We Scanned 97,000 EU Websites for GDPR Compliance. Here's What We Found.

Osem rokov po nadobudnutí účinnosti GDPR sme sa rozhodli prestať špekulovať o súlade so súhlasom a začať ho merať. Nasmerovali sme náš skener na 97 304 webových stránok v 25 z 27 členských štátoch EÚ a zaznamenali presne to, čo sa deje v skutočnom prehliadači pred, počas a po udelení súhlasu. Nie to, čo sľubujú zásady ochrany súkromia. Nie to, čo hlási ovládací panel CMP. To, čo sa skutočne spustí v prehliadači, keď na stránku prvýkrát zavíta návštevník.

V našom datasete bolo sledovanie pred súhlasom bežné: dve tretiny webových stránok EÚ začínajú sledovať návštevníkov skôr, než dôjde k akejkoľvek interakcii so súhlasom. Viac ako polovica nezobrazuje žiadny banner pre súhlas. A keď webové stránky ponúkajú tlačidlo na odmietnutie, v 80 % prípadov nedokáže zastaviť sledovanie. Nejde o okrajové prípady ani technické detaily. Toto je základný stav súladu so súhlasom naprieč Európskou úniou v roku 2026.

Metodológia: Ako sme to merali

Než sa ponoríme do zistení, záleží na tom, ako sme tieto údaje zbierali, pretože metodológia určuje, či sú takéto čísla zmysluplné, alebo zavádzajúce.

Zoznam webových stránok

Našu vzorku sme čerpali zo zoznamu Tranco Top 1M, výskumného rebríčka domén vytvoreného kombináciou údajov z viacerých nezávislých zdrojov rebríčkov. Tranco bol špeciálne navrhnutý tak, aby odolával manipulácii a poskytoval stabilné rebríčky pre štúdie webového merania, čo z neho robí štandardný zdroj pre rozsiahly webový výskum. Filtrovali sme domény spojené s 25 z 27 členskými štátmi EÚ na základe národných TLD a registračných údajov, čím sme získali 114 748 kandidátnych URL. Z nich 97 304 bolo úspešne dokončených -- zvyšok zlyhal kvôli chybám DNS, časovým limitom pripojenia alebo úplne nedostupným stránkam.

Čo skener robí

Každý sken používa náš produkčný skenovací engine: aplikáciu v Go, ktorá riadi plný headless prehliadač Chromium prostredníctvom Chrome DevTools Protocol. Nejde o statický HTML scraper ani o vyhľadávanie v databáze cookies. Pre každú webovú stránku skener:

1. Spustí čistú inštanciu Chromium bez uložených cookies, bez lokálneho úložiska a bez histórie prehliadania -- simuluje skutočného prvého návštevníka.

2. Prejde na cieľovú URL a počká na načítanie stránky.

3. Vytvorí snímku pred súhlasom: každý nastavený cookie, každý vykonaný sieťový požiadavok, každá kontaktovaná doména tretej strany -- všetko pred akoukoľvek interakciou so súhlasom.

4. Pokúsi sa detegovať banner súhlasu pomocou knižnice pokrývajúcej 45 známych CMP plus generické heuristiky.

5. Interaguje s bannerom (prijať alebo odmietnuť) a zaznamenáva stav po interakcii.

6. Pre testovanie toku odmietnutia: znovu načíta stránku a skontroluje, či bolo odmietnutie rešpektované, alebo či sa cookies obnovili.

Každý krok produkuje časovo označené dôkazy: kompletné inventáre cookies, záznamy sieťových požiadavkov a snímky obrazovky. Keď hovoríme, že webová stránka „aktivuje sledovanie pred súhlasom", máme na mysli, že sme pozorovali skutočné HTTP požiadavky na známe sledovacie domény a skutočné cookies nastavené v prehliadači -- nie že sme to odvodili z tagu skriptu v HTML.

