Většina webů, na které se podívám v rámci auditu, něco z téhle hromady porušuje. Identifikační údaje jsou typicky v pořádku, ale cookies lišta běží v opt-out režimu, na zásady zpracování osobních údajů nikdo nesáhl od května 2018 a chybí informace o České obchodní inspekci. Pokuty se za posledních pár let zvedly z desítek tisíc na miliony.

Tenhle článek je rychlý přehled. Komu se nechce číst celý, ať skočí na sekci, která ho zajímá.

Stručně: co musí být na webu každého podnikatele

Tohle je minimum podle § 435 občanského zákoníku. Platí pro každého, kdo má web a podniká – jedno jestli prodává, nebo má jen prezentaci.

  • Jméno (u OSVČ jméno a příjmení, u firmy obchodní firma)
  • Sídlo nebo místo podnikání (celá adresa)
  • IČO
  • Údaj o zápisu do rejstříku (živnostenský nebo obchodní, včetně spisové značky u firmy)

Pokud prodáváte spotřebitelům nebo sbíráte osobní údaje (kontaktní formulář, newsletter, analytika), přidávají se další povinnosti. Projedeme to po vrstvách.

Identifikační údaje podle typu subjektu

OSVČ / živnostník

Pokud podnikáte na sebe a nejste zapsaní v obchodním rejstříku, na webu musí být:

  • Jméno a příjmení (to, co máte v živnostenském rejstříku, ne přezdívka ani značka)
  • Místo podnikání – celá adresa
  • IČO
  • Údaj o zápisu v živnostenském rejstříku (například „zapsán v živnostenském rejstříku vedeném u …“)

DIČ a informaci o plátcovství DPH uvádět můžete, ale není to povinné (na fakturách už ano).

Právnická osoba zapsaná v obchodním rejstříku

S.r.o., družstvo, k.s. a další. Pravidla doplňuje § 7 zákona o obchodních korporacích:

  • Název společnosti přesně tak, jak je v rejstříku
  • Sídlo (celá adresa včetně PSČ)
  • IČO
  • Údaj o zápisu v obchodním rejstříku včetně spisové značky (např. „zapsáno u Krajského soudu v Brně, oddíl C, vložka 12345″)

Základní kapitál uvádět nemusíte. Pokud ho uvedete, musí jít o splacenou částku, ne upsanou.

Akciová společnost

Akciovka má jako jediná povinnost web vůbec mít. Kromě běžných údajů na něm musí být navíc:

  • Informace o svolávání valné hromady (nejméně 30 dní před konáním)
  • Informace o tom, že je společnost součástí koncernu, pokud je
  • Některé dokumenty z valné hromady

Co musí mít každý web kromě identifikace

Tahle vrstva platí pro každého, kdo má web a sbírá osobní údaje. A to dnes dělá prakticky každý web – i statická prezentace má kontaktní formulář, analytiku nebo newsletter.

Zásady zpracování osobních údajů (GDPR)

Samostatný dokument na webu. Musí obsahovat:

  • Jasně uvedeného správce osobních údajů (vy nebo vaše firma)
  • Účel zpracování (proč data sbíráte) a právní titul (souhlas, oprávněný zájem, plnění smlouvy)
  • Dobu uchování
  • Informaci o právech subjektů údajů (přístup, oprava, výmaz, námitka, odvolání souhlasu, stížnost u ÚOOÚ)
  • Případné předávání mimo EU (typicky Google, Meta)

Cookies lišta v opt-in režimu

Cookies opt-in platí od ledna 2022 na základě novely zákona o elektronických komunikacích a je to dnes nejviditelnější díra ve většině starších webů. Pravidla (viz Q&A ÚOOÚ ke cookies):

  • Před souhlasem nesmí běžet žádné netechnické cookies (Google Analytics, Meta Pixel, Sklik konverze, vložená videa)
  • Předem zaškrtnutá políčka jsou v rozporu se zákonem
  • Podle ÚOOÚ má být tlačítko pro odmítnutí cookies dostupné už v první vrstvě lišty, ne až po prokliku do nastavení
  • Bezpečná praxe je mít „Přijmout vše“ a „Odmítnout vše“ ve stejné vrstvě a bez vizuální manipulace (jedno tlačítko zelené a druhé schované šedě porušuje princip svobodné volby)
  • Odvolání souhlasu musí být stejně snadné jako udělení

Informace o mimosoudním řešení sporů (ADR)

Pokud prodáváte spotřebitelům – ať už přes web, nebo přes web jen prezentujete služby a uzavíráte smlouvy mimo něj – musíte podle § 14 zákona o ochraně spotřebitele uvést, kdo řeší případné spory. Pro většinu odvětví je to Česká obchodní inspekce, pro telekomunikace ČTÚ, pro finance finanční arbitr, pro energetiku ERÚ.

