Cookie lištu na väčšine webov pridal plugin a odvtedy sa jej nikto nedotkol. Je to pritom jediná vec na webe, ktorú vidí každý návštevník — a prvá, ktorú si pozrie kontrolór.
Tento článok nie je právne poradenstvo. Je to zoznam požiadaviek, ktoré vyplývajú z platných predpisov, a postup, ako si za desať minút overiť, či ich vaša lišta spĺňa.
Čo hovorí zákon
Na Slovensku rieši ukladanie a čítanie údajov v zariadení návštevníka § 109 ods. 8 zákona č. 452/2021 Z. z. o elektronických komunikáciách, účinný od 1. februára 2022. Ukladať alebo získavať prístup k informáciám v koncovom zariadení používateľa je dovolené len na základe preukázateľného súhlasu dotknutého používateľa. Výnimku majú cookies nevyhnutné na fungovanie služby, ktorú si používateľ vyžiadal — teda napríklad obsah košíka alebo prihlásenie. Analytické a marketingové cookies medzi nevyhnutné nepatria.
Slovo preukázateľný je tam kľúčové: bremeno dôkazu je na prevádzkovateľovi webu. Ak neviete ukázať, že súhlas bol daný, kedy a v akom rozsahu, právne ste v pozícii, akoby daný nebol.
Na spracúvanie osobných údajov, ktoré po súhlase nasleduje, sa vzťahuje GDPR: článok 4 ods. 11 definuje súhlas ako slobodný, konkrétny, informovaný a jednoznačný prejav vôle, článok 7 ods. 3 dodáva, že odvolať súhlas musí byť rovnako ľahké ako ho udeliť.
Nejde o teoretickú tému. Úrad pre reguláciu elektronických komunikácií a poštových služieb weby v tejto oblasti aktívne monitoruje a vo svojej tlačovej správe konštatuje, že väčšina webových stránok na Slovensku naďalej spracúva údaje o používateľoch nezákonne.
Tri chyby, ktoré vidím najčastejšie
Skripty sa načítajú pred rozhodnutím. Lišta sa zobrazí, ale meracie a marketingové skripty už bežia. Súhlas je vtedy dekorácia — údaje odišli skôr, než návštevník na čokoľvek klikol.
Odmietnuť je ťažšie ako súhlasiť. Veľké tlačidlo „Súhlasím" a odmietnutie schované za odkazom „Nastavenia" a dvomi klikmi. Súhlas potom nie je slobodný, lebo cesta k nemu je zámerne pohodlnejšia.
Lišta oznamuje namiesto pýtania. Jediné tlačidlo „Rozumiem" alebo „Pokračovať" nie je súhlas. Rovnako neobstojí predzaškrtnutá voľba — súhlas musí byť aktívny úkon.
Desaťbodový audit vlastnej lišty
Otvorte si web v novom anonymnom okne a prejdite body po poradí. Zoznam cookies nájdete vo vývojárskych nástrojoch v Chrome: F12 → Application → Storage → Cookies.
- 1. Pred kliknutím na čokoľvek: sú uložené len nevyhnutné cookies? Ak vidíte analytické alebo reklamné, lišta neblokuje.
- 2. Je tlačidlo na odmietnutie na prvej obrazovke, na rovnakej úrovni ako súhlas?
- 3. Vyžaduje odmietnutie rovnaký počet klikov ako súhlas?
- 4. Sú voľby prednastavené na „nesúhlasím" (nič predzaškrtnuté)?
- 5. Sú účely rozdelené na kategórie (analytika, marketing, personalizácia) a dajú sa odsúhlasiť samostatne?
- 6. Kliknite „odmietnuť" a pozrite cookies znova: pribudlo niečo, čo nie je nevyhnutné?
- 7. Nájdete na webe trvalo dostupný spôsob, ako rozhodnutie zmeniť či odvolať?
- 8. Je odvolanie rovnako jednoduché ako udelenie (nie e-mailom na podporu)?
- 9. Zodpovedá zoznam cookies vo vyhlásení tomu, čo ste videli v prehliadači?
- 10. Viete pri konkrétnom návštevníkovi preukázať, kedy a s čím súhlasil?
Ak niektorý bod neprejde, nie je to katastrofa — je to zoznam úloh. Body 1, 2 a 10 sú tie, ktoré by som riešil ako prvé.
Čo musí obsahovať záznam o súhlase
Toto je časť, ktorú nemá skoro nikto, a pritom z nej vyplýva celá preukázateľnosť. Minimálny záznam:
identifikátor návštevníka (pseudonymný, nie meno)
časová pečiatka rozhodnutia
rozsah: ktoré kategórie boli prijaté a ktoré odmietnuté
verzia textu lišty a zoznamu cookies v čase súhlasu
spôsob: cez ktorý prvok bolo rozhodnutie urobené
Riadok s verziou textu býva prehliadaný a je pritom kľúčový: bez neho neviete, s čím presne človek pred rokom súhlasil.
Toto všetko rieši ConsentGuard — skenuje web a nájde, čo sa reálne načítava, blokuje skripty do udelenia súhlasu, eviduje rozhodnutia s verziou textu a udržiava vyhlásenie v súlade so skutočnosťou. Beží aj na tomto webe.
Prepojenie na meranie
Súhlas nie je len o lište. Nástroje od Googlu a Mety očakávajú, že im rozhodnutie odovzdáte v strojovej podobe. V praxi ide o štyri signály — ad_storage, analytics_storage, ad_user_data a ad_personalization — ktoré musia byť pred rozhodnutím nastavené na odmietnuté a po kliknutí sa aktualizovať.
Keď tento krok chýba, nastane jedna z dvoch nepríjemností: merania bežia napriek nesúhlasu (právny problém), alebo naopak stratíte aj dáta, ktoré ste mať mohli (obchodný problém). Ako z merania po súhlase vyťažiť použiteľné čísla, rozoberá Analytika po súhlase.
Nezabudnite na zvyšok webu
Rovnako sa posudzujú formuláre — kontaktný, dopytový aj prihlásenie na newsletter. Pri každom má byť jasné, kto údaje spracúva, na akom právnom základe, na aký účel a ako dlho. Súhlas s marketingom nesmie byť podmienkou odoslania dopytu; to je typický príklad súhlasu, ktorý nie je slobodný. Informácie patria do zásad ochrany osobných údajov a informácií o cookies, na ktoré má lišta odkazovať.
Ak si nie ste istí, či je web v poriadku ako celok, napíšte mi — prejdeme lištu, formuláre aj merania naraz. Ceny sú v cenníku.