Do Not Track (DNT) v praxi: Ověření účinnosti mechanismů na ochranu před sledováním

Soukromí a bezpečnost
Eva Senková
Do Not Track (DNT) a realita: Validácia účinnosti mechanizmov na ochranu pred sledovaním

Do Not Track: co to je a proč (většinou) nefunguje

Do Not Track (DNT) je hlavička HTTP, kterou prohlížeč oznamuje webu, že si uživatel nepřeje být sledován. Zní to slibně, standard však nikdy nezískal širokou technickou ani legislativní podporu a většina webů ho jednoduše ignoruje. Specifikace W3C popisuje pouze způsob signalizace – nikoli povinnost ji respektovat. Výsledek? Prakticky žádný vliv na skutečné sledování napříč webem.

Realita roku 2025: stav DNT a co se změnilo

Po letech sporů byl projekt DNT de facto opuštěn a několik prohlížečů ho postupně vypínalo nebo skrývalo. Dnes je DNT spíše historickým pozůstatkem – technicky existuje, ale v praxi má zanedbatelný vliv. Z odborných přehledů vyplývá, že některé prohlížeče DNT odstranily, jiné ho ponechaly jako volitelnou možnost bez praktických záruk, že bude uplatňován.

Proč DNT selhalo

  • Dobrovolnost na straně webů: bez povinné legislativy nebyl důvod signalizaci respektovat.
  • Nejasná sémantika: nepanovala shoda v tom, co přesně znamená „nesledovat“ (pouze reklamu? analytiku? sociální widgety?).
  • Střet zájmů: reklamní ekosystém stojí na profilování; bez regulace převážily ekonomické motivace.
  • Technické obcházení: fingerprinting, sledování na straně serveru a úpravy odkazů obcházejí jakýkoli „požadavek“, který nelze vynutit.

GPC: nástupce, který už má zuby (v USA)

Global Privacy Control (GPC) je moderní signál „opt-out“, který vyjadřuje nesouhlas se sdílením/prodejem osobních údajů. Oproti DNT se liší právním zakotvením: v Kalifornii (CCPA/CPRA) a Coloradu (CPA) musí firmy uznávat tzv. universal opt-out mechanism, přičemž GPC je výslovně akceptován. Regulační orgány jeho dodržování také vymáhají – prvním velkým případem byla dohoda se společností Sephora v roce 2022 právě kvůli nerespektování GPC. V říjnu 2025 se dokonce uskutečnila společná kontrolní akce Kalifornie, Colorada a Connecticutu zaměřená na dodržování GPC.

Strany třetích stran, cookies a „nový normál“

Avizovaný konec cookies třetích stran v Chromu se několikrát odkládal a Google nakonec od plánu plošného vypnutí cookies ustoupil; upřednostňuje kombinaci stávajících nastavení a API projektu Privacy Sandbox. To znamená, že sledovací mechanismy z webu nezmizely – mění se pouze jejich technická podoba a regulace. Při ochraně soukromí se proto není třeba spoléhat na budoucí „magické“ vypínače, ale na konkrétní opatření, která fungují už dnes.

Co skutečně funguje: praktický „stack“ ochrany

Níže jsou opatření seřazena podle poměru účinnost → komfort. Jde o kombinovatelné vrstvy – čím více jich použijete, tím méně metadat unikne.

