Když přebíráme web po jiném dodavateli, první věc, kterou kontrolujeme, není kód. Je to patička. Za poslední rok jsme jich projeli několik desítek a skoro v každé něco chybělo: spisová značka u s.r.o., údaj o živnostenském rejstříku u živnostníka, zásady zpracování osobních údajů, na které vede odkaz z formuláře do prázdna. A naopak tam skoro vždycky bylo něco, co tam být nemá: odkaz na evropskou platformu ODR, která od července 2025 neexistuje, a zaškrtávací políčko „souhlasím se zpracováním" u kontaktního formuláře, které GDPR nevyžaduje. Tohle je seznam, který si při té kontrole procházíme, přepsaný tak, abyste si ho mohli projít sami.
V kostce: každý podnikatel musí mít na webu jméno nebo název, sídlo, IČO a údaj o zápisu v rejstříku (§ 435 občanského zákoníku, pokuta až 100 000 Kč). Web s kontaktním formulářem potřebuje zásady zpracování osobních údajů, ne souhlas. Cookies mimo nezbytné jdou jen po prokazatelném souhlasu s rovnocenným tlačítkem Odmítnout. E-shop má navíc obchodní podmínky, poučení o 14denním odstoupení, reklamační postup, ceny včetně DPH, u slev nejnižší cenu za 30 dní a informaci o České obchodní inspekci jako orgánu mimosoudního řešení sporů. E-shopy nad hranici mikropodniku spadají od června 2025 pod zákon o přístupnosti. Níže rozepisuji jednotlivé body, výši pokut a čtyři věci, které na webu ze zákona nemusíte, i když je tam skoro každý má.
Jedna poznámka dopředu: jsme vývojáři, ne advokáti. Tenhle text vychází z toho, co v zákonech stojí, a z toho, co po nás klienti a jejich právníci při předání webů chtějí. Pro výklad na míru vaší situaci si nechte poradit od právníka.
Co musí mít každý firemní web, i web živnostníka
Základ je § 435 občanského zákoníku. Říká, že každý podnikatel musí uvádět své identifikační údaje nejen na fakturách a smlouvách, ale i „v rámci informací zpřístupňovaných veřejnosti prostřednictvím dálkového přístupu", tedy na webu. Platí to pro každého, kdo podniká, včetně živnostníka s jednostránkovou vizitkou. Co přesně, závisí na právní formě:
| Údaj | Živnostník (OSVČ) | s.r.o. / a.s. |
|---|---|---|
| Jméno / název firmy | Jméno a příjmení, případně s dodatkem | Přesný název včetně právní formy |
| Sídlo | Adresa sídla podnikání | Adresa sídla z obchodního rejstříku |
| IČO | Ano | Ano |
| Údaj o zápisu | „Zapsán v živnostenském rejstříku" (postačí s uvedením úřadu) | Spisová značka: soud, oddíl a vložka |
| DIČ | Zákon na webu nevyžaduje, u plátců DPH zvyk | Zákon na webu nevyžaduje, u plátců DPH zvyk |
| Kontakt | Pro poskytovatele služeb a e-shopy e-mail a telefon | Pro poskytovatele služeb a e-shopy e-mail a telefon |
Akciová společnost musí podle § 7 zákona o obchodních korporacích web mít povinně a zveřejňovat na něm i další informace, třeba pozvánky na valnou hromadu. Společnost s ručením omezeným web mít nemusí, ale když ho má, platí pro ni stejný rozsah údajů jako na obchodních listinách. Nejpraktičtější místo je patička na každé stránce; stačí i stránka Kontakt, pokud je na ni odkaz odkudkoli.
Pokuta za chybějící údaje je až 100 000 Kč podle zákona o některých přestupcích. V praxi úřady nejčastěji nejdřív vyzvou k nápravě. Větší škodu než pokuta dělá důvěra: web bez IČO a adresy vypadá jako web, který nemá kdo zodpovídat, a stejně ho čtou zákazníci, banky i vyhledávače.
Osobní údaje: zásady zpracování ano, souhlas u formuláře ne
Jakmile máte na webu kontaktní formulář, poptávkový formulář nebo jen e-mail, na který vám lidé píšou, zpracováváte osobní údaje a podle článku 13 GDPR o tom musíte informovat. Dokument se obvykle jmenuje Zásady zpracování osobních údajů a musí obsahovat:
- kdo je správce (název, IČO, kontakt),
- jaké údaje a za jakým účelem zpracováváte (vyřízení poptávky, fakturace, newsletter, měření návštěvnosti),
- právní základ pro každý účel (plnění smlouvy, oprávněný zájem, souhlas, zákonná povinnost),
- jak dlouho údaje uchováváte,
- komu je předáváte (hosting, e-mailový nástroj, účetní, Google),
- práva subjektu údajů a jak je uplatnit, včetně práva podat stížnost u Úřadu pro ochranu osobních údajů.