Typicky takto: „V případě sporu, který se nepodaří vyřešit dohodou, můžete podat návrh k České obchodní inspekci (www.coi.cz).“

Pozor: evropská platforma ODR (ec.europa.eu/consumers/odr) skončila 20. července 2025. Odkaz na ni už nikam nepatří – smažte ho. Pokud máte v patičce nebo obchodních podmínkách větu typu „spory lze řešit i přes platformu ODR“, už neplatí.

E-shop má navíc sedm dalších věcí

Pokud na webu prodáváte spotřebitelům, identifikace a GDPR jsou jen základ. Tady je, co reálně dnes ČOI kontroluje a pokutuje:

1. Obchodní podmínky

Dostupné z každé stránky, ne jen jako PDF ke stažení. Musí obsahovat reklamační řád, dodací podmínky, platby, právo na odstoupení od smlouvy (včetně vzorového formuláře), údaje o ADR.

2. Tlačítko „Objednat a zaplatit“

Od ledna 2023 (první tlačítková novela). Tlačítko, kterým zákazník dokončuje objednávku, musí jasně signalizovat platební povinnost. „Odeslat“, „Pokračovat“, „Dokončit“ – to nestačí. Musí to být „Objednat a zaplatit“ nebo „Objednávka zavazující k platbě“.

3. Slevy podle pravidla 30 dnů

Také první tlačítková novela (§ 12a zákona o ochraně spotřebitele). Když uvádíte slevu, musí být jako předchozí cena (ta, ze které se sleva počítá) jasně uvedena nejnižší cena, za kterou byl výrobek nabízen v posledních 30 dnech. Říct „bylo 1990, teď 990″, pokud bylo 1990 jen tři dny a dva měsíce předtím se prodávalo za 1290, je porušení.

Že ČOI tohle vážně kontroluje, ukazují čísla: za rok 2025 udělila řetězcům za nekalé praktiky se slevami 78 pokut v souhrnné výši přes 39 milionů Kč. Nejhůř dopadl Penny Market s 12 pokutami za 18 milionů.

4. Recenze – jen od skutečných nakupujících

Pokud na produktech zobrazujete recenze, musíte uvést, jak ověřujete, že je psal někdo, kdo opravdu nakoupil. Smyšlené recenze stály e-shop LUNZO v roce 2022 pokutu 750 000 Kč.

5. Kontaktní e-mail a telefon

Kontaktní údaje mají být uvedené přímo a srozumitelně, ne nahrazené jen odkazem do živnostenského rejstříku. Občanský zákoník v informačních povinnostech vůči spotřebiteli pracuje s telefonním číslem i adresou pro doručování elektronické pošty.

6. Postup pro reklamaci

Reklamační řád musí být součástí obchodních podmínek nebo samostatný dokument. Zákonná lhůta na vyřízení reklamace je 30 dní.

7. Tlačítko pro odstoupení od smlouvy (od 19. 6. 2026)

Nová povinnost vychází ze směrnice EU 2023/2673 (DMFS – o finančních službách uzavřených na dálku). Ministerstvo financí potvrdilo, že tlačítko se uplatní nejen na finanční služby, ale na všechny spotřebitelské smlouvy sjednané v online prostředí.

Plánovaná účinnost je 19. června 2026 – česká transpoziční novela občanského zákoníku ale v polovině března 2026 prošla teprve do druhého čtení v Poslanecké sněmovně. Pokud projde, e-shopy budou muset umožnit spotřebiteli odstoupit od smlouvy uzavřené online prostřednictvím snadno dostupné elektronické funkce. Schované PDF formuláře v patičce už nestačí. K tomuhle vyjde samostatný článek.

Přístupnost (EAA): platí od léta 2025

Evropský akt o přístupnosti (zákon č. 424/2023 Sb.) platí v Česku od 28. června 2025. Týká se e-shopů, rezervačních systémů, bankovních webů, mobilních aplikací a dalších digitálních služeb pro spotřebitele.

