uživatele. Míní se sledování navigace. To, že se použití čl. 5 dotýká, neznamená podle sboru, že je vždy nutný souhlas, výjimky je třeba posuzovat jednotlivě. Z opatrnosti načítají někteří poskytovatelé, i Whovisit, skript až po souhlasu s kategorií Statistika. ## Kontrolní seznam pro váš web 1. Sepište, které skripty čtou vlastnosti zařízení. Zahrnuje to analytické nástroje, ochranu před podvody i reklamní nástroje. 2. Zeptejte se každého poskytovatele, zda používá fingerprinting a k jakému účelu. 3. Ověřte, zda je účel „bezpodmínečně nutný“ ve smyslu výjimky. Obrana proti podvodům se tak někdy argumentuje, ale vykládá se úzce a je třeba ji vyjasnit s vaším poradcem pro ochranu údajů. 4. Vše, co není nezbytné, načítejte až po souhlasu. 5. Popište techniku srozumitelně v zásadách ochrany osobních údajů. „Nepoužíváme cookies“ k tomu nestačí. ## Časté otázky **Je fingerprinting zakázán?** Ne. Zpravidla však potřebuje souhlas, pokud jde o tracking nebo reklamu. Pro obranu proti podvodům a bezpečnost se místy zastává výjimka, která se vykládá úzce. **Stačí „Do Not Track“ nebo blokátor reklam jako ochrana návštěvníků?** Chrání jednotlivce, ale nenahrazuje vaše povinnosti. Odpovědný zůstává provozovatel webu. **Spadá vyhodnocení user-agenta pod § 25?** Podle linie Konference pro ochranu údajů ne, pokud server využívá jen to, co prohlížeč tak či tak posílá. Pokud se hodnota skládá do fingerprintingu nebo trackingu, může být hodnocení jiné, jak ukazují pokyny Evropského sboru pro ochranu osobních údajů.