Souhlas s cookies: co vyžadují pravidla ePrivacy

Cookie lišty jsou nejviditelnější částí unijního práva na ochranu soukromí a zároveň částí, která se nejčastěji dělá špatně. Pravidla vycházejí ze dvou předpisů, které působí společně: směrnice ePrivacy 2002/58/ES určuje, kdy je souhlas potřeba, a GDPR vymezuje, co se za souhlas považuje.

Pravidlo v jedné větě

Čl. 5 odst. 3 směrnice ePrivacy ve znění z roku 2009 dovoluje ukládat informace do zařízení uživatele nebo získávat přístup k informacím v něm již uloženým pouze tehdy, pokud uživatel udělil souhlas poté, co obdržel jasné a úplné informace, ledaže je ukládání nebo přístup potřebný výhradně k přenosu sdělení nebo je nezbytně nutný k poskytování služby, o kterou uživatel výslovně požádal.

Z toho plynou tři důsledky:

• Pravidlo je technologicky neutrální. Vztahuje se na cookies, local storage, sledovací pixely, fingerprinting zařízení a podobné techniky. Pokyny EDPB 2/2023 vysvětlují, jak široce se pojmy „ukládání“ a „přístup“ vykládají.
• Neomezuje se na osobní údaje. V rozsudku Planet49 (C-673/17) Soudní dvůr potvrdil, že čl. 5 odst. 3 platí bez ohledu na to, zda jsou uložené informace osobními údaji.
• Souhlas je na prvním místě. Skripty, které nejsou nezbytné, se nesmějí spustit dříve, než se návštěvník rozhodne.

Kdy je souhlas platný

Protože směrnice ePrivacy přebírá definici souhlasu z práva na ochranu osobních údajů, uplatní se standard GDPR (čl. 4 bod 11, čl. 7 a čl. 94 odst. 2, který odkazy na dřívější směrnici 95/46/ES přesměrovává na GDPR). Souhlas musí být:

1. Svobodný: odmítnutí nesmí vést k horším podmínkám než přijetí nad rámec toho, co je nezbytně nutné. Cookie walls, které blokují přístup, dokud návštěvník souhlas neudělí, považují unijní dozorové úřady obecně za neslučitelné s tímto požadavkem.
2. Konkrétní: oddělené účely (analytika, reklama, personalizace) vyžadují oddělené volby.
3. Informovaný: návštěvník musí vědět, kdo co shromažďuje, za jakým účelem a jak dlouho. Podle rozsudku Planet49 k tomu patří informace o době platnosti cookies a o tom, zda k nim mají přístup třetí strany.
4. Jednoznačný: vyžaduje jasný potvrzující úkon. Rozsudek Planet49 vyloučil předem zaškrtnutá políčka; posouvání stránky nebo „pokračování v prohlížení“ rovněž není souhlasem (Pokyny EDPB 05/2020).

GDPR přidává dvě provozní povinnosti: správce musí být schopen souhlas doložit (čl. 7 odst. 1) a odvolání souhlasu musí být stejně snadné jako jeho udělení (čl. 7 odst. 3). V praxi to znamená uložený záznam o souhlasu a trvale dostupný způsob, jak lištu znovu otevřít.

Podoba lišty: proti čemu se dozorové úřady ohradily

V lednu 2023 zveřejnil EDPB zprávu své pracovní skupiny pro cookie lišty, která shrnuje společné postoje vnitrostátních úřadů. Mezi praktiky, které většina úřadů považovala za problematické, patří:

• chybějící tlačítko „odmítnout“ v první vrstvě, pokud je v ní tlačítko „přijmout“;
• předem zaškrtnutá políčka účelů nebo dodavatelů ve druhé vrstvě;
• zavádějící odkaz místo tlačítka pro možnost odmítnutí;
• zavádějící barvy a kontrast tlačítek, kvůli nimž je „přijmout“ jedinou zjevnou volbou;
• dovolávání se „oprávněného zájmu“ u sledování, které vyžaduje souhlas;
• označování nepotřebných cookies jako „nezbytných“;
• chybějící snadný způsob, jak souhlas později odvolat.

Vnitrostátní vymáhání postupuje stejným směrem. Francouzský úřad CNIL například koncem roku 2021 (oznámeno v lednu 2022) uložil pokuty společnostem Google a Facebook, protože odmítnutí cookies vyžadovalo více kliknutí než jejich přijetí.

Co je vyňato

Výjimka pro „nezbytně nutné“ ukládání je úzká a posuzuje se z pohledu návštěvníka: jde o ukládání, bez něhož služba nemůže fungovat. Typickými příklady jsou cookie nákupního košíku, cookie relace po přihlášení, cookie pro vyvažování zátěže nebo cookie, která si pamatuje samotnou volbu souhlasu. Analytika, A/B testování, reklama a pixely sociálních sítí obvykle nejsou nezbytně nutné, ani když jde o first-party řešení nebo jsou „anonymizované“. Některé vnitrostátní úřady akceptují úzce nastavené měření návštěvnosti bez souhlasu; než se na to spolehnete, ověřte si pravidla země, na kterou cílíte.

Rámce pro souhlas a správci tagů

Platformy pro správu souhlasů (CMP) a IAB Transparency & Consent Framework standardizují způsob, jakým se volby předávají inzerentům. V rozsudku IAB Europe (C-604/22) Soudní dvůr rozhodl, že „TC String“, který kóduje preference uživatele, může být osobním údajem a že organizace provozující takový rámec může být společným správcem. CMP je nástroj, nikoli záruka: špatně nastavená platforma stále načítá sledovací prvky příliš brzy. Stejně tak „režimy souhlasu“ na straně prohlížeče, které upravují chování tagů, souhlas nenahrazují; mění pouze to, co se odesílá po rozhodnutí.

Jak za deset minut otestovat vlastní lištu

1. Otevřete anonymní okno, ve vývojářských nástrojích otevřete karty Network a Application a načtěte domovskou stránku. Na nic neklikejte.
2. Zaznamenejte každý soubor cookie, každý záznam v úložišti a každý požadavek na třetí stranu. Cokoli nad rámec nezbytně nutného je zjištění.
3. Klikněte na „odmítnout“. Přejděte na další dvě stránky. Nepotřebné požadavky musí zůstat vypnuté.
4. Vše vymažte, stránku znovu načtěte a klikněte na „přijmout“. Porovnejte: rozdíl ukazuje, co vaše lišta skutečně ovládá.
5. Hledejte cestu zpět: odkaz nebo ikonu, která na každé stránce lištu znovu otevře.

Automatizované skenery dělají přesně tohle ve velkém měřítku a opakují to po každém vydání; právě za to stojí za své peníze. Služby, které hodnotíme, můžete porovnat na stránce srovnání.