Naopak zaškrtávací políčko „Souhlasím se zpracováním osobních údajů" pod kontaktním formulářem nepotřebujete. Odpověď na poptávku je zpracování nezbytné pro jednání o smlouvě a souhlas pro něj není správný právní základ; ÚOOÚ to opakovaně vysvětluje. Stačí věta „Odesláním formuláře berete na vědomí zásady zpracování osobních údajů" s odkazem. Políčko pro souhlas patří jen k tomu, kde souhlas skutečně potřebujete, typicky k odběru newsletteru.
Cookies: co platí od roku 2022 a kolik za to padají pokuty
Od 1. ledna 2022 platí v § 89 odst. 3 zákona o elektronických komunikacích režim opt-in: cookies, které nejsou nezbytné pro chod webu, můžete uložit až po předem daném prokazatelném souhlasu. Výjimku mají technické cookies, například košík nebo přihlášení. Analytika, remarketing, vložená videa nebo mapy s vlastními cookies souhlas potřebují.
Aby souhlas platil, musí lišta splňovat několik věcí, které většina šablon z internetu nesplňuje:
- tlačítko Odmítnout je stejně viditelné a stejně dostupné jako Přijmout, nikoli schované pod „Nastavení",
- před souhlasem se skutečně nic nenačte: běžná chyba je Google Analytics spuštěný ještě před kliknutím,
- souhlas se dá kdykoli odvolat, obvykle odkazem v patičce,
- souhlas se eviduje, abyste ho v případě kontroly mohli doložit.
Pokuty nejsou teorie. ÚOOÚ od začátku roku 2023 uložil za cookies bez souhlasu pokuty v celkové výši přes 4,4 milionu korun, nejvyšší jednotlivá byla 898 000 Kč. Horní hranice podle GDPR je 10 milionů eur nebo dvě procenta obratu, u závažnějších porušení dvojnásobek, tu ale úřad u českých webů zatím nepoužil. Pokud na webu nemáte žádnou analytiku ani reklamní skripty, lištu nepotřebujete vůbec. Pokud ji potřebujete, chtějte nástroj, který skripty skutečně blokuje do souhlasu a umí Google Consent Mode; my jsme si na to postavili Consentio, protože zahraniční nástroje účtovaly v dolarech a neřešily českou fakturaci.
E-shop: osm věcí navíc
Kdo prodává spotřebitelům přes web, uzavírá smlouvy na dálku a má výrazně širší informační povinnosti podle § 1811, § 1820 a následujících občanského zákoníku a podle zákona o ochraně spotřebitele. Kontrolu dělá Česká obchodní inspekce a u e-shopů ji dělá pravidelně.
| Povinnost | Kde na webu | Odkud plyne |
|---|---|---|
| Obchodní podmínky s údaji o prodávajícím, zboží, ceně, dopravě, platbě a dodání | Samostatná stránka, odkaz z košíku a patičky | § 1811, § 1820 OZ |
| Poučení o právu odstoupit do 14 dnů a vzorový formulář | Obchodní podmínky + samostatná stránka | § 1820, § 1829 OZ |
| Reklamační postup a záruka | Reklamační řád nebo část podmínek | § 2165 a násl. OZ, zákon o ochraně spotřebitele |
| Ceny konečné včetně DPH a všech poplatků, u zboží podle množství i cena za jednotku | Detail produktu, košík | § 12 zákona o ochraně spotřebitele |
| U slevy nejnižší cena za posledních 30 dní | U každé zlevněné položky | § 12a zákona o ochraně spotřebitele |
| Informace, jestli a jak ověřujete, že recenze pochází od skutečných zákazníků | U recenzí nebo v podmínkách | Zákon o ochraně spotřebitele (novela 2023) |
| Informace o mimosoudním řešení sporů u ČOI včetně odkazu na coi.gov.cz | Obchodní podmínky, patička | § 14 zákona o ochraně spotřebitele |
| Tlačítko dokončení objednávky s jasným textem, že zavazuje k platbě | Poslední krok košíku | § 1826a OZ |
A jedna věc, kterou máte smazat: odkaz na evropskou platformu pro řešení sporů online (ec.europa.eu/consumers/odr). Platforma ukončila činnost 20. července 2025 a informační povinnost skončila s ní. Odkaz na ni má dodnes v podmínkách většina českých e-shopů, protože ho tam před lety vložila šablona. Povinnost informovat o ČOI jako subjektu mimosoudního řešení sporů naopak platí dál.
