Povinnosti ohledně cookies: co je třeba ohlídat?

Co jsou to cookies?

Řeč je o malých textových souborech, které se ukládají do prohlížeče. Díky nim získávají weby informace o aktivitě uživatele při každé jeho návštěvě. Čtete-li tento článek na webu, pak jste patrně již nesčetněkrát na některé z internetových stránek oznámení o přijetí cookies odklikli. A jste-li samotným provozovatelem webu, pak můžete díky cookies sbírat užitečná data o svých návštěvnících. V případě, že se k vám návštěvník znovu vrátí, jeho prohlížeč pošle uloženou cookie zpět a vy o něm získáte informace, které jste si k němu předtím uložili.

V praxi si na základě cookies vaše webová stránka pamatuje například preferenci při volbě jazyka (tzv. preferenční cookies), případně si zákazníka zapamatuje při přechodu z jedné podstránky webu na jinou a stále přitom uchovává obsah jeho nákupního košíku (zde jde o tzv. funkční cookies). Cookies se také používají k uložení potvrzení, že je uživatel přihlášený např. v e-shopu či na zpravodajském webu a stránka tak nevyžaduje přihlašování při každé její návštěvě.

Princip cookies umožňuje odlišit uživatele a uložit si o něm konkrétní údaje. Mohou v nich tedy být implicitně obsaženy i osobní údaje a může se na ně nepřímo vztahovat i nařízení GDPR.

Další praktické využití cookies

Cookies jsou velmi důležité pro marketingové stratégy, kteří z nich mohou detailně zjistit, co návštěvníky na webových stránkách zaujalo, kam klikali a kdy je opustili. Vidí také, kolik lidí využilo určitou funkci webu či kliklo na odkaz. V takovém případě hovoříme o analytických cookies.

Stalo se vám někdy, že vás začal počítač bombardovat reklamami na doplňky stravy pro klidný spánek zrovna v období, kdy jste trpěli nespavostí? V takové situaci není nutné přemýšlet o spiknutí či Velkém bratrovi, ale právě o cookies. Díky těmto malým souborům, které se uložily zrovna, když jste na webu hledali řešení svého problému, na vás může ze všech možných webů vyskakovat kontextová reklama. Marketingové cookies se tedy využívají k lepšímu cílení reklam.

Problematiku cookies upravuje zákon o elektronických komunikacích, který řeší obecně jakékoliv technologie, ukládající do zařízení uživatele nějaké informace. Současné znění ukládá povinnost účastníky či uživatele předem prokazatelně informovat o rozsahu a účelu jejich zpracování.

Proto se na drtivé většině webů setkáme s lištou či okénkem, které nás o používání cookies informuje. Základní informaci může poskytnout ale také text v zápatí webu.

Změny roku 2022

Od ledna 2022 nastala v této oblasti významná změna. Tou je především předchozí souhlas uživatele s rozsahem a účelem zpracování osobních informací. Oproti dřívějšímu opt-out principu zákonodárce zvolil jako primární opt-in přístup.

Znamená to, že bez výslovného souhlasu uděleného odklepnutím tlačítka na liště, nemohou být aktivovány všechny výše uvedené typy cookies a nesmí tak v tomto směru dojít k jakémukoliv sběru informací.

Hned při příchodu na webovou stránku by měl být návštěvník informován o tom, jaké informace o něm chcete sbírat. Spolu s tím by mu měla být poskytnuta možnost si zvolit, které z nich chce on sám poskytovat a které ne. Jeho volbu pak musíte respektovat a jiné údaje neshromažďovat.

Pravidla pro nastavení cookies

Chcete-li se svou webovou stránkou obstát podle současných právních předpisů, pak pamatujte na následující pravidla:

• Návštěva webu musí být umožněna i těm, kteří souhlas s cookies neposkytli.
• Nabídka se zaškrtávanými cookies by neměla být předvyplněná. Je třeba poskytnout opravdu aktivní souhlas.
• Pokud návštěvníkovi nabízíte možnost „přijmout všechny cookies“, měla by zde být recipročně i varianta „odmítnout všechny cookies“.
• Uživatel musí mít variantu zavření nabídkové lišty i bez udělení souhlasu. I v takovém případě má mít možnost pokračovat v prohlížení stránek.
• Souhlas by neměl být nabízen příliš agresivně – tím je míněno především agresivní vyskakování lišty a zdůrazňování tlačítka souhlasu křiklavými barvami.

Co je potřeba dále splnit?

Kromě samotné lišty se souhlasem byste měli mít v rámci webu informaci o zpracování cookies. Odkaz na něj může obsahovat cookie lišta. Dokument by měl obsahovat informaci o tom kdo jste, s jakými typy cookies pracujete a proč, a jaké jsou v tomto směru možnosti a práva uživatelů (tedy především možnost odvolat udělený souhlas).

Kdy se na mě povinnost nevztahuje?

Ne na všechny provozovatele webu se výše uvedené povinnosti vztahují. Pokud máte jednoduché webovky, na kterých informujete pouze o svých službách a provozní době, můžete zůstat v klidu. Nové povinnosti se vztahují na webové stránky, které o svých uživatelích sbírají data pocházející z jejich koncových zařízení (mobil, tablet či počítač).

Nejčastější chyby v oblasti nastavení cookies

Mezi nejčastěji se vyskytujícími proviněními v oblasti cookies zaznamenal Úřad pro ochranu osobních údajů zejména:

• Automatické ukládání cookies bez souhlasu uživatele.
• Neplatnost souhlasu se zpracováním osobních údajů – souhlas nebyl dostatečně informovaný, konkrétní nebo jednoznačný.
• Nedostatečné plnění informační povinnosti – chybí jasná klasifikace jednotlivých typů cookies, informace jsou dostupné pouze v cizím jazyce nebo nejsou dostatečně srozumitelné pro běžného uživatele.
• Komplikované odvolání souhlasu – uživatel sice může souhlas udělit jedním kliknutím, ale jeho odvolání je záměrně ztíženo.
• Použití klamavých designových vzorů (Deceptive Design Patterns) – tlačítko „Souhlasím“ je vizuálně zvýrazněno, zatímco možnost „Odmítnout“ je méně viditelná nebo ukrytá v další vrstvě nastavení.
• Nefunkční nebo nedostatečně reagující cookie lišta – některé cookie lišty neukládají uživatelská nastavení správně nebo nadále zobrazují výzvu k udělení souhlasu, přestože uživatel provedl individuální nastavení cookies.

Jaké hrozí sankce?

K chybám dojde jednoduše, můžou se ale pěkně prodražit. GDPR stanoví, že za porušení povinností může být uložena pokuta až do výše 20 milionů eur nebo 4 % celosvětového ročního obratu podniku, podle toho, která částka je vyšší. Konkrétní výše pokuty přitom závisí na povaze, závažnosti a délce trvání porušení.​ Například v roce 2023 byly uděleny pokuty ve výši téměř 5 milionů korun.

Shrnutí

Cookies jsou malé textové soubory ukládané do prohlížeče, které umožňují webům získávat informace o uživateli. Pomáhají s uchováním preferencí, nákupního košíku či přihlášení. Existují preferenční, funkční, analytické a marketingové cookies.

Používání cookies podléhá zákonu o elektronických komunikacích a GDPR. Web musí být dostupný i bez souhlasu s cookies, souhlas musí být aktivní (ne předvyplněný) a uživatel musí mít možnost odmítnout všechny cookies. Weby by měly obsahovat i dokument s informacemi o cookies a možností odvolání souhlasu.