  1. Integrované blokování trackerů v prohlížeči: Zapněte Enhanced Tracking Protection (Firefox) nebo používejte prohlížeče s přísným výchozím nastavením (Brave, Safari s ITP). Blokují známé vzorce, cookies třetích stran, sociální trackery a skripty pro fingerprinting.
  2. Doplňky na ochranu soukromí: uBlock Origin/Privacy Badger omezují sledování, Decentraleyes či lokální CDN snižují úniky k třetím stranám. (Pozn.: u nefunkčních webů mohou občas vyžadovat přidání na „whitelist“.)
  3. Zapnuté GPC v prohlížeči: pokud působíte v regulovaných jurisdikcích (nebo navštěvujete jejich weby), zapněte GPC – zvyšuje pravděpodobnost, že platformy budou muset váš opt-out ze zákona respektovat.
  4. Ochrana před úpravami odkazů: odstraňujte parametry URL (utm_*, fbclid, gclid), ideálně automaticky; sdílejte „čisté“ odkazy.
  5. Režimy ochrany proti fingerprintingu: použijte resistFingerprinting (Firefox) nebo prohlížeč, který sjednocuje otisk (Brave). Počítejte s drobnými problémy s kompatibilitou na některých webech.
  6. Oddělení identit: používejte kontejnery/profily pro práci, osobní a citlivá témata; jiný účet ≠ stejné cookies. Omezuje to profilování napříč kontexty.
  7. Síťová vrstva: DNS sinkhole (NextDNS/AdGuard DNS) a DoH/DoT brání odhalování dotazů poskytovateli připojení a blokují známé domény trackerů.
  8. E-mailové aliasy a blokování pixelů: blokujte načítání vzdálených obrázků; aliasy (SimpleLogin/Apple Hide My Email) brání propojování účtů.

Co funguje „někdy“: CMP a tlačítka souhlasu

Panely souhlasu (CMP) jsou právním mechanismem, nikoli technickou bariérou. I když v EU musí respektovat volby uživatelů, v praxi se setkáváme s dark patterns, chybně implementovanými možnostmi nebo nerespektováním voleb mimo oblast cookies (např. profilování na straně serveru). Proto mějte zapnuté technické blokování na úrovni prohlížeče, i když důsledně klikáte na „Odmítnout vše“.

Co nefunguje (dostatečně): DNT a pasivní spoléhání

  • Samotné DNT: Bez zákonné povinnosti jde pouze o signál, jehož dodržování nelze vynutit – weby ho běžně ignorují.
  • „Pouze anonymní analytika“: i agregované metriky mohou v kombinaci s dalšími zdroji umožnit opětovnou identifikaci.
  • Anonymní režim bez dalších opatření: maže místní historii, ale neblokuje fingerprinting, síťové identifikátory ani propojování aktivit na základě přihlášení.

Rizika a kompromisy: proč není 100% soukromí zadarmo

Silné blokování může narušit funkčnost některých webů (komentáře, mapy, videa). Ochrana proti fingerprintingu zase snižuje kompatibilitu. Přístup „privacy by default“ proto doplňte o selektivní povolování na důvěryhodných webech a o oddělené profily, abyste minimalizovali případné potíže.

Doporučený postup na 30 minut

  1. Zapněte Enhanced/Strict Tracking Protection nebo použijte prohlížeč s přísným výchozím nastavením.
  2. Přidejte do prohlížeče uBlock Origin (základní seznamy + čištění parametrů) a aktivujte GPC.
  3. Vymažte a zakažte cookies třetích stran, kde je to možné; sledujte, zda web funguje – v případě potřeby přidejte výjimku.
  4. Rozdělte si identity (profesní / osobní / citlivá témata) do oddělených profilů/kontejnerů.
  5. Přepněte DNS na NextDNS/AdGuard s filtry trackerů; v prohlížeči zapněte DoH/DoT.
  6. V e-mailu blokujte vzdálené obrázky a pro nákupy a registrace používejte aliasy.

Jak měřit výsledky (bez sdílení dat)

Využijte místní testy: about:networking/DevTools ke kontrole, které domény se načítají; otevřené seznamy trackerů (EasyPrivacy) k porovnání; testovací profily bez doplňků pro A/B kontrolu. U služeb, kde záleží na personalizaci (mapy, hudba), zvolte kompromis – například povolte cookies první strany, ale blokujte cookies třetích stran a fingerprinting.

Shrnutí: „DNT je mrtvé, ať žije kombinace opatření“

DNT samo o sobě problém sledování nevyřeší. GPC má právní váhu alespoň v některých státech USA a jeho dodržování se vymáhá. Proti sledování na webu však spolehlivě působí až vícevrstvá obrana: blokování v prohlížeči, GPC, doplňky, oddělení identit a síťové filtrování. Svět cookies se mění – ne vždy směrem k menšímu sledování – proto vsaďte na opatření, která fungují už dnes, a pravidelně je revidujte.