Cookie lišta a zákon v Česku
Co říká § 89 odst. 3 zákona o elektronických komunikacích, proč od roku 2022 platí opt-in, kdo cookies kontroluje a co z toho plyne pro běžný web nebo e-shop.
Obsah článku
V Česku pravidla pro cookies stanoví zákon č. 127/2005 Sb. o elektronických komunikacích, konkrétně § 89 odst. 3. Na to, co se s údaji z cookies děje potom, se vztahuje GDPR.
Co říká § 89 odst. 3
Znění zákona:
Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování.
Důležitá jsou tři slova: předem, prokazatelný a s rozsahem a účelem. Souhlas musí přijít dřív, než web něco uloží nebo přečte. Musíte ho umět doložit. A návštěvník musí vědět, k čemu souhlasí.
Od roku 2022 platí opt-in
Do konce roku 2021 se český zákon často vykládal jako opt-out: co návštěvník výslovně neodmítl, bylo povoleno. Úřad pro ochranu osobních údajů ve výroční zprávě za rok 2023 píše, že novela zákona o elektronických komunikacích s účinností od 1. ledna 2022 odstranila „jakékoli nejasnosti“. Údaje návštěvníků lze sbírat jen na základě jejich prokazatelného souhlasu, tedy opt-in.
Kdy souhlas není potřeba
Zákon má dvě výjimky. Souhlas není potřeba pro technické ukládání nebo přístup výhradně kvůli přenosu zprávy sítí, nebo pokud je to nezbytné pro službu, kterou si uživatel výslovně vyžádal.
ÚOOÚ tomu říká technické cookies, typicky košík, přihlášení nebo zapamatování volby v liště. Ostatní, tedy analytické, marketingové a podobné, jsou netechnické a potřebují souhlas. Pokud web používá jen technické cookies, cookie lištu podle ÚOOÚ mít nemusí. Informovat o nich ale musí, například odkazem na dokument o zpracování údajů.
Kdo to kontroluje
Cookies v Česku řeší Úřad pro ochranu osobních údajů (ÚOOÚ). Na semináři v červnu 2024 vysvětlil proč: cookies obsahují jedinečné identifikátory nebo jiné informace, které jsou osobními údaji podle GDPR, a proto to spadá do působnosti úřadu.
Podle téže prezentace úřad v roce 2022 hlavně vysvětloval a posílal takzvané vytýkací dopisy. Od roku 2023 vede správní řízení a ukládá pokuty. Podrobnosti jsou v článku Pokuty za cookies v Česku.
Dva souhlasy, nebo jeden?
ÚOOÚ v otázkách a odpovědích rozlišuje dvě věci:
- Souhlas s uložením a čtením cookies podle zákona o elektronických komunikacích. Bez něj netechnické cookies použít nelze.
- Právní titul pro další zpracování údajů podle GDPR. Tím může být souhlas, oprávněný zájem nebo plnění smlouvy. Jako příklad oprávněného zájmu úřad uvádí analytiku první strany.
Oba souhlasy lze získat zároveň, pokud splní všechny podmínky. A pozor: oprávněný zájem se týká jen dalšího zpracování. Uložení netechnické cookie bez souhlasu nezdůvodní. Pokud návštěvník souhlas neudělí, provozovatel podle ÚOOÚ cookies použít nesmí, a tím pádem ani zpracovávat údaje z nich.
Co udělat na vlastním webu
- Zjistěte, co web spouští před souhlasem. Otevřete ho v anonymním okně a podívejte se na cookies v nástrojích pro vývojáře, nebo použijte naši bezplatnou kontrolu webu.
- Rozdělte nástroje na technické a netechnické a netechnické dále podle účelu.
- Nastavte lištu tak, aby souhlas i odmítnutí byly ve stejné vrstvě. Shrnutí je v článku Co musí mít cookie lišta.
- Doplňte informace o všech cookies v češtině, včetně technických.
- Kontrolu opakujte po každé změně webu nebo marketingových nástrojů.