U služeb poskytovaných po 28. 6. 2025 se pravidla uplatní okamžitě. Přechodné období do 28. června 2030 v zákoně existuje, ale netýká se plošně všech existujících webů – vztahuje se hlavně na služby poskytované v nezměněné podobě na základě smluv uzavřených před účinností zákona, případně na použití starších výrobků. Pokud po 28. 6. 2025 web předěláte, EAA na vás dopadá.

V praxi to znamená:

  • Web musí splňovat obecné požadavky na přístupnost (kontrast textu, ovladatelnost klávesnicí, alt texty u obrázků, popisky formulářů, čtečka obrazovky). Jako technické vodítko se v praxi používá WCAG 2.1 úrovně AA, i když samotný zákon pracuje s obecnými požadavky.
  • Prohlášení o přístupnosti jako samostatný dokument na webu

Výjimka pro mikropodniky: do 10 zaměstnanců a obratu pod 2 mil. EUR. Splňovat musíte obě podmínky, ne jen jednu.

Kolik to stojí, když chybí

Strop pokut se za posledních pár let posunul o dva řády. Zatímco u chybějícího IČO bývá pokuta v desítkách tisíc, u GDPR a EAA jdou už do milionů.

Co porušíteKdo kontrolujePokuta
Chybějící identifikační údaje (§ 435)Živnostenský úřadAž 100 000 Kč
Porušení ochrany spotřebitele (e-shop)Česká obchodní inspekceAž 5 000 000 Kč
Porušení GDPR (včetně cookies)ÚOOÚAž 20 mil. EUR nebo 4 % obratu
Porušení EAA (přístupnost)ČOI, ČNB, ČTÚAž 10 mil. Kč
Chybějící tlačítko odstoupení (po nabytí účinnosti)Česká obchodní inspekceAž 5 000 000 Kč

Strop je strop. V praxi bývají běžné pokuty v desítkách tisíc až jednotkách milionů. Nejvyšší pravomocná pokuta za cookies, kterou ÚOOÚ dosud udělil, byla 898 000 Kč (rok 2023). V roce 2024 ale ÚOOÚ udělil pokutu 351 milionů Kč společnosti Avast za neoprávněné zpracování osobních údajů uživatelů. Strop existuje a používá se.

Kam to na webu umístit

Zákon říká, že údaje musí být dohledatelné jasně, srozumitelně a snadno. Co to v praxi znamená:

  • Identifikační údaje patří do patičky (zobrazí se na každé stránce) nebo na stránku Kontakt
  • Obchodní podmínky, reklamační řád, zásady zpracování osobních údajů, prohlášení o přístupnosti – vlastní stránky, odkazy v patičce
  • Cookies lišta – hned při první návštěvě, opt-in režim
  • Informace o ADR – typicky v obchodních podmínkách a u kontaktu

Vícejazyčný web pozor: všechny povinné údaje musí být na všech jazykových mutacích. Cizojazyčný web s českou patičkou je porušení.

Proč to většina webů porušuje a co s tím

Pracuju s weby patnáct let. Většina stránek, na které se podívám, něco z téhle hromady porušuje. Většinou ne ze zlé vůle. Web vznikl před šesti lety, klient ho pak ani neotevřel, agentura, co ho dělala, mezitím zanikla. A povinnosti se mezitím dvakrát rozšířily.

Nejčastější díry v roce 2026:

  • Cookies lišta v opt-out režimu (předem zaškrtnuto „přijmout vše“)
  • Tlačítko „Odmítnout vše“ schované až ve druhé vrstvě
  • Odkaz na zrušenou platformu ODR
  • Chybějící informace o ADR
  • Zásady zpracování osobních údajů z roku 2018, neaktualizované
  • U e-shopů: tlačítko „Odeslat“ místo „Objednat a zaplatit“
  • U novějších e-shopů: nulová pozornost EAA

Dobrá zpráva: většina těchhle věcí se dá opravit za den. Není to redesign, je to údržba. Ne každá firma potřebuje nový web – někdy stačí opravit tři věci na starém.

Nevíte, jestli váš web splňuje všechno z téhle hromady? Projdu vám ho podle stejného checklistu a pošlu prioritizovaný seznam.

Chci audit

Článek slouží jako přehled. Nejsem právník a tenhle text nenahrazuje právní stanovisko. Pokud řešíte konkrétní spor nebo kontrolu, obraťte se na specializovaného advokáta.

Zdroje

Zákony:

Úřady a oficiální informace: