# Souhlas, nebo oprávněný zájem: jak se rozhodnout

> Souhlas, nebo oprávněný zájem u rozpoznání návštěvníků: co platí předem, jak probíhá vyvažování a rozhodovací cesta v pěti otázkách.

Quelle: https://whovisit.app/cs/blog/souhlas-nebo-opravneny-zajem-rozpoznani-navstevniku
Veröffentlicht: 2026-11-07
Herausgeber: Whovisit (ARAVILO, Innsbruck)

V oboru existují dva tábory. Jeden říká: kdo rozpoznává jen firmy, nepotřebuje souhlas, stačí oprávněný zájem. Druhý říká: bez souhlasu v cookie banneru nejde vůbec nic. Obě strany mají kus pravdy, protože mluví o různých vrstvách. Tento článek vrstvy odděluje a na konci vám dává do ruky pět otázek.

Je to věcné zařazení, nikoli právní poradenství. Pro vaše konkrétní nastavení patří rozhodnutí vašemu poradci pro ochranu údajů.

## Co platí předem: přístup ke koncovému zařízení

Než půjde o GDPR, vyvstává jiná otázka: přistupuje skript k zařízení návštěvníka? Směrnice ePrivacy (čl. 5 odst. 3) vyžaduje pro ukládání informací v koncovém zařízení a pro čtení takových informací v zásadě souhlas. Výjimkou je to, co je technicky nezbytné pro službu, kterou uživatel výslovně požaduje.

V Německu je to provedeno v § 25 TDDDG a v Rakousku v § 165 odst. 3 TKG 2021. Obě pravidla platí nezávisle na tom, zda nakonec vznikají osobní údaje. Rozhodující je samotný přístup.

To se týká více než cookies:

- Záznam v úložišti relace prohlížeče (sessionStorage) je ukládání v koncovém zařízení.
- Čtení velikosti obrazovky a jazyka prohlížeče je čtení informací z koncového zařízení, i když každý jednotlivý údaj působí neškodně.
- Záznamy kliknutí a pohybů myši nejsou nic, co by návštěvník potřeboval k zobrazení stránky.

Německé dozorové úřady zastávají přísnou linii: měření dosahu a statistika se zpravidla nepovažují za technicky nezbytné. Kdo nasazuje skript, který takové přístupy provádí, by proto měl vycházet z nutného souhlasu. To není otázka vkusu, ale předpoklad, bez něhož se k ostatnímu ani nedospěje.

## Čl. 6 odst. 1 písm. a proti písm. f

Teprve potom přichází otázka, o jaký právní základ GDPR se následné zpracování opírá, pokud je osobní.

Zda je IP adresa vůbec osobním údajem, vyjasňuje článek [IP adresa a GDPR: je osobním údajem?](https://whovisit.app/blog/ip-adresse-personenbezogen-dsgvo). Jak obě kontroly souvisejí, ukazuje [Rozpoznání návštěvníků a GDPR: věcné zhodnocení](https://whovisit.app/blog/besuchererkennung-dsgvo).

**Souhlas (písm. a).** Musí být svobodný, informovaný, konkrétní a jednoznačný. Lze jej kdykoli odvolat. Za to je právní situace jasná, jakmile je banner čistě postaven.

**Oprávněný zájem (písm. f).** Zde posuzujete tři věci: existuje oprávněný zájem (například příprava obchodu v B2B)? Je k tomu zpracování nezbytné? A nepřevažují zájmy nebo základní práva dotčených osob? Bod odůvodnění 47 uvádí jako měřítko přiměřená očekávání subjektů údajů. Přímý marketing může být podle téhož bodu odůvodnění oprávněným zájmem.

K tomu přistupuje právo vznést námitku podle čl. 21: subjekty údajů mohou proti zpracování na základě písm. f vznést námitku. Musíte to prakticky umožnit. I informační povinnosti podle čl. 13 a 14 platí v obou případech.

## Proč behaviorální data ztěžují vyvažování

Přiřazení firmy samo o sobě je pro vyvažování často ještě dobře odůvodnitelné: informace je skromná. Účel je jasný. Obtížnější je to, jakmile přibude chování. Které stránky někdo čte, jak dlouho rolluje a kam klikne, vypovídá o osobě mnoho, i když se objevuje jen jako návštěvník firmy. Video myši ukazuje ještě víc. Čím jemnější pozorování, tím méně ho návštěvníci očekávají. Tím obtížnější je odůvodnit převahu vašeho zájmu.

K tomu přistupuje praktický problém: i kdybyste vyvažování vyhráli, nepomůže vám to, dokud trvá povinnost souhlasu pro přístup k zařízení. Souhlas tu pak stejně je. Mnohé hovoří pro to, použít jej i jako právní základ zpracování, místo abyste vedle sebe spravovali dva základy.

## Praktická cesta: kategorie Statistika, skript až poté

Řešení, které v praxi funguje nejčastěji, je jednoduché:

1. Váš banner má vlastní kategorii, většinou „Statistika“ nebo „Analytika“.
2. Skript pro rozpoznání návštěvníků se načte až poté, co návštěvník této kategorii souhlasil.
3. Bez souhlasu nedochází k přístupu k zařízení ani k dotazu na službu.

Technicky to jde přes váš Tag Manager s Consent Mode nebo přes správu souhlasů vašeho banneru. Návod najdete v nápovědě pod [Souhlas v Tag Manageru](https://whovisit.app/hilfe/einwilligung-im-tag-manager). Whovisit například dodává šablonu značky, která čeká na udělený souhlas se statistikou, než skript načte. Aby cesta nesla, musí však váš banner kategorii skutečně zobrazovat a čistě předávat rozhodnutí Tag Manageru.

Také Google Analytics běží zpravidla za toutéž kategorií. Co Analytics o firmách prozrazuje a co ne, je v článku [Rozpoznání firem pomocí Google Analytics: co jde a co ne](https://whovisit.app/blog/firmen-erkennen-google-analytics).

## Švýcarsko: logika opt-out

Ve Švýcarsku je výchozí situace jiná. Zákon o telekomunikacích (čl. 45c) vyžaduje, aby byli uživatelé informováni o zpracování údajů na svém zařízení a mohli je odmítnout. Jde tedy o řešení s námitkou místo předchozího souhlasu. Revidovaný zákon o ochraně údajů (od 1. září 2023) rovněž v zásadě pracuje s transparentností a možností námitky místo obecné povinnosti souhlasu.

Pokud máte na téže stránce návštěvníky ze Švýcarska i z EU, platí pro návštěvníky z EU přesto přísnější právo. Prakticky to znamená: jednotný banner se souhlasem je zpravidla nejjednodušší cesta, také proto, že návštěvníky nelze spolehlivě dělit podle země.

## Vaše rozhodovací cesta v pěti otázkách

1. **Přistupuje skript k zařízení?** (Ukládání nebo čtení, i úložiště relace, velikost obrazovky, jazyk.) Pokud ano, potřebujete pro DE a AT zpravidla souhlas. Dále otázka 2.
2. **Je přístup technicky nezbytný pro požadované zobrazení stránky?** U statistiky a rozpoznání návštěvníků téměř vždy ne.
3. **Má váš banner kategorii, která odpovídá účelu?** Pokud ne, upravte ji dříve, než skript zabudujete.
4. **Načítá se skript opravdu až po souhlasu?** Ověřte na kartě Síť v prohlížeči: před souhlasem nesmí odejít žádný dotaz na službu.
5. **Jsou informace v zásadách ochrany osobních údajů úplné? Existuje cesta k odvolání?** Účel, právní základ, příjemci, doba uložení.

Pokud u otázky 1 odpovíte ne, můžete uvažovat o písm. f. U postupů s přístupem ke koncovému zařízení je to v praxi vzácné.

## Zdroje

- Směrnice 2002/58/ES (ePrivacy), čl. 5 odst. 3
- [GDPR](https://eur-lex.europa.eu/legal-content/DE/TXT/?uri=CELEX:32016R0679), čl. 6 odst. 1, čl. 13, 14, 21 a bod odůvodnění 47
- [§ 25 TDDDG](https://www.gesetze-im-internet.de/ttdsg/__25.html) (Německo), [§ 165 Abs. 3 TKG 2021](https://www.ris.bka.gv.at/GeltendeFassung.wxe?Abfrage=Bundesnormen&Gesetzesnummer=20011678) (Rakousko)
- Čl. 45c zákona o telekomunikacích (Švýcarsko), zákon o ochraně údajů (Švýcarsko) ve znění od 1. září 2023
- Orientační pomůcka Konference pro ochranu údajů pro poskytovatele telemédií (aktuální znění)