Obchodní podmínky, ochrana osobních údajů a cookies v e-shopu

Modul 5: Povinnosti a podmínky · Doba čtení: 11 minut

Cíl lekce: Po této lekci budete umět nabízet obchodní podmínky tak, aby platily, doplnit zásady ochrany osobních údajů e-shopu o zpracování, která souvisejí s prodejem, posoudit, které cookies smí e-shop ukládat bez souhlasu, a nestranně se rozhodnout, zda je pro Vás vhodná značka kvality.

Klíčové pojmy: obchodní podmínky, předání podmínek, elektronické zpřístupnění, zaškrtávací políčko souhlasu, zásady ochrany osobních údajů, zpracovatel, smlouva o zpracování osobních údajů, doba uchovávání, funkční cookies, sledovací cookies, order attribution, souhlas, značka kvality, rozhodčí komise pro spory, platforma ODR

Tato lekce vysvětluje pravidla tak, jak platí k 9. listopadu 2026. Nejde o právní ani daňové poradenství. Pokud si nejste jisti svou situací, obraťte se na právníka, svou oborovou organizaci nebo svého účetního.

Obchodní podmínky: mít je nestačí

Obchodní podmínky jsou pevná pravidla, která používáte u každé objednávky: dodání, platba, záruka, odpovědnost, reklamace. Nejsou povinné, ale má je téměř každý e-shop. Past: podmínky, které si zákazník nemohl včas přečíst, možná neplatí.

V Nizozemsku stanoví čl. 6:234 BW (nizozemský občanský zákoník), že podmínky musíte zákazníkovi předat před uzavřením smlouvy nebo při něm. Online to smí být elektronicky, pokud si je zákazník může uložit a později si je znovu přečíst. Pokud to neuděláte, může zákazník dotčená ustanovení zneplatnit. V praxi:

• odkaz na podmínky těsně u tlačítka objednávky, se zaškrtávacím políčkem, které je na začátku prázdné („Přečetl(a) jsem si obchodní podmínky“);
• podmínky jako pdf nebo text v potvrzovacím e-mailu nebo v jeho příloze, aby je zákazník měl u sebe;
• stálá stránka, která je vždy dostupná, například přes zápatí.

Německo má podobné pravidlo (zákazník se musí mít možnost přiměřeným způsobem seznámit s „Allgemeine Geschäftsbedingungen“, AGB). V Belgii podmínky platí, pokud je zákazník mohl znát před uzavřením smlouvy a přijal je. Myšlenka je všude stejná: zobrazit včas a umožnit uložení. V Česku se spotřebitelské smlouvy řídí občanským zákoníkem (zákon č. 89/2012 Sb.) a dozor vykonává Česká obchodní inspekce (ČOI).

Stejně důležité je, co v nich být nesmí. Podmínky nesmějí omezovat zákonná práva spotřebitele. „Vrácení pouze v originálním, neotevřeném obalu“ nebo „u zboží ve výprodeji nelze odstoupit od smlouvy“ je v rozporu s právem odstoupit od smlouvy (lekce 5.2). Ustanovení, které je pouze ve Vašich podmínkách, také nikdy nenahrazuje povinné informace (lekce 5.1 a 5.4). Oborové organizace a značky kvality mívají vzorové podmínky; to je bezpečnější začátek než psát vlastní nebo kopírovat text jiného e-shopu (to druhé navíc není v pořádku z hlediska autorského práva).

Ochrana osobních údajů: co e-shop zpracovává navíc

Základy GDPR pro web (osobní údaje, právní základ, zásady ochrany osobních údajů, formuláře, zpracovatelé) najdete v kurzu WordPress, lekce 9.3. E-shop zpracovává více údajů a s více stranami:

Co s tím uděláte:

