Pokuty za cookies v Česku
ÚOOÚ od roku 2023 ukládá za cookies pokuty. Nejvyšší pravomocné byly 898 000 Kč a 602 000 Kč. Co úřad nejčastěji nachází a jak se připravit.
Obsah článku
Úřad pro ochranu osobních údajů (ÚOOÚ) se cookies věnuje soustavně a své výsledky zveřejňuje. Díky tomu je dobře vidět, co v praxi kontroluje a za co trestá.
Od dopisů k pokutám
Podle prezentace ÚOOÚ ze semináře v červnu 2024 se úřad v roce 2022 věnoval hlavně osvětě a posílal takzvané vytýkací dopisy. Od roku 2023 vede správní řízení a ukládá pokuty.
Ve výroční zprávě za rok 2023 úřad vysvětluje proč: řada správců na vytýkací dopisy reagovala nedostatečně, výjimečně vůbec. Pokuty proto ukládá většinou spolu s konkrétními nápravnými opatřeními.
Jak vysoké pokuty byly
- Nejvyšší pravomocné pokuty za cookies uvedené ve výroční zprávě 2023 jsou 898 000 Kč a 602 000 Kč.
- Podle prezentace z června 2024 činily pravomocné pokuty v oblasti cookies v té době zhruba 2 miliony Kč dohromady.
- Výši pokut úřad počítá podle pokynů EDPB 04/2022 o výpočtu správních pokut podle GDPR.
Úřad cookies posuzuje podle GDPR, protože obsahují jedinečné identifikátory a další osobní údaje. Horní hranice pokuty podle čl. 83 odst. 5 GDPR je 20 milionů eur nebo 4 % celosvětového ročního obratu, podle toho, co je vyšší. To je strop, ne obvyklá výše.
Co úřad nachází nejčastěji
Výroční zpráva 2023 uvádí podíl jednotlivých porušení, která úřad u cookies zjistil:
| Porušení | Podíl |
|---|---|
| Zpracování přes cookies před souhlasem návštěvníka | více než 70 % |
| Nedostatky v plnění informační povinnosti | 50 % |
| Souhlas a odmítnutí v různých vrstvách lišty | téměř 30 % |
Všechny dosavadní pravomocné pokuty, včetně obou nejvyšších, byly podle zprávy uloženy i kvůli ukládání cookies bez souhlasu. Úřad ho posuzuje jako porušení zásady zákonnosti podle čl. 5 odst. 1 písm. a) GDPR.
Další časté prohřešky podle prezentace z roku 2024:
- neinformovaný souhlas, například když lišta neříká, že se po souhlasu nahrají i cookies třetích stran,
- neúplné informace o cookies, informace jen v cizím jazyce nebo cookies označené jako „neklasifikované“,
- složité odvolání souhlasu, minimálně má být v zápatí odkaz pro vyvolání lišty.
Úřad zároveň konstatuje, že se situace zlepšuje. Odmítnutí v první vrstvě lišty se podle výroční zprávy stává standardem.
Jak úřad postupuje
V hloubkových šetřeních ÚOOÚ podle prezentace analyzuje podobu a funkčnost lišty, plnění informační povinnosti a to, zda jsou použité cookies opravdu nezbytné pro chod stránek. Ve výroční zprávě uvádí, že používá i nástroje vlastní provenience, které prezentoval na workshopu EDPB.
Úřad také upozorňuje na hotová řešení: odpovědnost má vždy provozovatel webu jako správce osobních údajů. Pokud web spravuje jiná firma, má s ní mít zpracovatelskou smlouvu, která pokrývá i cookies.
Jak se připravit
- Zkontrolujte, co web dělá před souhlasem. Stejně jako úřad, tedy v prohlížeči. Pomůže bezplatná kontrola webu, rozhraní je zatím ve slovenštině.
- Dejte odmítnutí do první vrstvy vedle souhlasu. Shrnutí je v článku Co musí mít cookie lišta.
- Doplňte informace o všech cookies v češtině, včetně technických a cookies třetích stran.
- Přidejte do zápatí odkaz na změnu souhlasu.
- Kontrolu opakujte po každé změně webu.
Zdroje
- ÚOOÚ: Výroční zpráva 2023, kapitola Cookies (PDF)
- ÚOOÚ: Praxe ÚOOÚ v oblasti cookies, seminář 12. 6. 2024 (PDF)
- EDPB: Guidelines 04/2022 on the calculation of administrative fines under the GDPR
- Nařízení (EU) 2016/679 (GDPR), čl. 5 a 83 (EUR-Lex)
- Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89 odst. 3 (Zákony pro lidi)