Kdo má web a řeší marketing nebo analytiku, má často pocit, že cookies jsou hlavně o tom mít na stránce
lištu a hotovo. Dvě pokuty od francouzského dozorového úřadu CNIL z konce listopadu 2025 ale ukazují,
že se úřady dívají mnohem víc na to, co se děje fakticky po technické stránce, a nespokojí se s pouhou
přítomností cookies lišty. V obou případech (francouzský web American Express a Vanity Fair) byl problém
podobný. Weby se tvářily, že uživateli dávají volbu, jenže část měřicích a reklamních cookies se spouštěla
dřív, než uživatel stihl cokoliv zvolit, nebo dokonce i poté, co výslovně odmítl. American Express obdržel od
CNIL pokutu ve výši 1,5 milionu euro, Vanity Fair pak polovinu této částky.
U American Express CNIL vytkl, že při vstupu na web se do zařízení ukládaly cookies ještě před jakoukoliv
interakcí s cookies lištou. To ale nebylo jediné zjištěné pochybení. I když uživatel odmítl cookies
prostřednictvím lišty, některé reklamní cookies se přesto spustily. A pokud uživatel nejdřív souhlas dal a pak
ho odvolal, systém sice formálně zaznamenal změnu, ale dříve nastavené cookies se dál četly. CNIL toto
vyhodnotil jako selhání základní logiky souhlasu. Nejde totiž jen o jednorázové nevratné kliknutí, ale o
průběžné respektování volby v čase, přičemž tato volba se může v průběhu času změnit, což musí správci
reflektovat. Odvolatelnost souhlase je jedním z jeho základní principů ve smyslu GDPR.
Podobný problém se objevil i u webu vanityfair.fr, kde se navíc řešila i srozumitelnost. Některé cookies byly
označené jako nezbytné, aniž by uživatel dostal užitečné vysvětlení, k čemu přesně slouží. A hlavně se ukázalo,
že tlačítko „odmítnout vše“ nemusí znamenat skutečné odmítnutí. Po odmítnutí se totiž spustily nové
cookies, které měly být blokované, a jiné, které už v prohlížeči byly, se dál používaly. Web tak v rámci svého
technické nastavení nerespektoval volbu uživatele.
Společný jmenovatel obou rozhodnutí je jednoduchý a pro praxi dost důležitý. Souhlas s cookies není jen
formální obrazovka, kterou si web bez dalšího nastaví, ale technické pravidlo, které musí být promítnuté do
toho, kdy a jak se cookies a podobné trackery spouštějí. Na základě rozhodnutí CNIL si tak lze připomenout
tři věci, které se v rámci kontrol kontrolách typicky řeší. Zaprvé, trackery nesmí běžet dřív, než uživatel vůbec
dostane možnost volby. Zadruhé, odmítnutí cookies má mít reálný dopad na jejich následné (ne)spuštění. A
zatřetí, odvolání souhlasu nemá být jen změna nastavení v rozhraní, ale skutečné zastavení dalšího používání
již uložených souborů cookies. Jinými slovy, u cookies se neposuzuje jen to, co se uvádí v cookies liště, ale
hlavně to, co se opravdu děje v rámci (ne)respektování volby uživatele.