# Jak na GDPR (5): Cookies, Google Analytics, remarketing

- Odkaz: https://www.martindomes.cz/jak-na-gdpr-5-cookies-google-analytics-remarketing/
- Zveřejněno: 2018-05-17T08:00:00+02:00
- Autor: Martin Domes

[SERIÁL] Chcete vědět, jak se na svém webu a v online marketingu vypořádat s obecným
nařízením o ochraně osobních údajů (GDPR)? V 5. dílu zjistíte, jak informovat o 
souborech cookie, jak nastavit zásady GDPR v Google Analytics a jak se vypořádat
s remarketingem a retargetingem.

> ČTĚTE TAKÉ:
> _[Jak na GDPR (1): Co musíte vědět a znát](http://martindomes.cz/jak-na-gdpr-1-co-musite-vedet-a-znat/)_
> [_Jak na GDPR (2): Právní tituly a účely zpracování a kdy nepotřebujete souhlas_](http://martindomes.cz/jak-na-gdpr-2-pravni-tituly-a-ucely-zpracovani-a-kdy-nepotrebujete-souhlas/)
> [_Jak na GDPR (3): Jak vypadá souhlas, o čem informovat a jak na PDF knížky_](http://martindomes.cz/jak-na-gdpr-3-jak-vypada-souhlas-o-cem-informovat-a-jak-na-pdf-knizky/)
> _[Jak na GDPR (4): Řešíme formuláře, recenze a komentáře na webu a e-shopu](http://martindomes.cz/jak-na-gdpr-4-resime-formulare-recenze-a-komentare-na-webu-a-e-shopu/)_

## Informování o souborech cookie

**Cookie je** malý soubor, který se při návštěvě webu ukládá do vašeho počítače.
Co například tyto soubory obsahují:

 * Google Analytics si do něj může uložit čas vstupu na web, odkud jste přišli, 
   vaši IP adresu, případně další údaje.
 * E-shop do něj může ukládat obsah vašeho košíku, takže při odchodu z webu se košík
   nevyprázdní.
 * Může obsahovat přihlašovací údaje k webu, abyste se nemuseli pokaždé přihlašovat.

Soubory cookie mohou obsahovat informace, díky kterým lze identifikovat konkrétního
člověka, proto **mohou být osobním údajem**. A jejich používání tedy reguluje GDPR.

**GDPR říká, že** uživateli musíte dát možnost vybrat si, zda chce soubory cookie
nechat ukládat, či nikoliv = metoda _opt-in_. Přitom je potřeba poskytnout stejně
funkční zážitek z webu i bez ukládání souborů cookie.

### Kdy použít metodu opt-in

Na které soubory cookie se metoda souhlasu _opt-in_ nevztahuje a na které ano?

 * Nevztahuje se na soubory _cookie, které jsou nutné pro provoz webu_ – bez jejich
   použití není možné zajistit stejný zážitek z webu.
 * Nevztahuje se na _funkční soubory cookie_ – například uložení zboží do košíku.
   Použijete právní titul _Oprávněný zájem_.
 * Nevztahuje se na _standardní měření návštěvnosti_ pomocí Google Analytics. Použijete
   právní titul _Oprávněný zájem_.
 * Vztahuje se na _marketingové soubory cookie_. Je třeba použít právní titul _Souhlas_.

### Jak k tomu přistoupit

Pokud používáte běžné měření Google Analytics, informujte o tom návštěvníky na stránce
Zásady ochrany osobních údajů. A nezapomeňte také sdělit, že používání souborů cookie
lze v prohlížeči zakázat. Jedna z formulací by mohla vypadat takto:

_Při procházení webových stránek se zaznamenává vaše IP adresa, jak dlouho se na
stránce zdržíte a ze které stránky přicházíte. Používání souborů cookie pro měření
návštěvnosti webu a přizpůsobení zobrazení webových stránek vnímáme jako oprávněný
zájem správce._

_Používání souborů cookie můžete ve svém prohlížeči zakázat._

**Pokud ukládáte soubory cookie třetích stran** (Google, Facebook, SmartSupp apod.,),
je třeba o tom uživatele informovat – komu cookie patří, k čemu je a na jak dlouho
ji ukládáte.