Čo technicky znamená „pred súhlasom"

Toto je kľúčový koncept. Správanie pred súhlasom je všetko, čo sa stane medzi okamihom, keď sa stránka začne načítavať, a okamihom, keď používateľ prvýkrát interaguje s mechanizmom súhlasu. V praxi toto okno zvyčajne trvá 2-5 sekúnd, ale na mnohých stránkach sa predlžuje, keď stránka načítava ďalšie zdroje. Počas tohto okna nemal návštevník žiadnu príležitosť čokoľvek prijať alebo odmietnuť. Podľa článku 5 ods. 3 smernice ePrivacy (ako ho vyložil SDEÚ v rozsudku Planet49, C-673/17) vyžaduje uloženie informácií na zariadení používateľa alebo prístup k už uloženým informáciám predchádzajúci súhlas -- s výnimkou cookies nevyhnutne potrebných pre službu, ktorú používateľ požiadal. Čokoľvek nepodstatné, čo sa spustí počas tohto okna, zo svojej podstaty funguje bez platného súhlasu.

Zistenie 1: Sledovanie pred súhlasom je normou, nie výnimkou

Najdôležitejšie číslo v tejto štúdii: 68 % skenovaných webových stránok aktivuje sledovanie tretími stranami predtým, než používateľ udelí súhlas. Úzko súvisí: 66,6 % nastavuje cookies pred súhlasom.

Nejde o rovnakú metriku. Webová stránka môže kontaktovať sledovaciu doménu tretej strany (spustiť pixel, načítať skript) bez toho, aby táto doména úspešne nastavila cookie -- napríklad ak prehliadač blokuje cookies tretích strán. Naopak, analytický cookie prvej strany môže byť nastavený bez kontaktovania externej domény. Obe správania sú problematické, ale predstavujú rôzne technické mechanizmy a rôzne právne expozície.

Rozsah aktivity pred súhlasom je značný:

Medián 6 je pravdepodobne informatívnejší ako priemer. Polovica všetkých skenovaných webových stránok kontaktuje aspoň šesť externých domén predtým, než má používateľ akúkoľvek príležitosť súhlasiť. Nejde o siete na doručovanie obsahu ani o servery fontov (tie vylučujeme z klasifikácie sledovania). Ide o reklamné platformy a analytické služby.

Rozklad aktivity pred súhlasom podľa kategórie cookies odhaľuje, na čo toto sledovanie skutočne slúži:

Takmer každá tretia webová stránka EÚ nastavuje analytické cookies pred súhlasom. Takmer každá piata nastavuje marketingové cookies. Právna pozícia je v tomto ohľade jednoznačná: EDPB opakovane potvrdil, že analytické a marketingové cookies vyžadujú súhlas podľa článku 5 ods. 3 ePrivacy. Rozsudok SDEÚ Planet49 jasne stanovil, že súhlas musí byť aktívnym, potvrdzujúcim úkonom -- a nemôže byť potvrdzujúci, ak sa ešte neuskutočnil.

Praktický dôsledok je ten, že v okamihu, keď návštevník uvidí banner cookies a zvažuje, či prijať alebo odmietnuť, jeho prehliadač už bol identifikovaný, jeho návšteva bola zaznamenaná analytickými platformami a v mnohých prípadoch bol jeho profil prehliadania aktualizovaný reklamnými sieťami. Voľba súhlasu, keď príde, je čiastočne retroaktívna -- a retroaktívny súhlas nie je vôbec súhlasom.

Zistenie 2: Medzera v banneroch súhlasu

Viac ako polovica skenovaných webových stránok -- 53 508 z 97 304, teda 55 % -- nezobrazila žiadny banner súhlasu, ktorý by náš detekčný systém dokázal identifikovať.

Toto číslo si vyžaduje opatrný výklad. Nie každá webová stránka bez banneru nutne porušuje zákon. Webová stránka, ktorá nenastavuje žiadne nepodstatné cookies a nekontaktuje žiadne sledovacie služby tretích strán, môže legitímne fungovať bez mechanizmu súhlasu. Výnimka ePrivacy pre „nevyhnutne potrebné" cookies znamená, že stránka používajúca iba relačné cookies pre prihlásenie alebo funkcionalitu nákupného košíka nemá pre tieto konkrétne cookies žiadnu povinnosť súhlasu.

Ale to nie je to, čo pozorujeme. Z 53 508 stránok bez detegovateľného banneru 18 026 aktívne nastavuje nepodstatné cookies a kontaktuje sledovacie domény tretích strán. Tieto stránky nemajú žiadny mechanizmus súhlasu a sledujú návštevníkov od prvého načítania stránky. Nie je nám známy žiadny platný právny základ pre toto ani podľa GDPR, ani podľa smernice ePrivacy.

Zvyšné stránky bez bannerov spadajú do niekoľkých kategórií: stránky, ktoré skutočne nenastavujú žiadne nepodstatné cookies (a preto nemusia banner potrebovať), stránky používajúce mechanizmy súhlasu, ktoré náš detekčný systém nedokázal identifikovať, a stránky, ktoré sú jednoducho nefunkčné alebo obsahujú minimálny obsah. Naša knižnica pre detekciu 45 CMP plus generické heuristiky pokrýva drvivú väčšinu známych riešení súhlasu, ale vlastné implementácie v neobvyklých frameworkoch alebo jazykoch môžu byť prehliadnuté.

Napriek tomu je číslo 18 026 dolnou hranicou, nie stropom, pre stránky bez banneru so sledovaním. Ide o stránky, kde máme pozitívny dôkaz tak o sledovacej aktivite, ako aj o absencii banneru.

Zistenie 3: Tlačidlá odmietnutia zlyhávajú v 80 % prípadov

Tomuto zisteniu sme venovali samostatný príspevok, ale zaslúži si tu podstatné pokrytie, pretože mieri na samé jadro modelu súhlasu.

Z 28 891 webových stránok, kde sme detegovali tlačidlo odmietnutia a úspešne s ním interagovali, 80,4 % pokračovalo v sledovaní po tom, čo používateľ klikol na odmietnuť. Iba 5 650 stránok (19,6 %) prešlo testom toku odmietnutia -- čo znamená, že sledovanie skutočne prestalo a zostalo zastavené.

Zlyhania sa rozpadajú do prekrývajúcich sa kategórií:

Consent respawn je vzorec, ktorý sme identifikovali počas tohto výskumu. Používateľ klikne na odmietnuť, CMP odstráni cookies a pri ďalšom načítaní stránky sa tieto cookies znovu objavia. Na 1 642 stránkach sme pozorovali 4 932 jednotlivých cookies vykazujúcich toto správanie. Mechanizmus sa líši -- skripty tretích strán, ktoré sa spúšťajú bez ohľadu na stav súhlasu, správcovia tagov, ktorí nešíria odmietnutie na všetky integrované služby, hlavičky Set-Cookie na strane servera, ktoré ignorujú rozhodnutia o súhlase na strane klienta -- ale výsledok je rovnaký. Tlačidlo odmietnutia sa stáva dočasnou pauzou, nie trvalou voľbou.

Podľa článku 7 ods. 3 GDPR musí byť odvolanie súhlasu rovnako jednoduché ako jeho udelenie a správca musí na toto odvolanie reagovať. Tlačidlo odmietnutia, ktoré v skutočnosti nezastaví sledovanie, nespĺňa túto požiadavku bez ohľadu na technickú príčinu.

Zistenie 4: Porovnanie podľa krajín

GDPR je jedna regulácia, ale súlad nie je jednotný. Percento vysoko rizikových webových stránok sa líši takmer trikrát naprieč členskými štátmi EÚ.

Tento vzorec je v súlade s rozdielmi v aktivite v oblasti vymáhania. Nemecko a Rakúsko -- domov BfDI, šestnástich štátnych DPA a DSB -- patria medzi najaktívnejšie európske úrady v oblasti cielenia na porušenia súhlasu a cookies konkrétne. DSB vydal jedno z prvých rozhodnutí o vymáhaní po Schrems II. Nemecké štátne DPA vykonali sektorové audity cookies a vydali normatívne usmernenia k tomu, čo predstavuje platný súhlas.

