Cookie lišta správně: co musí umět a co je jen folklor

Cookie lišta na většině českých webů vznikla obkreslením. Někdo se podíval, co má konkurence, zkopíroval strukturu, doplnil text z generátoru a šel dělat něco užitečnějšího.

Chápu to. Jenže s cizí strukturou se do webu nastěhovaly i cizí omyly a ty se pak šíří dál jako pověst. Přitom se to dá dohledat docela přesně. Úřad pro ochranu osobních údajů vede k cookies vlastní rubriku otázek a odpovědí a ke svým šetřením zveřejnil i prezentaci ze semináře pro veřejnost. Oba dokumenty mluví o konkrétních tlačítkách a vrstvách, ne o obecných zásadách.

Odkud se opt-in vzal

Do konce roku 2021 stačilo podle českého zákona informovat. § 89 odst. 3 zákona o elektronických komunikacích tehdy ukládal provozovateli „předem prokazatelně informovat o rozsahu a účelu“ zpracování a „nabídnout jim možnost takové zpracování odmítnout“. Opt-out: co návštěvník sám neodmítne, to dostane.

Novela č. 374/2021 Sb. tu formulaci bodem 276 k 1. lednu 2022 přepsala a nechala jedinou možnost výkladu. Kdo ukládá údaje do koncových zařízení uživatelů nebo k nim získává přístup, ten „získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování“. Úřad tehdy napsal, že novela odstranila jakékoli nejasnosti.

Všimněte si podmětu té věty. Ne operátor, ne poskytovatel připojení. „Každý, kdo…“ Výjimku dostalo technické ukládání výhradně pro přenos zprávy a to, co nezbytně potřebujete k poskytnutí služby, kterou si uživatel výslovně vyžádal. Košík se do výjimky vejde. Měření konverzí ne.

Dozor drží ÚOOÚ, protože cookies nesou jedinečné identifikátory, a ty spadají pod GDPR. Netechnická cookie bez souhlasu proto v jeho spisech figuruje jako nezákonné zpracování podle čl. 5 odst. 1 písm. a) obecného nařízení.

Co lišta musí umět

Odmítnutí patří do stejné vrstvy jako souhlas. Úřad to formuluje bez prostoru pro kreativitu: svobodnou volbu má návštěvník jen tehdy, když odmítnutí zvládne stejně jednoduše jako udělení, čehož se dosáhne umístěním obou tlačítek do stejné vrstvy lišty. „Odmítnout vše“ schované až pod „Nastavení“ tuhle podmínku nesplní.

Posuzuje se i vzhled. Souhlas nesmí být výrazně větší ani výrazně barevnější než odmítnutí a barvy mají respektovat svůj obecně přijímaný význam. Zelené „Přijímám“ proti šedivému textovému odkazu „nesouhlasím“ je přesně ta situace, kdy Úřad čte souhlas jako nesvobodný.

Zbytek se odehrává mimo lištu, v síťovém provozu. Netechnické cookies se smí aktivovat teprve po souhlasu. Neudělá-li návštěvník vůbec nic, zůstávají vypnuté, a totéž platí, když klikne na nesouhlas. A co zavření lišty křížkem? Na otázku, jestli se dá zavření brát za souhlas, odpovídá Úřad jednoslovným „Ne“. Stejná pravidla platí pro objekty v místním úložišti a další podobné technologie, digitální otisky prohlížeče nevyjímaje. Kdo doufá, že se povinnosti zbaví přesunem identifikátoru z cookie do localStorage, ať si tu pasáž o dalších formách ukládání dat přečte celou.

V nastavení lišty nesmí být nic předzaškrtnutého. Předem zaškrtnutá políčka Úřad za souhlas nepovažuje, opírá se o recitál 32 GDPR a o rozsudek Soudního dvora EU ve věci Planet49 (C-673/17). Uživatel v něm platně nesouhlasil, protože políčko našel zaškrtnuté a k odmítnutí by ho musel odškrtnout.

Co po liště zákon chce dál:

• Dokud si návštěvník nevybral, nesmí mu lišta bránit v interakci se stránkou. Sedí-li uprostřed okna, potřebuje prvek pro zavření bez volby.
• Odvolat souhlas musí jít stejně snadno jako ho udělit, takže telefonická linka nestačí a na webu má být dostupné tlačítko nebo odkaz, který lištu vyvolá znovu.
• Informační povinnost běží i u čistě technických cookies. Vypište správce, účel a právní důvod, příjemce, dobu uložení i práva návštěvníka. Česky a bez proklikávání přes pět stránek.
• Platnost cookie se poměřuje jejím účelem. Neúměrně dlouhá doba stojí na seznamu nedostatků Úřadu samostatnou položkou, tedy i tam, kde souhlas máte.