### Je třeba cookie lišta?

> **POZOR:** Následující informace byly ze strany ÚOOÚ upraveny. [Čtěte celý článek s příklady »](http://martindomes.cz/neni-souhlas-s-cookies-treba-a-co-cookie-listy/)

Pokud budete používat **pouze standardní měření Google Analytics** a funkční cookie(
nejde o osobní údaje), lišta by neměla být třeba a stačí informování v zásadách 
ochrany osobních údajů.

Jde o mou interpretaci. Vysvětluji si to tak, že dle GDPR mám informovat o tom, 
jaké osobní údaje sbírám. Ale protože v základním měření Google Analytics, v němž
navíc anonymizuji IP adresu (viz dále), nesbírám osobní údaje, výslovné informování
pomocí rušivé lišty by nemělo být třeba. Navíc chystané nařízení ePrivacy by lišty
mělo zrušit úplně a tato funkce by se měla přenést do prohlížeče.

Chcete-li mít jistotu, nějakou nevtíravou lištu umístěnou ke spodní hraně prohlížeče
se základním informováním použijte.

**Chcete-li používat sledovací cookie** pro marketingové účely a sociální sítě, 
pak je třeba lištu zobrazit ihned po vstupu na web, a nechat uživatele vybrat. Zajímavě
to má vyřešené například [ČEZ](https://www.cez.cz), [NIKE](https://www.nike.com/cz/cs_cz/)
či [IBM](https://www.ibm.cz).

[[

## Nastavení zásad GDPR v Google Analytics

GDPR nařizuje uchovávat osobní údaje po omezenou dobu. Pokud do Google Analytics
ukládáte osobní údaje ([co je osobní údaj](http://martindomes.cz/jak-na-gdpr-1-co-musite-vedet-a-znat/))–
typicky údaje k remarketingu, je třeba nastavit dobu expirace těchto údajů.

### Musíte sbírat osobní údaje?

Přesvědčte se, zda sbíráte remarketingové údaje: _Správce > vyberte službu (web)
> Údaje o měření > Shromažďování dat_. Pokud remarketing nevyužíváte, sběr vypněte.

[[

### Anonymizace IP adresy

Dále doporučuji anonymizovat IP adresy při měření návštěvnosti webu.

Ruku na srdce, víte vůbec, že je sbíráte? Pokud nikoliv, můžete jejich sběr zrušit.
Pokud je samozřejmě k něčemu využíváte, tak sběr nerušte.

**Anonymizace IP adresy probíhá při jejím sběru** = nastavení proto najdete ve svém
redakčním systému, či jiném řešení. Případně kontaktujte svého webmastera, aby pozměnil
měřicí kód.

Následující obrázek ukazuje možnost nastavení anonymizace IP adresy v modulu Google
Analytics v redakčním systému WordPress, který využívají klienti [MD webdesign](https://www.mdwebdesign.cz):

[[

### Doba uchovávání údajů

Google Analytics nyní nabízí novou funkci, díky níž si můžete expirační doby pro
měřené údaje nastavit sami. Podle Googlu:

_„Doba uchovávání platí pro údaje týkající se uživatelů a událostí spojené se soubory
cookie, identifikátory uživatelů (např. User ID) a identifikátory pro účely reklamy(
např. soubory cookie DoubleClick, inzertní ID systému Android nebo identifikátor
pro inzerenty v zařízeních Apple).“_

Standardní přehledy by tímto nastavením neměly být ovlivněné. Ale část přehledů 
dotčena bude – například události, demografické údaje a další.

**Nastavení najdete zde:** _Správce > vyberte službu (web) > Údaje o měření > Uchovávání
dat._

[[

**Pokud nesbíráte osobní údaje**, doporučuji nastavit _Automatický konec platnosti
není nastaven_. Přeci jen nechcete o měřené údaje přijít.

