Co musí mít cookie lišta

Zákon o elektronických komunikacích požaduje „předem prokazatelný souhlas“. Jak má lišta vypadat, v něm nenajdete. Konkrétní požadavky popisuje Úřad pro ochranu osobních údajů v otázkách a odpovědích ke cookies a v prezentaci ze semináře z června 2024. Doplňuje je zpráva pracovní skupiny evropských úřadů pro cookie lišty, kterou EDPB přijal 17. ledna 2023.

1. Odmítnutí ve stejné vrstvě jako souhlas

ÚOOÚ píše, že odmítnutí musí být stejně jednoduché jako udělení souhlasu. Dosáhne se toho tak, že tlačítka pro souhlas a nesouhlas jsou ve stejné vrstvě lišty. Jako dobrou praxi úřad uvádí tlačítko pro nesouhlas přímo v první vrstvě, na roveň souhlasu a ve srovnatelném provedení.

„Odmítnout vše“ schované až v Nastavení tedy nestačí. Ve výroční zprávě za rok 2023 úřad uvádí, že téměř 30 % porušení, která u cookies zjistil, bylo právě umístění souhlasu a odmítnutí do různých vrstev.

2. Tlačítka nikoho nenavádějí

Tlačítko „souhlasím“ by podle ÚOOÚ nemělo být výrazně větší ani výrazně barevnější než „odmítám“. Pokud je odmítnutí hůř vidět, návštěvník ho může přehlédnout a souhlas pak není svobodný. Barvy mají respektovat obecně přijímaný význam.

Zpráva EDPB jako zjevně zavádějící uvádí tlačítko pro odmítnutí s tak slabým kontrastem, že text nejde přečíst, nebo odmítnutí schované jako odkaz v odstavci textu.

3. Nic není předem zaškrtnuté

Předem zaškrtnutá políčka podle ÚOOÚ nelze považovat za souhlas. Úřad odkazuje na recitál 32 GDPR a na rozsudek Soudního dvora EU ve věci Planet49 (C-673/17) z 1. října 2019. Analytické a marketingové cookies tedy musí být v nastavení vypnuté, dokud je návštěvník sám nezapne.

4. Zavření lišty není souhlas

Pokud návštěvník lištu zavře křížkem, odmítne nebo neudělá nic, musí netechnické cookies zůstat vypnuté. ÚOOÚ to říká výslovně. Stejně tak samotné prohlížení stránek bez reakce na lištu souhlas neznamená. EDPB v pokynech 05/2020 dodává, že ani posouvání stránky není jasný potvrzující úkon.

5. Web funguje i bez souhlasu

Lišta nesmí bránit v používání webu, ani když návštěvník ještě nic nezvolil. Pokud je lišta uprostřed obrazovky, měla by podle ÚOOÚ mít prvek pro snadné zavření bez volby. Takzvané cookie walls, kdy se bez souhlasu na web nedostanete, úřad s odkazem na pokyny EDPB 05/2020 (bod 39) odmítá.

6. Nastavení prohlížeče souhlas nenahradí

Souhlas podle ÚOOÚ nelze udělit jen nastavením prohlížeče. Provozovatel musí umět doložit, že návštěvník souhlasil s konkrétními účely, a k tomu je potřeba aktivní krok, třeba kliknutí na tlačítko.

7. Souhlas jde snadno odvolat

Odvolání musí být stejně snadné jako udělení. ÚOOÚ nepovažuje za přijatelné, aby to šlo například jen telefonicky. Ideálně má být na webu snadno dostupné tlačítko nebo odkaz. V prezentaci z roku 2024 úřad jako minimum uvádí odkaz na vyvolání lišty v zápatí stránky.

8. Informace jsou úplné a česky

Návštěvník má vědět, kdo je správce, k jakým účelům cookies slouží, kdo údaje dostává, jak dlouho se uchovávají a jaká má práva. Výpis jednotlivých cookies s účely úřad doporučuje. Informace mají být srozumitelné a v češtině. Ve výroční zprávě 2023 úřad uvádí případ, kdy byly informace o 58 cookies jen v angličtině, a také odmítá cookies označené jako „neklasifikované“.

Rychlá kontrola vaší lišty

• Je „Odmítnout“ ve stejné vrstvě jako „Přijmout“?
• Jsou obě tlačítka stejně velká a čitelná?
• Jsou všechny volitelné kategorie v nastavení vypnuté?
• Po zavření křížkem nebo bez kliknutí se nic nespustí?
• Jde web používat i bez souhlasu?
• Je v zápatí odkaz na změnu souhlasu?
• Jsou informace o cookies úplné a v češtině?

Vzhled ověříte pohledem. Jestli se před souhlasem opravdu nic nespouští, ukáže až technická kontrola. Postup je v článku Jak zkontrolovat, jestli web spouští trackery před souhlasem.

Zdroje

• ÚOOÚ: Q&A Cookies
• ÚOOÚ: Praxe ÚOOÚ v oblasti cookies, seminář 12. 6. 2024 (PDF)
• ÚOOÚ: Výroční zpráva 2023, kapitola Cookies (PDF)
• EDPB: Report of the work undertaken by the Cookie Banner Taskforce, 17. 1. 2023 (PDF)
• EDPB: Pokyny 05/2020 k souhlasu podle nařízení 2016/679
• Soudní dvůr EU: tisková zpráva č. 125/19 k rozsudku C-673/17 Planet49 (PDF)