Právo, soukromí a souhlas
Souhlas fakt není jeden cookie banner.
Když před spuštěním přidáme Cookiebot a banner ukazuje tři kategorie cookies, tlačítko „souhlasím" funguje a všichni mají pocit, že je hotovo, tak je to docela podstatný omyl.
V <head> zůstane Google Tag Manager, Meta pixel, Hotjar a fonty z Google CDN. Banner o části z nich neví. Některé z nich ani neukládají cookies, takže je „cookie banner" podle názvu snadno přehlédne. A externí font odešle IP adresu návštěvníka třetí straně dřív, než člověk vůbec dostane šanci kliknout.
Prosím tahle kapitola není právní rada a obecně klientům právní rady nedáváme. Pokud je něco složitější, ať se zeptají svých právníků a nám dají rozhodnutí, jak to chtějí udělat.
Jeden měřicí skript, dvě otázky
První otázka je ePrivacy: smím něco uložit do zařízení návštěvníka nebo z něj číst? Článek 5(3) ePrivacy směrnice řeší ukládání informací do koncového zařízení a přístup k informacím, které už v něm jsou. Souhlas je potřeba pro všechno, co není technicky nezbytné pro službu, kterou si uživatel vyžádal.
Druhá otázka je GDPR: mám právní základ zpracovat osobní údaje, které z toho plynou? Článek 6 GDPR řeší samotné zpracování osobních údajů. To je jiná otázka než přístup do zařízení.
U běžného měřicího nebo reklamního skriptu proto řešíš obě části. Nejdřív ePrivacy: smíš skriptem uložit nebo přečíst identifikátor? Potom GDPR: na jakém základě zpracuješ data, která tím získáš? Legitimní zájem podle GDPR nepřebije souhlas, který vyžaduje ePrivacy.
„Bez cookies" neznamená bez souhlasu
„Nepoužíváme cookies" není právní odpověď. Článek 5(3) je technologicky neutrální: nehlídá slovo cookie, hlídá ukládání a čtení informací v zařízení.
EDPB to ve finálních Guidelines 2/2023 z 16. října 2024 formuloval široce. Pod čl. 5(3) mohou spadat pixely, měřicí odkazy, fingerprinting, lokální zpracování s následným odesláním dat, některé IoT reporty i určité měření podle IP. Rozhoduje, co technologie dělá, ne jak jí říká dodavatel. Třeba Nua analytics jsme museli přepsat, aby skutečně odpovídal těmto guidelines a nevyžadoval souhlas.
Právní základ není pojistka pro všechno
GDPR čl. 6 nabízí šest právních základů: souhlas, plnění smlouvy, právní povinnost, ochranu životně důležitých zájmů, úkol ve veřejném zájmu a oprávněný zájem.
U marketingu je to obzvlášť zrádné. Některé marketingové zpracování lze za určitých okolností opřít o oprávněný zájem, ale sledovací reklama, cookies, pixely a elektronická komunikace narážejí na ePrivacy a národní pravidla. Jednotlivec má navíc u přímého marketingu silné právo vznést námitku. Takže je to komplikované a nechceme to rozhodovat.
Souhlas je záznam
Platný souhlas podle GDPR musí být svobodný, konkrétní, informovaný a jednoznačný. Musí přijít jasným potvrzujícím úkonem. Předzaškrtnuté políčko, ticho ani nečinnost nejsou souhlas.
Nejtěžší část je důkaz souhlasu. Článek 7(1) GDPR říká, že správce musí být schopen prokázat, že subjekt údajů souhlasil. Při sporu nepředkládáš dojem, že „uživatel určitě klikl". Předkládáš záznam.
Záznam souhlasu má umět říct: kdo nebo který identifikátor souhlas udělil, kdy, k jakým účelům, přes jakou metodu, s jakou verzí oznámení a jestli byl souhlas později odvolaný. Nemusíš kvůli tomu sbírat víc dat, než je nutné. Musíš ale umět zpětně doložit, co se stalo.
Proto je často u newsletteru lepší použít embed z platformy, protože celou tuto problematiku pak necháváme na nich.
Ne musí být stejně snadné jako ano
Souhlas není svobodný, když je odmítnutí schované, pomalejší nebo vizuálně slabší než přijetí.
CNIL v lednu 2022 pokutovala Google částkou 150 milionů eur a Facebook částkou 60 milionů eur mimo jiné za to, že přijmout cookies šlo jednodušeji než je odmítnout. „Accept all" bylo po ruce, odmítnutí vedlo přes další volby.
EDPB Cookie Banner Taskforce v roce 2023 popsal stejné pasti obecněji: chybějící možnost odmítnout na vrstvě, kde je souhlas; předzaškrtnuté volby; odmítnutí schované jako nenápadný odkaz; barvy a kontrast, které zjevně tlačí k přijetí. Praktické pravidlo je jednoduché: reject má být dostupný vedle accept a hotovo.
Externí zdroj je přenos do třetí strany
CDN často bereme jako výkonovou vrstvu: rychlejší fonty, skripty, mapy, videa. Jenže každý externí zdroj znamená požadavek na cizí server. Ten server typicky vidí IP adresu návštěvníka, user agent, čas a URL referer. Z právního pohledu to není jen technická optimalizace, ale možný přenos osobních údajů dalšímu příjemci.
