Většina cookie lišt na českých webech selhává jedním ze dvou způsobů. Buď návštěvníka tlačí k tlačítku „Přijmout vše“ velkým barevným políčkem a vše ostatní schová do šedého odkazu, nebo hlídá cookies, které web vůbec nemusel nastavovat.
Obojí se dá napravit a druhá cesta je levnější. Tady je, co říkají pravidla, co musí lišta umět a jak zjistit, jestli ji vůbec potřebujete.
Co říká zákon
Ukládání informací do zařízení návštěvníka a jejich čtení zpět upravuje v Česku zákon o elektronických komunikacích (č. 127/2005 Sb.), § 89 odst. 3. České znění bylo dlouho volnější než unijní směrnice, ze které vychází: web směl cookies nastavovat, pokud je návštěvník neodmítl.
To skončilo 1. ledna 2022, kdy novela č. 374/2021 Sb. udělala ze souhlasu pravidlo. Nepodstatné cookies se smějí nastavit až poté, co s tím návštěvník souhlasil.
Pokud cookie zároveň zpracovává osobní údaje, což platí téměř vždy u analytických a reklamních cookies, přistupuje k tomu navíc GDPR. Dohled nad obojím vykonává Úřad pro ochranu osobních údajů (ÚOOÚ).
Které cookies souhlas potřebují a které ne
Technické cookies, které web potřebuje k fungování, souhlas nevyžadují. Obvyklými příklady jsou nákupní košík, přihlášení a drobný záznam o samotné volbě ohledně cookies.
Analytické, reklamní a remarketingové cookies i cookies pro personalizaci souhlas potřebují, a to dřív, než se nastaví, ne až poté, co je návštěvník při první stránce už sledován. Označení „jen statistika“ na tom nic nemění: statistika je analytika.
Co musí správná lišta umět
Odmítnout musí být stejně snadné jako přijmout. V praxi to znamená tlačítko „Odmítnout vše“ na stejné vrstvě jako „Přijmout vše“, stejně velké a stejně výrazné. Schovat odmítnutí za odkaz „Nastavení“ je nejčastější chyba vůbec.
Nic nesmí být předem zaškrtnuté. Soudní dvůr EU v případu Planet49 (C-673/17) rozhodl, že předem zaškrtnuté políčko není platný souhlas, a stejná logika platí pro lištu, jejíž volitelné kategorie jsou ve výchozím stavu zapnuté.
Mlčení není souhlas. Scrollování, kliknutí jinam ani pouhé pokračování v prohlížení se nepočítá, stejně jako zavření lišty. Návštěvník musí udělat aktivní volbu.
Web musí fungovat i po odpovědi „ne“. Zablokovat stránku, dokud někdo nesouhlasí, takzvaná cookie wall, považuje Evropský sbor pro ochranu osobních údajů i několik dozorových úřadů za důvod, proč souhlas není svobodný.
Odvolat souhlas musí jít stejně snadno jako ho udělit, proto vídáte v patičkách tolik odkazů „Nastavení cookies“. A měli byste umět později doložit, s čím který návštěvník souhlasil a kdy.
Nejlevnější cesta: nastavovat méně cookies
Web, který nastavuje jen technické cookies, na ně souhlas nepotřebuje. Musí sice v zásadách ochrany osobních údajů říct, co dělá, ale vyskakovací okno může vynechat úplně. U vizitkového webu je to často správná odpověď: zeptejte se sami sebe, jestli analytický report opravdu otevřete a jestli je reklamní pixel navázaný na kampaň, která dnes skutečně běží.
Než se rozhodnete, ověřte si to. Otevřete web v anonymním okně, spusťte vývojářské nástroje prohlížeče, na záložce Application si prohlédněte cookies a lokální úložiště a poznamenejte si, co se objeví dřív, než na cokoli kliknete. Správci značek, chatovací okna, vložená videa a mapy jsou obvyklým zdrojem cookies, o kterých nikdo neví, že je přidal.
Vložený obsah třetích stran si zaslouží druhý pohled i z jiného důvodu. Načtení mapy, videa nebo písma ze serverů jiné firmy jí předá IP adresu návštěvníka. Mělo by to být uvedeno v zásadách ochrany osobních údajů a podle toho, co vložený prvek dělá, k tomu může být potřeba i souhlas. Písma ze svého serveru a vložený obsah načítaný až po kliknutí jsou dva jednoduché způsoby, jak se tomu vyhnout.
Krátký seznam před spuštěním
Sepište všechny cookies a položky úložiště, které web nastavuje, a k čemu slouží. Co nepotřebujete, odstraňte. Zbytek rozdělte na nezbytné, analytické a marketingové a zajistěte, aby poslední dvě skupiny zůstaly vypnuté, dokud je návštěvník nepovolí.
Dejte „Odmítnout vše“ a „Přijmout vše“ stejnou váhu na první vrstvě. Odkažte na zásady ochrany osobních údajů, které cookies, účely a dobu uložení pojmenují. Přidejte do patičky odkaz, který volby znovu otevře. A pak si to sami vyzkoušejte: odmítněte všechno, načtěte stránku znovu a ve vývojářských nástrojích zkontrolujte, že se nenastavilo nic volitelného.
Kolik to může stát, když to uděláte špatně
Pokuty podle GDPR mohou dosáhnout 20 milionů eur nebo 4 procent celosvětového ročního obratu, podle toho, co je vyšší. České pokuty za cookies byly podstatně nižší: v přehledu, který ÚOOÚ zveřejnil v srpnu 2023, byla nejvyšší pravomocná pokuta za cookies 898 000 Kč. Úřad kontroluje weby z vlastní iniciativy i na základě stížností, takže „nikdo si nevšimne“ není plán.
Tento článek má obecný informativní charakter a není právní poradenství, přičemž pravidla i stanoviska ÚOOÚ se vyvíjejí. Pokud váš web sleduje návštěvníky napříč weby, prodává spotřebitelům nebo zpracovává citlivé údaje, nechte své nastavení posoudit právníkem.