Cookies a cookie lišta v roce 2022: co se mění a jak postupovat

25. 11. 2021 | Tvorba webu, Online marketing, Google Analytics, GDPR

Jak už jste možná slyšeli, od 1.1.2022 začíná platit nová legislativa v oblasti ochrany soukromí na internetu. A dotýká se souborů cookie a cookie lišt. Co se tedy od roku 2022 mění?

O co jde

Poslaneckou sněmovnou úspěšně proplula novela zákona o elektronických komunikacích. Jejím cílem je sblížit českou legislativu s tou evropskou. A upravuje podmínky pro používání souborů cookie na webu.

Ty se využívají například pro měření Google Analytics, ale také pro nákupní košík či Facebok pixel a jiné marketingové a další aktivity. Takže změna se týká v podstatě každého webu.

V novele se uvádí

Navrhovaná právní úprava jednoznačně vymezuje režim, podle kterého je vyžadován předem
prokazatelný souhlas s rozsahem a účelem zpracování od subjektu, který hodlá používat nebo používá
sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým
v koncových zařízeních účastníků nebo uživatelů. Tento režim, někdy nazývaný opt-in, vždy platil,
byl tady i před GDPR, GDPR tento režim jen důrazně podpořil. Do budoucna se rovněž
nepředpokládá jiná forma režimu, resp. opt-out. S ohledem na skutečnost, že stávající právní úprava
se dovozovala výkladem, a navrhovaná úprava již tento výklad nebude potřebovat, je vhodné stanovit
delší legisvakanční lhůtu a to 1. 1. 2022.

Co se především mění

Systém OPT-OUT (soubory cookie se automaticky používají a zakázat je musí aktivně návštěvník webu) se mění na systém OPT-IN (web nesmí používat soubory cookie, pokud to návštěvník webu výslovně neschválil). A v tom je zakopaný pes.

Na web je tak třeba nainstalovat speciální cookie lištu (banner, pop-up), která tuto volbu návštěvníkovi stránky umožní a technicky zablokuje některé skripty ukládající soubory cookie. A zároveň si od návštěvníka webu vyžádá informovaný, dobrovolný a jednoznačný souhlas s používáním souborů cookie (podle pravidel GDPR). 

Soubory cookie, které návštěvník odsouhlasí, lze i nadále používat. Ty, které nikoliv, se používat nesmějí. Zároveň ale nesmíte zablokovat obsah, nebo procházení webu.

Co novela mění (§ 89 Důvěrnost komunikací)

Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, je povinen tyto účastníky nebo uživatele předem prokazatelně informovat o rozsahu a účelu jejich zpracování a je povinen nabídnout jim možnost takové zpracování odmítnout získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování. Tato povinnost neplatí pro technické ukládání nebo přístup výhradně pro potřeby přenosu zprávy prostřednictvím sítě elektronických komunikací nebo je-li to nezbytné pro potřeby poskytování služby informační společnosti, která je výslovně vyžádána účastníkem nebo uživatelem.

Typy souborů cookie a nutnost souhlasu

Nutnost souhlasu neplatí pro všechny soubory cookie. Některé z těchto souborů jsou totiž nezbytné pro provoz webu. Například cookie ukládající obsah nákupního košíku. Nebo cookie ukládající informaci o přihlášení k uživatelskému účtu. Těm se říká Nezbytné soubory cookie. A o jejich použití stačí jen informovat a v cookie liště by nemělo být možné je zakázat.

Další typy cookie však už vyžadují souhlas:

• Analytické/statistické – například pro měření Google Analytics.
• Marketingové – například Facebook pixel, YouTube video (v cookie režimu), Google nebo Seznam mapy či remarketingové/retargetingové soubory cookie.

Souhlas si můžete vyžádat pro skupiny souborů cookie, nikoliv pro jednotlivé soubory. Stačí tedy informovat o tom, jaké soubory cookie v dané skupině používáte, k čemu slouží, jaká je jejich expirace a kam se data posílají. 

Hlavní skupiny pak budou tyto:

• Funkční (nezbytné pro chod webu) – souhlas se nevyžaduje.
• Analytické/statistické – souhlas se vyžaduje.
• Marketingové – souhlas se vyžaduje.

Jak souhlas technicky vyřešit? Je tu cookie lišta

Nechvalně známá cookie lišta je zde natrvalo, jak se zdá. Nebo minimálně do příchodu nové evropské legislativy ePrivacy, která by měla přinést aktualizovaná pravidla. 