Co je folklor

„Cookie lištu musí mít každý web.“ Nemusí. Na otázku, jestli lištu potřebujete za všech okolností, odpovídá Úřad ne: kdo používá jen technické cookies, lištu zavádět nemusí. Informační povinnost mu zůstává, takže dokument s informacemi o zpracování patří na viditelné místo webu i tak. Vizitka tesaře s kontaktním formulářem a bez analytiky tedy lištu nepotřebuje. Potřebuje odkaz v zápatí.

„Souhlas si každý nastaví v prohlížeči.“ Oblíbená věta českých webů před rokem 2022. Předem nastavený souhlas v prohlížeči nesplňuje podmínku aktivního úkonu a správce jím nic nedoloží, takže tuhle cestu Úřad odmítl.

„Bez souhlasu ho na web nepustíme.“ Cookie wall neprojde. Z recitálu 32 vyplývá, že žádost o souhlas podaná elektronickými prostředky nesmí narušit využívání služby, a pokyny EDPB č. 05/2020 to v bodě 39 pojmenovávají naplno: přístup ke službám a funkcím nesmí být podmíněn souhlasem s ukládáním informací do koncového zařízení.

„Souhlas potřebujeme na všechno, co s daty děláme.“ Tady se dvě věci pletou do jedné. Souhlas podle zákona o elektronických komunikacích vám dovolí soubor do zařízení uložit a znovu ho přečíst. Co s údaji děláte potom, stojí na vlastním právním titulu podle GDPR, a ten souhlas být nemusí: u analytiky první strany Úřad výslovně připouští oprávněný zájem. Uložení netechnické cookie bez kliknutí vám to ovšem nezlegalizuje.

„Lištu nám dodal někdo jiný, ať si to vysvětlí on.“ Odpovědnost nesete vy jako správce osobních údajů, a to i za informační povinnost. Předpřipravená řešení má Úřad ve své prezentaci jako samostatnou varovnou odrážku, hned první v pořadí. U cookies třetích stran nestačí jen přebrat informace od dodavatele a doufat, že jsou úplné.

„Souhlas platí půl roku, pak se ptáme znovu.“ Za přiměřenou dobu udělení souhlasu považuje Úřad obecně dvanáct měsíců. Půlroční hranice patří jinam: kdo souhlas odmítl, ten by neměl stejnou otázku dostat dřív než šest měsíců od posledního zobrazení lišty. Kratší lhůta se hodí při významné změně okolností zpracování nebo tehdy, když si návštěvník cookies smazal sám a web už jeho volbu nevidí.

Co Úřad reálně kontroluje

Při hloubkovém šetření si vezme podobu a funkčnost lišty a k tomu plnění informační povinnosti. Pak přijde položka, o které se mluví nejmíň: ověření charakteru použitých cookies, tedy posouzení, jestli soubory označené za nezbytné web ke svému chodu opravdu potřebuje. Kategorie „technické“ není samoobsluha.

Rok 2022 věnoval Úřad osvětě a vytýkacím dopisům. Od roku 2023 vede správní řízení a pokutuje, výši počítá podle pokynů EDPB 4/2022, a v červnu 2024 hlásil na pravomocných pokutách za cookies zhruba dva miliony korun. Konkrétní částky a to, co za nimi stálo, rozebíráme v samostatném přehledu sankcí.

Seznam nedostatků, se kterým Úřad vyšel z prvního pololetí 2022, se čte jako inventura českého internetu: netechnické cookies bez souhlasu, špatná kategorizace i klasifikace souborů, chybějící volba pro nesouhlas v první vrstvě, rozdílná viditelnost obou tlačítek, neúměrně dlouhá platnost, žádné informace o konkrétních použitých cookies, informace v cizím jazyce a lišta, přes kterou nejde stránku přečíst. Předseda Úřadu k tomu dodal, že nedostatky se našly i u velkých internetových společností, které oslovují statisíce lidí denně.

Dvě věci si zkuste sami, obojí zvládnete v prohlížeči. Smažte cookies pro svou doménu, načtěte homepage a v síťové kartě vývojářských nástrojů se podívejte, co odešlo, než jste na cokoli klikli. Potom si prohlédněte první vrstvu lišty: najdete v ní odmítnutí, a jak vypadá vedle souhlasu?

Certito obojí měří strojově. Otevře vaši stránku v prohlížeči, na nic neklikne a vypíše měřicí skripty, které se přesto rozjely. U lišty ohlásí, když v první vrstvě odmítnutí chybí, a ke každému nálezu připíše ustanovení i úřad, který ho vymáhá. Vyzkoušejte to na svém webu, stačí adresa a chvilka.