Google Fonts to ukázaly na drobném, ale srozumitelném sporu. Zemský soud v Mnichově I v lednu 2022 řešil dynamické načítání fontů z Google CDN bez souhlasu a přiznal náhradu 100 eur. Částka nebyla podstatná. Podstatné bylo, že šlo o obyčejný web a o běžnou technickou volbu.
Nejčistší postup je vlastní hostování tam, kde to jde. Font stáhneš, servíruješ z vlastní domény a IP adresa neodchází kvůli fontu třetí straně. Stejný princip platí pro skripty, embedované prvky a mapy: u každé položky v <head> se ptej, kdo data dostává, proč, na jakém základě, jestli existuje DPA nebo jiný přenosový mechanismus a jestli se tomu dá vyhnout vlastním hostováním. Technickou stranu řeší Cloudflare a hosting a CDN.
DPA: každý zpracovatel je smlouva
Jakmile někomu předáváš osobní údaje, aby je zpracovával za tebe, řešíš čl. 28 GDPR. Analytika, e-mailing, hosting, formuláře, CRM, helpdesk i nástroj na nahrávání session mohou být zpracovatelé. Mezi tebou (tedy naším klientem) a každým zpracovatelem má být písemná smlouva o zpracování, DPA. I my jsme zpracovatel dat pro našeho klienta, když mu provozujeme web.
DPA vymezuje, co dodavatel smí s daty dělat, jak je zabezpečí, jak pomůže s právy subjektů údajů, jak řeší incidenty a koho může zapojit jako sub-zpracovatele.
Retence: lhůtu si musíš určit sám
GDPR ti nedá univerzální tabulku lhůt. Princip omezení uložení v čl. 5(1)(e) říká, že osobní údaje nesmíš držet déle, než je nutné pro účel. Co znamená „nutné", musíš určit, zdokumentovat a opravdu vynutit.
Retence proto není věta „data mažeme průběžně". Je to seznam typů dat, účelů, právních základů, lhůt a mechanismu mazání nebo anonymizace. Kontakty z newsletteru se chovají jinak než účetní doklady, logy serveru, záznamy souhlasu nebo odpovědi z formuláře.
Nejčastější je tiché hromadění. Formulář ukládá poptávky navždy, analytika drží surová data bez důvodu, exporty zůstávají ve sdílené složce. „Mohlo by se to hodit" není účel. A porušení omezení uložení patří mezi porušení, u kterých GDPR zná nejvyšší sazbu pokut: až 20 milionů eur nebo 4 % celosvětového ročního obratu.
Není to zbytečné pro malý web?
Částečně ano. Malý web má mnohem menší riziko, že nasbírá moc dat a někdo to bude řešit.
U malého webu může být odpověď jednoduchá tabulka, vlastní hostování fontů, jeden čistý analytický nástroj a roční kontrola. To je pořád správa souhlasu a právních rizik a znamená to dobře odvedenou práci.
Praktický checklist
- Projdi reálný web, ne jen nastavení CMP: skripty, pixely, fonty, embedy, formuláře, analytiku, e-mailing a hosting.
- U každé položky víš, jestli ukládá nebo čte informace v zařízení, jestli zpracovává osobní údaje a komu data předává.
- U měřicích a reklamních skriptů máš odděleně vyřešenou ePrivacy vrstvu (uložení/čtení) a GDPR vrstvu (zpracování).
- Ne-nutné skripty se nespouštějí před souhlasem.
- Reject je na stejné vrstvě jako accept a není vizuálně ani krokově znevýhodněný.
- Záznam souhlasu obsahuje identifikátor, čas, účely, verzi oznámení, metodu sběru a odvolání.
- Každý zpracovatel má doložitelnou DPA a seznam sub-zpracovatelů.
- Přenosy do třetích zemí mají oporu: certifikace, SCC nebo jiný platný mechanismus podle konkrétní služby.
- Retenční lhůty jsou napsané pro typy dat a vynucené mazáním nebo anonymizací.
- Fonty, skripty a další zdroje třetích stran hostuješ sám tam, kde to dává smysl a snižuje to přenos dat.
- Licence k textům, fotkám, fontům a ikonám jsou uložené a sedí na účel použití.
Typické chyby
- Souhlas jako jedna otázka. ePrivacy řeší uložení a čtení v zařízení, GDPR zpracování osobních údajů. U jednoho skriptu často potřebuješ odpověď na obě.
- Banner neodpovídá webu. CMP ukazuje tři kategorie, ale v
<head>visí pixel, session recorder nebo externí font, o kterém banner neví. - „Bez cookies = vyřešeno." Pixel, fingerprinting, local storage i některé měření podle IP mohou spadat pod stejný režim.
- Legitimní zájem jako náhrada souhlasu. Nepřebije ePrivacy a u sledovací reklamy často jen maskuje chybějící volbu.
- Souhlas bez záznamu. Když nevíš doložit čas, účel a verzi oznámení, souhlas při sporu prakticky nemáš.
- Dodavatel bez DPA. Technicky fungující nástroj je právní mezera, pokud zpracovává data za tebe a smlouva chybí.
- Data bez konce. Retenční lhůta není archivace. Osobní údaje se po účelu mažou nebo anonymizují.
- „Zaplaceno = smím." Editorial fotka v reklamě, font mimo licenční rozsah nebo ikona bez správné licence jsou pořád porušení.
18 / 26