Jak by to tedy mohlo vypadat v praxi?

1. Návštěvník přichází na web a zobrazí se mu cookie lišta. V ní ho informujete, že používáte soubory cookie k těm a těm účelům. A vyžádáte si souhlas.
2. Návštěvník buď přijme všechny soubory cookie a vše je jako dříve. Nebo si nastaví, které skupiny přijímá a které ne. A vše potvrdí stiskem tlačítka.
3. Lišta zmizí a podle uděleného souhlasu se spouští skripty, které uloží soubory cookie. Například měření Google Analytics, nebo Facebook pixel.

Co když souhlas nedostanu?

Pokud vám uživatel nedá souhlas, soubory cookie není možné používat. Například tak nezměříte aktivitu na webu pomocí Google Analytics. Nepošlou se data o návštěvnosti z reklam Facebooku. Neuloží se informace pro remarketing.

Proto je potřeba být při tvorbě lišty pečlivý. Například:

• Souhlas si vyžádat srozumitelnou, lidskou formou. Nikdo nechce číst právničinu. Ale pozor – příliš krátké sdělení zase nemusí budit důvěru a mohlo by budit podezření, že něco skrýváte.
• Nabídnout nepřehlédnutelné tlačítko Přijmout všechny (nebo v podobném znění). Když člověk spěchá, nechce číst, nechce souhlas řešit (například jde o jemu známý web), pak mu umožněte souhlas dát velmi rychle.
• Nastavení souhlasu s kategoriemi souborů cookie mít přehledné. Bohužel není možné mít souhlasy s kategoriemi na této stránce předem vybrané. 
• V popisu kategorií souborů cookie popište přednost využití pro návštěvníka (třeba „Funkční soubory cookie vám například uloží obsah košíku i do příští návštěvy eshopu.“).

Jak postupovat

Tentokrát to nebude tak snadné jako v případě GDPR. Bude to chtít trochu technického umu.

Bude zapotřebí projít těmito kroky:

1. Zjistěte, jaké soubory cookie na webu používáte, k čemu jsou, jak dlouho platí a komu se data posílají. Toto byste ostatně měli již na webu mít dnes. Případně se budete muset obrátit na správce svého webu. Využít můžete také bezplatný nástroj Cookieserve.
2. Soubory cookie kategorizujte podle typu na nezbytné, analytické, marketingové a případně další.
3. Na web nasaďte technické řešení k získání souhlasu a k blokování ukládání neodsouhlasených souborů cookie. K tomuto kroku budete pravděpodobně muset využít svého správce, nebo tvůrce webu. Pokud máte web v pronájmu, obraťte se na jeho provozovatele.
4. Připravte texty informující návštěvníka, proč chcete soubory cookie sbírat. A pak podobnou vysvětlující informaci k jednotlivým kategoriím souborů cookie.

Čemu se vyhnout

Tato situace může svádět k tomu, že si pravidla daná novelou zákonu nějak ohnete a vysvětlíte po svém. Těmto taktikám byste se ale určitě měli vyhnout:

• Nedat uživateli na výběr, zda přijmout, nebo odmítnout.
• Možnost odmítnout soubory cookie je na jiné stránce a nikoliv přímo v cookie liště/banneru/pop-upu.
• Kategorie souborů cookie (mimo nezbytných) jsou v nastavení ve výchozím stavu povolené.
• Mezi nezbytné soubory cookie jste přidali i ty, které nezbytné nejsou.
• Znesnadnění odmítnutí souhlasu.
• Cookie lišta je nefunkční – i přes vyjádření nesouhlasu se tvorba a zpracování souborů cookie nezakážou.

Závěrem

Cookie lišty považuji za otravnou záležitost a osobně na všech webech (které mají mou důvěru) klikám automaticky na tlačítko Přijmout  všechny. Nevidím žádný problém v tom, aby mě web zařadil do statistik návštěvnosti nebo aby se mi zobrazovala personalizovaná reklama (té se stejně nezbavíme) a web se mi pomocí reklamy později připomínal.

Ale legislativa je zatím neúprosná. Nová směrnice ePrivacy, která se chystá už léta, by cookie lišty mohla poslat na smetiště. Nastavení souborů cookie by se podle ní mělo dít přímo v internetovém prohlížeči. Uživateli tak zůstane dostatečná moc, majitelům webů ubydou starosti a všichni návštěvníci webů zajásají nad zmizením cookie lišt.

A jak řešíte souhlas se soubory cookie vy? Podělte se v komentářích níže.