1. Uveďte každé zpracování ve svých zásadách ochrany osobních údajů, s účelem, právním základem, dobou uchovávání a příjemci. WordPress má v Nastavení > Soukromí pomocnou šablonu; WooCommerce do ní sám přidává návrhy textů pro e-shop. Použijte je jako začátek, ne jako konečný text.
2. Uzavřete smlouvy o zpracování osobních údajů se stranami, které jménem Vás zpracovávají údaje (hosting, služba pro rozesílání e-mailů, účetní program). U poskytovatelů plateb a dopravců se role liší podle konkrétní strany; přečtěte si, co sami uvádějí.
3. Nastavte doby uchovávání v WooCommerce > Nastavení > Účty a soukromí (lekce 2.3): neaktivní účty se po určité době smažou, nezaplacené, neúspěšné a zrušené objednávky jdou do koše a u vrácených a dokončených objednávek se osobní údaje anonymizují. Myslete na daňovou povinnost uchovávání (lekce 5.6): fakturační údaje uchovávejte ve svém účetnictví, pokud je z e-shopu odstraníte.
4. Vězte, co dělat při úniku dat (KB 6749 a kurz Bezpečně online). Napadený e-shop se zákaznickými údaji téměř vždy podléhá ohlašovací povinnosti.

Cookies v e-shopu

Samotná pravidla pro cookies (v Nizozemsku Telecommunicatiewet, v EU směrnice ePrivacy) najdete také v kurzu WordPress, lekce 9.3. Základní pravidlo: funkční cookies, které jsou nutné pro službu, o niž návštěvník žádá, jsou povoleny bez souhlasu. Pro sledování a většinu statistik potřebujete předem souhlas.

Pro e-shop to znamená:

• Funkční: cookies WooCommerce pro košík a relaci (woocommerce_cart_hash, woocommerce_items_in_cart, wp_woocommerce_session_...) a cookies Vašeho poskytovatele plateb během placení. Ty jsou povoleny a patří do Vašeho prohlášení o cookies.
• Order attribution: WooCommerce má funkci, která zaznamenává, přes jaký kanál objednávka přišla (vyhledávač, kampaň, e-mail). Používá cookies začínající na sbjs_, ve výchozím stavu jen po dobu návštěvy. Zda k tomu potřebujete souhlas, závisí na tom, jak údaje využíváte; jde o měření, ne o nic nutného pro objednávku. Funkci můžete vypnout v WooCommerce > Nastavení > Pokročilé > Vlastnosti. Zjistěte, co platí pro Vás, a uveďte to v prohlášení o cookies.
• Sledování a reklama: pixely sociálních sítí, reklamních sítí a statistiky, které sdílejí údaje s třetími stranami. Načítejte je teprve po udělení souhlasu. Cookie lišta, která vše načte ještě předtím, než návštěvník zvolí, nevyhovuje.

Past: velké zelené tlačítko „Přijmout“ vedle tlačítka „Odmítnout“, které musíte hledat. Dozorové úřady požadují, aby odmítnutí bylo stejně snadné jako přijetí.

Značky kvality a spory

Značka kvality je dobrovolná dohoda s organizací, která Váš e-shop kontroluje, poskytuje Vám vzorové podmínky a často nabízí řešení sporů. Příklady: Thuiswinkel Waarborg v Nizozemsku, BeCommerce v Belgii, Trusted Shops v Německu; existují i další. Liší se požadavky, kontrolou a náklady. Značka kvality není povinná a nenahrazuje zákon; může ale budovat důvěru a pomáhá Vám držet krok s pravidly. Porovnejte je podle toho, co kontrolují, co od Vás požadují a jaké řešení sporů k nim patří.

Ke sporům ještě jeden aktuální bod: do roku 2025 musely e-shopy uvádět odkaz na evropskou platformu ODR pro řešení sporů online. Tato platforma byla 20. července 2025 uzavřena (nařízení (EU) 2024/3228) a povinnost na ni odkazovat zanikla. Pokud je odkaz stále ve Vašich podmínkách nebo zápatí, odstraňte ho; odkazuje na něco, co už neexistuje. Evropská komise nyní odkazuje na seznam subjektů pro řešení sporů v jednotlivých zemích.