Na druhom konci Maďarsko, Česko, Rumunsko a Poľsko majú DPA, ktoré sú typicky nedostatočne financované vo vzťahu k veľkosti ich digitálnych ekonomík a historicky zameriavali vymáhanie na úniky údajov a žiadosti o prístup subjektov údajov skôr než na súhlas s cookies. Toto nie je kritika týchto úradov -- fungujú s rozpočtami, ktoré im boli pridelené -- ale je to jasná demonštrácia toho, že vymáhanie poháňa súlad. Rovnaký právny text, aplikovaný s rôznou intenzitou vymáhania, produkuje citeľne odlišné výsledky.

Francúzsko je poučné. CNIL je jedným z najviditeľnejších európskych orgánov pre vymáhanie, vydávajúcim rekordné pokuty veľkým technologickým spoločnostiam. Napriek tomu francúzske webové stránky sedia na 44,1 % vysokého rizika, blízko priemeru EÚ. Vysvetlenie pravdepodobne spočíva v stratégii vymáhania CNIL: vysoko profilové akcie proti veľkým platformám generujú titulky, ale priamo nemenia správanie tisícov malých a stredných podnikov, ktoré tvoria dlhý chvost webu. Široká zmena správania vyžaduje buď sektorové vymáhacie kampane (ako to robí Nemecko), alebo všeobecné zvýšenie vnímanej hrozby vymáhania.

Údaje o jednotlivých krajinách podrobnejšie pokrývame v našom príspevku o porovnaní krajín.

Zistenie 5: Trhový podiel CMP a čo nám hovorí

Medzi 43 796 webovými stránkami (45 %), ktoré zobrazili detegovateľný banner súhlasu, sme identifikovali 45 rôznych platforiem pre správu súhlasu. Trh je koncentrovaný na vrchole, ale fragmentovaný v dlhom chvoste.

Najväčšou jednotlivou kategóriou sú „Generické / neidentifikované" s 34,7 %. Ide o stránky používajúce riešenia súhlasu, ktoré neodpovedali žiadnemu zo 45 podpisov CMP v našej detekčnej knižnici. Zahŕňajú vlastné cookie lišty, doplnky WordPress, ktoré nie sú široko rozpoznávané, regionálnych poskytovateľov CMP a implementácie tak minimálne, že pozostávajú z jediného zatvárateľného div s tlačidlom „Rozumiem". Kvalita súladu tejto kategórie je v priemere výrazne nižšia ako u zavedených CMP, hoci sme doteraz nezverejnili miery súladu podľa jednotlivých CMP.

Údaje o interakcii s bannermi odhaľujú ďalší problém. Z 43 796 detegovaných bannerov:

Takmer každý piaty banner súhlasu neponúka žiadny viditeľný spôsob, ako odmietnuť nepodstatné cookies bez navigácie do druhej vrstvy nastavení. Usmernenia EDPB 05/2020 o súhlase uvádzajú, že odmietnutie súhlasu by nemalo vyžadovať viac úsilia ako jeho udelenie. Dizajn, ktorý vyžaduje ďalšie kliknutia na odmietnutie, ale ponúka prijatie jedným kliknutím, je podľa týchto usmernení temný vzorec, ktorý podkopáva platnosť súhlasu.

Taktiež sme detegovali špecifické implementácie temných vzorcov: 3 454 stránok (7,9 % z tých s bannermi) umiestnilo možnosť odmietnutia iba do druhej vrstvy, 84 stránok použilo cookie wall (blokovanie obsahu do udelenia súhlasu) a 137 stránok vykazovalo obchádzanie súhlasu botmi -- zámerné skrývanie banneru pred automatizovanými skenermi pri jeho zobrazovaní ľudským návštevníkom.

Zistenie 6: Zneužívanie životnosti cookies

CNIL odporúča maximálnu životnosť cookies 13 mesiacov — štandard, ktorý niekoľko ďalších národných DPA prijalo alebo naň odkázalo. Nejde o pevný právny limit v texte GDPR, ale odráža výklad princípu obmedzenia uloženia (článok 5 ods. 1 písm. e)) vo vzťahu k sledovacím identifikátorom.

Náš sken zistil 26 250 webových stránok (27 %) s aspoň jedným cookie prekračujúcim prah 13 mesiacov, zahrňujúcim 58 127 jednotlivých cookies celkovo.