Přístupnost: koho se od června 2025 týká
Zákon č. 424/2023 Sb. o požadavcích na přístupnost některých výrobků a služeb, česká verze Evropského aktu o přístupnosti, platí od 28. června 2025 a poprvé míří na soukromý sektor: e-shopy, bankovní a platební služby, rezervační a ticketové systémy, e-knihy. Standardem je WCAG 2.1 na úrovni AA. Mikropodniky poskytující služby, tedy firmy do 10 zaměstnanců a zároveň do 2 milionů eur obratu, jsou vyňaté; služby spuštěné před tímto datem mají přechodné období do 28. června 2030. Horní hranice pokuty je 10 milionů korun, dozor zatím běží hlavně v poradním režimu. Kdo je uvnitř a kdo venku, jsme podrobně rozebrali v článku o Evropském aktu o přístupnosti rok poté.
Newsletter a obchodní sdělení
Rozesílání newsletteru upravuje § 7 zákona č. 480/2004 Sb. o některých službách informační společnosti. Obchodní sdělení smíte poslat jen tomu, kdo k tomu dal souhlas, nebo vlastnímu zákazníkovi ve vztahu k podobnému zboží či službě, pokud to při nákupu neodmítl. Každý e-mail musí být označený jako obchodní sdělení, musí obsahovat identifikaci odesílatele a funkční možnost odhlášení. Nakoupená databáze kontaktů tuto podmínku nesplní nikdy. Dozor vykonává ÚOOÚ a spam patří k nejčastěji pokutovaným věcem vůbec.
Co ze zákona nemusíte, i když to má skoro každý
- Souhlas se zpracováním u kontaktního formuláře. Viz výše; zbytečné políčko, které navíc snižuje počet odeslaných poptávek.
- Cookie lišta na webu bez cookies. Statický web bez analytiky a bez vložených skriptů třetích stran lištu nepotřebuje. Lišta „pro jistotu" jen obtěžuje návštěvníky.
- Odkaz na platformu ODR. Od 20. července 2025 neexistuje. Smažte ho.
- Copyright v patičce. „© 2026 Firma, všechna práva vyhrazena" nemá právní účinek; autorské právo vzniká automaticky. Uvádět ho můžete, ale povinnost to není.
Checklist: 12 bodů před spuštěním webu
- Název firmy nebo jméno živnostníka, sídlo, IČO v patičce nebo na Kontaktu.
- Spisová značka (s.r.o., a.s.) nebo údaj o živnostenském rejstříku (OSVČ).
- E-mail a telefon, pokud poskytujete služby nebo prodáváte.
- Zásady zpracování osobních údajů, odkaz z každého formuláře a z patičky.
- Formuláře bez zbytečného souhlasu, newsletter se souhlasem.
- Cookie lišta jen tam, kde jsou nepovinné cookies; Odmítnout na první vrstvě; skripty blokované do souhlasu.
- E-shop: obchodní podmínky, odstoupení s formulářem, reklamační postup.
- E-shop: ceny včetně DPH, u slev nejnižší cena za 30 dní, tlačítko „Objednat a zaplatit" nebo ekvivalent.
- E-shop: informace o ČOI, smazaný odkaz na ODR.
- E-shop nad hranici mikropodniku: přístupnost podle WCAG 2.1 AA, případně plán do roku 2030.
- Newslettery označené jako obchodní sdělení s odhlášením.
- Licence k fotkám a písmům, které na webu používáte; stock z Pexels nebo Unsplash je v pořádku, obrázky stažené z Googlu ne.
Většina těchto bodů se týká i webu, který stavíte poprvé; proto je máme v našem checklistu před spuštěním webu hned vedle technického SEO. A pokud řešíte, jestli vůbec potřebujete e-shop, nebo vám stačí prezentace s poptávkovým formulářem a polovinou povinností, pomůže tenhle rozbor.
Jak to řešíme u nás
Každý web, který v rámci tvorby webu předáváme, projde tímhle seznamem před spuštěním: patička s údaji podle právní formy, šablona zásad zpracování připravená k doplnění, formuláře bez zbytečných souhlasů a cookie lišta jen tam, kde má smysl. Právní texty pro e-shop, obchodní podmínky a reklamační řád, píše právník, ne my; my zajistíme, že jsou na správných místech a že košík dělá to, co podmínky slibují. U webů, které přebíráme do podpory projektu, je tato kontrola součástí vstupního auditu. Pokud si chcete ověřit, jak na tom váš web je, pošlete nám odkaz. Projdeme patičku, formuláře a cookie lištu a do dvou dnů vám pošleme, co chybí a co přebývá.