Súhlas s cookies: čo vyžadujú pravidlá ePrivacy

Cookie lišty sú najviditeľnejšou časťou únijného práva na ochranu súkromia a zároveň časťou, ktorá sa najčastejšie robí zle. Pravidlá vychádzajú z dvoch predpisov, ktoré pôsobia spoločne: smernica ePrivacy 2002/58/ES určuje, kedy je súhlas potrebný, a GDPR vymedzuje, čo sa považuje za súhlas.

Pravidlo v jednej vete

Čl. 5 ods. 3 smernice ePrivacy v znení z roku 2009 dovoľuje ukladať informácie do zariadenia používateľa alebo získavať prístup k informáciám v ňom už uloženým len vtedy, ak používateľ udelil súhlas po tom, ako dostal jasné a úplné informácie, pokiaľ ukladanie alebo prístup nie je potrebný výlučne na prenos komunikácie alebo nie je nevyhnutne potrebný na poskytovanie služby, o ktorú používateľ výslovne požiadal.

Z toho vyplývajú tri dôsledky:

• Pravidlo je technologicky neutrálne. Vzťahuje sa na cookies, local storage, sledovacie pixely, fingerprinting zariadení a podobné techniky. Usmernenia EDPB 2/2023 vysvetľujú, ako široko sa pojmy „ukladanie“ a „prístup“ vykladajú.
• Neobmedzuje sa na osobné údaje. V rozsudku Planet49 (C-673/17) Súdny dvor potvrdil, že čl. 5 ods. 3 platí bez ohľadu na to, či sú uložené informácie osobnými údajmi.
• Súhlas je na prvom mieste. Skripty, ktoré nie sú nevyhnutné, sa nesmú spustiť skôr, ako sa návštevník rozhodne.

Kedy je súhlas platný

Keďže smernica ePrivacy preberá definíciu súhlasu z práva na ochranu osobných údajov, uplatní sa štandard GDPR (čl. 4 bod 11, čl. 7 a čl. 94 ods. 2, ktorý odkazy na predchádzajúcu smernicu 95/46/ES presmerúva na GDPR). Súhlas musí byť:

1. Slobodne daný: odmietnutie nesmie viesť k horším podmienkam ako prijatie nad rámec toho, čo je nevyhnutne potrebné. Cookie walls, ktoré blokujú prístup, kým návštevník súhlas neudelí, považujú únijné dozorné orgány všeobecne za nezlučiteľné s touto požiadavkou.
2. Konkrétny: oddelené účely (analytika, reklama, personalizácia) si vyžadujú oddelené voľby.
3. Informovaný: návštevník musí vedieť, kto čo získava, na aký účel a ako dlho. Podľa rozsudku Planet49 k tomu patria informácie o dobe platnosti cookies a o tom, či k nim majú prístup tretie strany.
4. Jednoznačný: vyžaduje jasný potvrdzujúci úkon. Rozsudok Planet49 vylúčil vopred označené políčka; posúvanie stránky alebo „pokračovanie v prehliadaní“ tiež nie je súhlasom (Usmernenia EDPB 05/2020).

GDPR pridáva dve prevádzkové povinnosti: prevádzkovateľ musí byť schopný súhlas preukázať (čl. 7 ods. 1) a odvolanie súhlasu musí byť rovnako jednoduché ako jeho udelenie (čl. 7 ods. 3). V praxi to znamená uložený záznam o súhlase a trvalo dostupný spôsob, ako lištu znovu otvoriť.

Podoba lišty: proti čomu sa dozorné orgány ohradili

V januári 2023 zverejnil EDPB správu svojej pracovnej skupiny pre cookie lišty, ktorá zhŕňa spoločné postoje vnútroštátnych orgánov. Medzi praktiky, ktoré väčšina orgánov považovala za problematické, patria:

• chýbajúce tlačidlo „odmietnuť“ v prvej vrstve, ak je v nej tlačidlo „prijať“;
• vopred označené políčka účelov alebo dodávateľov v druhej vrstve;
• zavádzajúci odkaz namiesto tlačidla pre možnosť odmietnutia;
• zavádzajúce farby a kontrast tlačidiel, pre ktoré je „prijať“ jedinou zjavnou voľbou;
• odvolávanie sa na „oprávnený záujem“ pri sledovaní, ktoré si vyžaduje súhlas;
• označovanie nepotrebných cookies ako „nevyhnutných“;
• chýbajúci jednoduchý spôsob, ako súhlas neskôr odvolať.

Vnútroštátne presadzovanie postupuje rovnakým smerom. Francúzsky úrad CNIL napríklad koncom roka 2021 (oznámené v januári 2022) uložil pokuty spoločnostiam Google a Facebook, pretože odmietnutie cookies si vyžadovalo viac kliknutí ako ich prijatie.

Čo je vyňaté

Výnimka pre „nevyhnutne potrebné“ ukladanie je úzka a posudzuje sa z pohľadu návštevníka: ide o ukladanie, bez ktorého služba nemôže fungovať. Typickými príkladmi sú cookie nákupného košíka, cookie relácie po prihlásení, cookie na vyvažovanie záťaže alebo cookie, ktorá si pamätá samotnú voľbu súhlasu. Analytika, A/B testovanie, reklama a pixely sociálnych sietí spravidla nie sú nevyhnutne potrebné, ani keď ide o first-party riešenia alebo sú „anonymizované“. Niektoré vnútroštátne orgány akceptujú úzko nastavené meranie návštevnosti bez súhlasu; skôr ako sa na to spoľahnete, overte si pravidlá krajiny, na ktorú cielite.

Rámce pre súhlas a správcovia tagov

Platformy na správu súhlasov (CMP) a IAB Transparency & Consent Framework štandardizujú spôsob, akým sa voľby odovzdávajú inzerentom. V rozsudku IAB Europe (C-604/22) Súdny dvor rozhodol, že „TC String“, ktorý kóduje preferencie používateľa, môže byť osobným údajom a že organizácia prevádzkujúca takýto rámec môže byť spoločným prevádzkovateľom. CMP je nástroj, nie záruka: zle nastavená platforma stále načítava sledovacie prvky príliš skoro. Rovnako „režimy súhlasu“ na strane prehliadača, ktoré upravujú správanie tagov, súhlas nenahrádzajú; menia len to, čo sa odosiela po rozhodnutí.

Ako za desať minút otestovať vlastnú lištu

1. Otvorte súkromné okno, vo vývojárskych nástrojoch otvorte karty Network a Application a načítajte domovskú stránku. Na nič neklikajte.
2. Zaznamenajte každý súbor cookie, každý záznam v úložisku a každú požiadavku na tretiu stranu. Čokoľvek nad rámec nevyhnutne potrebného je zistenie.
3. Kliknite na „odmietnuť“. Prejdite na ďalšie dve stránky. Nepotrebné požiadavky musia zostať vypnuté.
4. Všetko vymažte, stránku znovu načítajte a kliknite na „prijať“. Porovnajte: rozdiel ukazuje, čo vaša lišta skutočne ovláda.
5. Hľadajte cestu späť: odkaz alebo ikonu, ktorá na každej stránke lištu znovu otvorí.

Automatizované skenery robia presne toto vo veľkom rozsahu a opakujú to po každom vydaní; práve za to stoja za svoje peniaze. Služby, ktoré hodnotíme, môžete porovnať na stránke porovnania.