Najčastejším previnilcom je cookie `_ga` používaný Google Analytics, ktorý je v predvolenom nastavení nastavený na životnosť dva roky. To znamená, že aj webové stránky s inak funkčnými mechanizmami súhlasu sú často v rozpore jednoducho preto, že neprepísali predvolenú expiráciu GA cookies. Je to problém konfigurácie, nie technické obmedzenie -- Google Analytics umožňuje vlastné životnosti cookies -- ale predvolené nastavenie nie je v súlade s usmerneniami EDPB a väčšina prevádzkovateľov stránok ho nikdy nemení.

Dlhodobé cookies vytvárajú kumulatívne riziko pre súkromie. Dvojročný cookie nie je len „o trochu dlhší ako 13 mesiacov". Znamená to, že používateľ, ktorý navštívi stránku raz, udelí súhlas a už sa nevráti, môže byť stále identifikovaný a sledovaný analytikou stránky po dobu dvoch rokov. Ak používateľ neskôr odvolá súhlas alebo sa zmení právny základ, cookie pretrváva ako prízračný identifikátor, kým nevyprší.

Ďalšie zistenia

Niekoľko ďalších zistení zo štúdie si zaslúži stručnú zmienku:

Fingerprinting. Detegovali sme signály fingerprintingu prehliadača (canvas fingerprinting, WebGL fingerprinting, audio context fingerprinting) na 4 114 webových stránkach (4,2 %). Fingerprinting je obzvlášť znepokojujúci, pretože ho nemožno odstrániť zmazaním cookies -- využíva vlastné charakteristiky prehliadača a zariadenia ako identifikátory. Smernica ePrivacy zaobchádza s fingerprintingom ako s ekvivalentom sledovania na báze cookies na účely súhlasu. Nesúlady Google Consent Mode. Medzi stránkami implementujúcimi Google Consent Mode bolo 28,4 % detegovaných ako jeho používatelia, zatiaľ čo 13,7 % stránok používajúcich služby Google nevykazovalo žiadnu implementáciu Consent Mode. Znepokojujúcejšie je, že 11,9 % vykazovalo nesúlady -- stav súhlasu hlásený API Googlu nezodpovedal skutočnému sledovaciemu správaniu pozorovanému v prehliadači. To znamená, že CMP hovorí Googlu, že súhlas bol odmietnutý, ale sledovacie požiadavky pokračujú. Prístupnosť. Bannery súhlasu sú právne požadované prvky UI a ak sú neprístupné, segment používateľov nemôže uplatniť svoje práva. Medzi detegovanými bannermi: 25 % malo dotykové ciele pod odporúčanou minimálnou veľkosťou, 15,2 % malo text s nízkym kontrastom a 3,4 % nebolo prístupných klávesnicou. Banner, ktorý nemožno ovládať klávesnicou, fakticky odopiera voľbu súhlasu používateľom, ktorí sa spoliehajú na asistívne technológie -- porušenie, ktoré sa dotýka tak GDPR, ako aj predpisov o prístupnosti.

Celková distribúcia rizík

Súhrnne, celková klasifikácia rizík 97 304 skenovaných stránok:

Miera nepreukazných výsledkov 14,9 % odráža stránky, kde skener nedokázal dosiahnuť spoľahlivé určenie -- typicky kvôli detekcii botov, zložitým architektúram jednostránkových aplikácií alebo správaniu závislému na časovaní. Tieto výsledky hlásime úprimne namiesto toho, aby sme ich nútili do klasifikácie prešiel/neprešiel, pretože falošná dôvera v údaje o súlade je horšia ako priznaná neistota.

