Opravdu musím mít zásady ochrany osobních údajů (GDPR) na svých webových stránkách?

Vytvářím a spravuji asi sedmero webových stránek a dnes se mi ozval nějaký právník, že MUSÍM mít na jednom z webů (farní stránky) Zásady ochrany osobních údajů (GDPR) a dokonce i takovéto otravné okno, co se zobrazuje na různých webech, že návštěvník jakože souhlasí s používáním cookies (mezi náma – nechápu, proč by někdo neměl s cookies souhlasit, nic citlivého se v nich neuchovává, jen uživatelská nastavení pro „zpříjemnění“ práce při příštích návštěvách).
Tuší někdo z Vás, zda je nějaká taková „povinnost“ někde (v nějaké vyhlášce či zákoně) opravdu závazně stanovena? Rozhodně bych nerad prznil své weby (nejspíš by tedy zůstalo jen u toho jednoho zmíněného) nějakými zbytečně obtěžujícími fičurami…