**Jestliže osobní údaje prokazatelně sbíráte** a nemůžete nastavit neomezenou dobu,
doporučuji nastavit co nejdelší dobu. Po této době totiž statistické údaje nebudou
k dispozici a některé přehledy v Analytics budou značně zkreslené.

> **POZOR:** Pokud toto nastavení neprovedete, budete mít po 25. květnu automaticky
> nastavenou nejkratší dobu a data se prostě budou mazat.

## Co s remarketingem a retargetingem?

### Retargeting od Seznamu

Začněme jednou dobrou zprávou – používáte-li retargeting v Seznam Skliku, nemusíte
ohledně GDPR vlastně řešit vůbec nic.

Seznam situaci vyhodnotil tak, že v rámci pravidel retargetingu se nesbírají údaje,
kterými byste mohli identifikovat konkrétní osobu. Nesbírají se tedy osobní údaje
a GDPR se tak na retargeting nevztahuje. A o jeho využívání nemusíte návštěvníky
informovat.

> **TIP:** Čtěte vysvětlení přímo v [článku na blogu Seznamu](https://blog.seznam.cz/2018/03/gdpr-a-reklama-na-seznamu-co-to-znamena-pro-nase-klienty/).

### Remarketing od Googlu

Google však se svým remarketingem pracuje odlišně a zde už **o sběr osobních údajů
jde**.

Abyste mohli využívat remarketing, musíte mít od uživatele **informovaný souhlas**
metodou _opt-in_. Ideálním řešením je použití cookie lišty. Co je důležité – remarketingový
kód se načítá až po odsouhlasení návštěvníkem webu. Pokud návštěvník souhlas neudělí,
nemáte právo remarketing měřit.

Takto například vypadá cookie lišta na webu ČEZu:

[[

> **POZNÁMKA:** Nemyslete si, že když nebudete souhlasit s cookie pro remarketing,
> že se vám nebude při procházení webů zobrazovat reklama. Bude i nadále. Jen nebude
> vázaná na vaše návštěvy webů, takže bude velmi pravděpodobně podstatně méně relevantní.

## Závěrem

Jak vidíte, na webech s příchodem GDPR **nezůstane kámen na kameni**. Některá řešení
jsou jednoduchá a zvládnete je sami, jiná vyžadují technické změny.

V tomto článku jsem zmínil jen to, co sám řeším. Pokud na webu používáte například
hodnocení produktů z Heureky, nebo lajkovací tlačítka Facebooku, řešit budete muset
i je.

**Začněte tím, že** vypnete vše, co souvisí se sběrem osobních údajů, ale ve skutečnosti
sbíraná data nevyužíváte, nebo pro vás nejsou důležitá.

Kartami navíc dále zamíchá nové nařízení ePrivacy, zvláště v oblasti souborů cookie.
Takže se ještě máme na co těšit.

## Comments

### By: Šárka

- Odkaz: https://www.martindomes.cz/jak-na-gdpr-5-cookies-google-analytics-remarketing/#comment-3962
- Zveřejněno: 2018-05-18T08:49:09+02:00

Děkuji za stručné a přehledné články, jak se vypořádat s GDPR.

### By: Tomáš

- Odkaz: https://www.martindomes.cz/jak-na-gdpr-5-cookies-google-analytics-remarketing/#comment-3963
- Zveřejněno: 2018-05-22T10:28:16+02:00

Přesně to jsem potřeboval vědět, díky za info.

### By: IBM jako příklad

- Odkaz: https://www.martindomes.cz/jak-na-gdpr-5-cookies-google-analytics-remarketing/#comment-4120
- Zveřejněno: 2019-12-18T12:56:52+02:00

po kliknutí na web [https://www.ibm.cz/](https://www.ibm.cz/) vidím upozornění před
nazabezpečeným webem – to je lepší než cookies 🙂