Změny v právní regulaci cookies v roce 2022

Od 1. ledna 2022 došlo k zásadní změně týkající se možnosti využívání cookies, a to v souvislosti s novelou zákona o elektronických komunikacích. Co tato změna přináší? A jak se přizpůsobit nové legislativě?

Cookies z hlediska práva

Pod pojmem cookies si lze představit tři základní kategorie, a to (i) sledovací a konverzní cookies, umožňující analýzu výkonu různých prodejních kanálů, (ii) marketingové cookies, pomáhající personalizovat obsah reklamy cílit ji na zákazníka, a (iii) analytické a esenciální cookies, napomáhající zefektivnění prostředí internetové stránky a funkčnosti webu. Je zcela zřejmé, jak silný dopad mají cookies pro marketing a jak silným nástrojem provozovatele webu mohou být.

Česká republika v této problematice dohání standardy stanovené legislativou Evropské unie před více než deseti lety, jelikož nedůsledně implementovala zásadní směrnici do svého právního řádu. Již v roce 2002 byla přijata směrnice EU o soukromí a elektronických komunikacích (tzv. ePrivacy Directive), která zavedla režim opt-out, tj. že uživatel webových stránek má možnost odmítnout ukládání cookies.

ePrivacy Directive byla v roce 2009 novelizována, přičemž byl zaveden režim opt-in, a tedy je nezbytný předchozí souhlas uživatele webových stránek s ukládáním cookies. Česká republika na tuto novelizaci zareagovala mimořádně nepružně, když do novely zákona o elektronických komunikacích zavedla v roce 2012 pouze režim opt-out.

GDPR a legislativa

Nejistotu, jak nakládat s cookies zcela nevyjasnilo ani obecné nařízení o ochraně osobních údajů, více známé pod zkratkou GDPR, které však jasně určilo, že jsou-li soubory cookies využívány k identifikaci uživatelů, považují se za osobní údaje a podléhají ochraně GDPR, přičemž je v takové situaci nezbytné, aby provozovatel webových stránek ke shromažďování a využívání těchto dat získal souhlas uživatelů předem.

GDPR souhlasem rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.

Za souhlas dle GDPR nelze považovat:

• pasivní jednání uživatele – např. ponechání předem zaškrtnutého souhlasného políčka,
• prohlížení stránky – posouvání po webové stránce nesplňuje podmínku jednoznačnosti projevu vůle; posouvání kurzoru po obrazovce není vyjádřením souhlasu,
• „cookie wall“ – nastavení, bránící přístupu na webovou stránku, pokud není ze strany uživatele udělen souhlas s použitím cookies.

Dosud ukládal zákon o elektronických komunikacích provozovatelům webových stránek povinnost informovat uživatele o rozsahu a účelu zpracování cookies a umožnit jim odmítnutí jejich využívání. Touto novelizací zákona o elektronických komunikacích splňuje česká legislativa evropské standardy, když vyžaduje aktivní přístup uživatele, kterým je předem udělený prokazatelný souhlas se zpracováním dat, a bez kterého není možné data o uživateli shromažďovat, tedy opt-in.

Souhlas s využíváním cookies souborů

Pokud provozujete webové stránky, dejte si pozor na to, abyste získali od uživatele webových stránek svobodný, konkrétní, jednoznačný informovaný souhlas předtím, než začnete jejich údaje shromažďovat a využívat.

Udělení souhlasu s využíváním cookies je již dnes běžně umožňováno prostřednictvím tzv. cookies lišty. Ta by měla být co nejpřehlednější a nejsrozumitelnější. Pokud jsou cookies využívány na webových stránkách ve velkém množství, je nezbytné „rozvrstvit“ poskytované informace, aby mohl uživatel jednoduše zjistit, jakým způsobem jsou která data využívány.

Souhlas s využíváním cookies rovněž nelze od uživatelů webových stránek vynucovat nekalými praktikami, kterými by byli uživatelé nuceni k udělení souhlasu (např. předem zaškrtnutá políčka, absence tlačítka pro vyjádření nesouhlasu, nebo zavádějící informace), nebo by jim zásadním způsobem bylo znepříjemněno užívání webových stránek, pokud souhlas neudělí (např. cookies lišta přes velkou část obrazovky, nebo opakovaně se objevující lišta). Rovněž musíme mít na paměti, že souhlas musí být odvolatelný obdobně náročným způsobem, jakým byl udělen.

Potřebujete správně nastavit GDPR a dokumentaci s tím spojenou? Kontaktujte nás!