Co je cookie?
Cookie je malý textový soubor, který web uloží do prohlížeče návštěvníka. Když prohlížeč příště načte stránku z toho webu, pošle cookie zpět. Díky tomu si web může věci pamatovat: že jsi přihlášený, co máš v nákupním košíku, jaký jazyk sis vybral nebo že už jsi tu někdy byl.
Cookies samy o sobě nejsou dobré ani špatné. Záleží na tom, k čemu se používají. Cookie, která drží tvůj košík, potřebuješ; cookie, která tě sleduje na stovkách webů, aby z toho vznikl reklamní profil, je něco, s čím musíš nejdřív souhlasit.
Co na to říká zákon
V Česku upravuje cookies § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Od 1. ledna 2022 platí, že kdo ukládá údaje do zařízení návštěvníka nebo k nim přistupuje, musí od něj předem získat prokazatelný souhlas s rozsahem a účelem zpracování. Pravidlo vychází z čl. 5 odst. 3 evropské směrnice ePrivacy.
Výjimky jsou dvě: ukládání výhradně pro přenos zprávy a ukládání, které je nezbytné pro službu, o kterou návštěvník výslovně požádal. Tam, kde souhlas potřeba je, musí splňovat standard GDPR: svobodný, konkrétní, informovaný a vyjádřený jednoznačným úkonem. Soudní dvůr EU rozhodl ve věci Planet49 (2019), že předem zaškrtnuté políčko není platný souhlas, ať cookie obsahuje osobní údaje, nebo ne.
Cookies s jedinečným identifikátorem jsou podle Úřadu pro ochranu osobních údajů (ÚOOÚ) zpravidla osobními údaji. Proto na ně vedle zákona o elektronických komunikacích platí i GDPR a proto na ně dohlíží právě ÚOOÚ. Podrobněji v průvodci Zákon o cookies v Česku.
Typy cookies
Podle toho, kdo je ukládá
- Cookies první strany ukládá web, který navštěvuješ, pod svou vlastní doménou.
- Cookies třetích stran ukládá jiná doména, například reklamní síť, videoplatforma nebo widget sociální sítě vložený do stránky.
Podle toho, jak dlouho vydrží
- Relační cookies zmizí, když zavřeš prohlížeč.
- Trvalé cookies zůstávají až do stanoveného data vypršení, od minut po roky. Například cookie _ga od Google Analytics vydrží ve výchozím nastavení dva roky. ÚOOÚ připomíná, že doba platnosti cookies nesmí být delší, než je pro daný účel nezbytné.
Podle účelu
Tohle je rozdělení, které rozhoduje o tom, jestli potřebuješ souhlas. ÚOOÚ rozlišuje technické cookies, nezbytné pro chod webu, a netechnické cookies, které slouží ke sběru informací o návštěvnících pro statistické, analytické, marketingové nebo jiné účely.
| Účel | Příklady | Souhlas potřeba v Česku? |
|---|---|---|
| Technické (nezbytně nutné) | Nákupní košík, přihlášení, vyvažování zátěže, zabezpečení, samotná volba cookies | Ne |
| Preferenční | Jazyk, region, tmavý režim | Ne, pokud jen pamatují volbu, kterou návštěvník sám udělal; jinak ano |
| Statistické / analytické | Počty návštěvníků, zobrazení stránek, Google Analytics | Ano |
| Marketingové / sledovací | Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting | Ano |
| Vložený obsah | Videa z YouTube, mapy, příspěvky ze sociálních sítí | Obvykle ano |
Na rozdíl od některých jiných zemí EU nemá Česko výjimku pro měření návštěvnosti. Víc v průvodci Google Analytics a GDPR.
I o technických cookies musíš návštěvníky informovat. Podle ÚOOÚ i ony zpravidla obsahují osobní údaje a výjimka v zákoně se týká jen souhlasu, ne informační povinnosti.
Nejen cookies
Pravidlo je technologicky neutrální. Vztahuje se na cokoli, co ukládá informace do zařízení nebo je z něj čte. ÚOOÚ výslovně uvádí objekty v místním úložišti, místně sdílené objekty a fingerprinting. EDPB ve svých Pokynech 2/2023 jmenuje mimo jiné:
- local storage a session storage v prohlížeči;
- sledovací pixely a link decoration (identifikátory přidávané do URL);
- skripty, které sbírají informace ze zařízení a posílají je na server;
- fingerprinting, který rozpozná zařízení podle jeho vlastností;
- identifikátory v aplikacích a připojených zařízeních.
Věta „nepoužíváme cookies, jen pixel“ tě tedy z pravidel nevyvleče.
Co to znamená pro tvůj web
- Zjisti, co tvůj web skutečně ukládá. Pluginy, vložená videa a marketingové tagy často přidávají cookies, o kterých nevíš. Skener cookies ti je ukáže.
- Roztřiď je podle účelu: technické, preferenční, statistické a marketingové. Žádné „neklasifikované“ cookies: ÚOOÚ je považuje za cookies bez informace o účelu.
- Zablokuj vše, co vyžaduje souhlas, dokud návštěvník nesouhlasí, a udělej odmítnutí stejně snadné jako přijetí.
- Vysvětli to v zásadách používání cookies, v češtině: každou cookie, její účel, kdo ji ukládá a jak dlouho vydrží. Podívej se na náš vzor zásad používání cookies.
Cookie Confirm každý měsíc proskenuje tvůj web (plus neomezené opakované skeny), roztřídí nalezené cookies, zablokuje skripty do udělení souhlasu a udržuje tvé zásady používání cookies aktuální.
Zdroje
- Zákon č. 127/2005 Sb., o elektronických komunikacích, § 89 odst. 3 (e-Sbírka)
- ÚOOÚ: Q&A – Cookies
- ÚOOÚ: Praxe ÚOOÚ v oblasti cookies, prezentace ze semináře (12. června 2024)
- ÚOOÚ: Výroční zpráva 2023, kapitola Výzva roku – správní trestání a dobrá praxe v oblasti cookies
- Směrnice ePrivacy 2002/58/ES (konsolidované znění), čl. 5 odst. 3
- SDEU: věc C-673/17, Planet49
- EDPB: Pokyny 2/2023 k technickému rozsahu čl. 5 odst. 3 směrnice ePrivacy
- Pracovní skupina WP29: Stanovisko 04/2012 k výjimce ze souhlasu s cookies
- CNIL: Řešení pro nástroje měření návštěvnosti
- Nápověda Google Analytics: Používání cookies na webech