V praxi: takto to vypadá ve WooCommerce

V Theehuis Example:

1. Stránky Obchodní podmínky a Zásady ochrany osobních údajů; v WooCommerce > Nastavení > Pokročilé > Nastavení stránek zvolená stránka s podmínkami (zaškrtávací políčko souhlasu v pokladně) a v Nastavení > Soukromí stránka o ochraně osobních údajů.
2. V Účty a soukromí: text o ochraně osobních údajů, který WooCommerce zobrazuje při registraci a v pokladně, odkazuje na zásady ochrany osobních údajů.
3. Cookie lišta, která sledování načítá až po udělení souhlasu; otestováno v anonymním okně s nástroji pro vývojáře (karta Síť a Úložiště): před volbou žádné požadavky na reklamní ani statistické služby.
4. Podmínky jako pdf u potvrzovacího e-mailu (pomocí rozšíření) nebo odkaz v doplňujícím obsahu e-mailu.

Shrnutí

• Obchodní podmínky platí jen tehdy, když je před uzavřením smlouvy nebo při něm elektronicky zpřístupníte tak, aby si je zákazník mohl uložit (NL čl. 6:234 BW); nesmějí omezovat práva spotřebitele. V Česku se spotřebitelské smlouvy řídí občanským zákoníkem (zákon č. 89/2012 Sb.).
• E-shop zpracovává více osobních údajů než běžný web; uveďte každé zpracování s právním základem, dobou uchovávání a příjemci ve svých zásadách ochrany osobních údajů a nastavte doby uchovávání ve WooCommerce.
• Cookies košíku a relace jsou funkční; sledování a reklama až po udělení souhlasu; order attribution vědomě zapnout nebo vypnout.
• Značky kvality jsou dobrovolné; porovnávejte je nestranně. Povinný odkaz na platformu ODR od 20. července 2025 zanikl.

Kvíz

Úkol

Úkol A5.5: Podmínky, ochrana osobních údajů a cookies. Zadejte adresu svého e-shopu. Program načte domovskou stránku bez cookies, jako nový návštěvník, který ještě nic nezvolil, a zaznamená pouze názvy cookies, které web ukládá. Vyhledá odkaz na Vaše obchodní podmínky a odkaz na Vaše zásady ochrany osobních údajů (také v němčině, angličtině a francouzštině) a obě stránky načte. Zelená, pokud jsou oba odkazy k dispozici a stránky vracejí 200, v HTML nejsou žádné známé statistické ani reklamní skripty a žádné statistické ani reklamní cookies (například _ga, _fbp) se neukládají dříve, než návštěvník zvolí. Oranžová, pokud je takový skript již v HTML („načítá se až po udělení souhlasu?“), pokud se ukládají cookies order attribution (sbjs_) (informace), nebo pokud je na stránce stále odkaz na platformu ODR. Červená, pokud jeden z obou odkazů chybí, stránka není dostupná nebo se bez volby ukládají sledovací či reklamní cookies. Program vidí jen HTML bez JavaScriptu; skripty, které později načítají další skripty, si zkontrolujte sami na kartě Síť ve svém prohlížeči.

Otázka pro Vás (nekontroluje se): která zpracování z tabulky v této lekci ještě nejsou ve Vašich zásadách ochrany osobních údajů?

Další čtení

• Bezplatný kurz WordPress 9.3: GDPR: cookies, formuláře a zásady ochrany osobních údajů
• Cookies (Autoriteit Persoonsgegevens, nizozemsky): https://autoriteitpersoonsgegevens.nl/themas/internet-slimme-apparaten/cookies
• Jedná se o únik dat a musím to nahlásit?
• Nizozemský občanský zákoník (Burgerlijk Wetboek), kniha 6, čl. 6:234 (wetten.overheid.nl, nizozemsky): https://wetten.overheid.nl/BWBR0005289/
• Uzavření platformy ODR a subjekty pro řešení sporů v jednotlivých zemích (Evropská komise, anglicky): https://consumer-redress.ec.europa.eu/site-relocation_en
• Thuiswinkel.org (značka kvality Thuiswinkel Waarborg, nizozemsky): https://www.thuiswinkel.org/