Čo to znamená pre prevádzkovateľov webových stránok

Ak prevádzkujete webovú stránku slúžiacu návštevníkom z EÚ, štyri kroky riešia najčastejšie a najrizikovejšie nálezy:

1. Vykonajte audit toho, čo sa načítava pred súhlasom. Otvorte svoju stránku v súkromnom okne prehliadača, otvorte vývojárske nástroje a sledujte záložky Sieť a Aplikácia predtým, než interagujete s akýmkoľvek bannerom. Ak vidíte požiadavky na analytické alebo reklamné domény, alebo cookies z týchto služieb, vaše správanie pred súhlasom nie je v súlade. Oprava je typicky v konfigurácii správcu tagov: zabezpečte, aby nepodstatné skripty boli blokované, kým nebude zaznamenaný potvrdzujúci súhlas. 2. Otestujte svoj tok odmietnutia od začiatku do konca. Kliknite na odmietnuť na vlastnom banneri a potom skontrolujte, či nepodstatné cookies zmizli. Potom stránku znovu načítajte a skontrolujte znova. Ak sa cookies znovu objavia, máte problém s consent respawn, ktorý vyžaduje vyšetrenie, ktoré skripty obchádzajú váš mechanizmus súhlasu. Naše údaje ukazujú, že to postihuje prekvapivo veľký počet stránok, aj tých používajúcich renomované CMP. 3. Skontrolujte životnosť svojich cookies. Ak používate Google Analytics s predvoleným nastavením, váš cookie `_ga` má životnosť dva roky. Zmeňte ju na 13 mesiacov alebo menej. Skontrolujte všetky cookies, ktoré vaša stránka nastavuje, a zabezpečte, aby žiadny neprekračoval odporúčané maximum 13 mesiacov. Ide o rýchlu konfiguračnú opravu, ktorá eliminuje bežný nález nesúladu. 4. Zabezpečte, aby váš banner bol prístupný a ponúkal odmietnutie v prvej vrstve. Ak vaša možnosť odmietnutia vyžaduje navigáciu na druhú stránku nastavení, zatiaľ čo „Prijať všetko" je jedno kliknutie, váš mechanizmus súhlasu nemusí spĺňať usmernenia EDPB. Skontrolujte banner z hľadiska prístupnosti klávesnicou, veľkosti dotykových cieľov a kontrastných pomerov.

Poznámky k metodológii a úprimné obmedzenia

Chceme byť transparentní ohľadom toho, čo táto štúdia môže a čo nemôže povedať.

Čo meria dobre: Správanie pred súhlasom, inventáre cookies, sieťové požiadavky na známe sledovacie domény, prítomnosť a štruktúru banneru, výsledky toku odmietnutia a životnosť cookies. Ide o objektívne merania založené na dôkazoch zaznamenaných zo skutočného správania prehliadača. Čo meria nedokonale: Detekcia CMP nie je 100% komplexná. Stránky používajúce riešenia súhlasu, ktoré nie sú v našej knižnici 45 CMP, môžu byť nesprávne kategorizované ako stránky bez banneru. Bannery závislé na GeoIP sa môžu zobrazovať odlišne v závislosti od sieťovej lokácie skeneru. Jednostránkové aplikácie spravujúce súhlas v stave na strane klienta bez zmien DOM je ťažšie posúdiť. Niektoré stránky detegujú automatizované prehliadače a menia podľa toho svoje správanie (zistili sme, že 137 to robí zámerne). Čo nemeria: Tvrdenia o oprávnenom záujme (ktoré vyžadujú právne, nie technické posúdenie), kvalitu zásad ochrany súkromia, či sú záznamy o súhlase riadne uložené, alebo či sú činnosti spracovania údajov primerané. Ide o dôležité dimenzie súladu, ktoré nemožno pozorovať iba zo správania prehliadača.

Miera nepreukazných výsledkov 14,9 % je naším poistným ventilom pre stránky, kde sme nedokázali dosiahnuť spoľahlivé technické určenie. Uprednostňujeme úprimnú neistotu pred falošnou presnosťou.

---

Skontrolujte svoju vlastnú webovú stránku. Spustite bezplatný sken na gdprprivacymonitor.eu a pozrite sa presne, čo sa deje pred, počas a po súhlase na vašej stránke. Skener produkuje rovnaké dôkazy ako v tejto štúdii -- snímky pred súhlasom, inventáre cookies, výsledky toku odmietnutia a klasifikáciu rizík -- pre akúkoľvek URL, ktorú zadáte.