Úřad pro ochranu osobních údajů (dále jako „ÚOOÚ”) tento týden aktualizoval své pokyny k souhlasům se soubory cookies, uděleným prostřednictvím tzv. cookie lišty. Zpřesnil tak tím své předchozí pokyny a osvětluje svůj názor na tuto problematiku spojenou jak s evropským nařízením č. 2016/679, o ochraně fyzických osob (dále jako „GDPR”), tak se zákonem č. 127/2005 Sb., o elektronických komunikacích.
Pokud používáte pouze nezbytné (tedy technické) cookies, není nutné mít cookie lištu. Musíte však stále vhodným způsobem splnit svou informační povinnost, např. umístěním odkazu s dokumentem obsahujícím předepsané informace na viditelné místo webových stránek.
Pokud navíc dochází ke zpracování osobních údajů, musíte návštěvníkům webových stránek, které využívají cookies, poskytnout informace o zpracování osobních údajů dle čl. 13 GDPR. ÚOOÚ dále zdůrazňuje, že tuto informační povinnost je potřeba plnit přístupným a srozumitelným způsobem za použití jednoduchých jazykových prostředků. Pokud jsou na české stránce takové informace v jiném jazyce nebo pokud je musí uživatel složitě hledat, nesplňuje takové informování shora uvedené požadavky.
Jiné, než nezbytné cookies je možné ukládat pouze se souhlasem uživatele. Tlačítko pro vyjádření nesouhlasu s jinými než nezbytnými cookies je v cookie liště nutné umístit tak, aby souhlas mohl být udělován bez nátlaku a uživatel stránek nebyl při své volbě ovlivňován. Mělo by tedy být stejně jednoduché souhlas neudělit jako udělit. Tlačítka pro souhlas i nesouhlas by měla být uvedena ve stejné vrstvě cookie lišty a podle ÚOOÚ je příkladem best practice uvedení tlačítek v první vrstvě a ve srovnatelném vizuálním provedení).
ÚOOÚ dále připomíná, že udělený souhlas musí být možné kdykoliv odvolat, resp. změnit svoji volbu. Odvolání souhlasu musí být stejně snadné jako jeho udělení. Současně dodává, že v případě udělení souhlasu prostřednictvím cookie lišty nelze akceptovat, aby odvolání souhlasu bylo možné např. pouze telefonicky. Ideálně by tedy na internetových stránkách mělo být snadno dostupné tlačítko či odkaz, pomocí kterých lze souhlas odvolat.
Podle ÚOOÚ lze výpis jednotlivých cookies včetně jejich účelu určitě doporučit. Umístění této informace je potřeba zvážit s ohledem na množství cookies, aby poskytované informace byly přehledné a zároveň snadno dostupné. Informace tedy může být přímo ve strukturované cookie liště, např. po rozkliknutí „více informací“ nebo zde může být odkaz na dokument obsahující informace o cookies.
Dobu, po kterou je platně udělen souhlas se zpracováním osobních údajů prostřednictvím cookies, i dobu pro opětovné zobrazení cookie lišty v případě odmítnutí udělení souhlasu, je nutné stanovit s ohledem na účel, ke kterému jsou osobní údaje zpracovávány, a současně s ohledem na očekávání uživatele subjektů údajů. Opětovné zobrazování cookie lišty by totiž nemělo narušovat činnosti uživatele při používání webové stránky, ať už souhlas udělil či odmítl udělit.
Obecně lze za přiměřenou dobu, na kterou byl souhlas s využíváním cookies udělen, považovat 12 měsíců. V případě, že uživatel odmítl souhlas udělit, nemělo by být jeho udělení znovu vyžadováno alespoň 6 měsíců od posledního zobrazení cookie lišty. Tato doba může být kratší pokud (1) se významně změnila jedna nebo více okolností zpracování, nebo (2) provozovatel není schopen sledovat předchozí souhlas/nesouhlas (např. uživatel smazal cookies uložené ve svém zařízení).
Další pokyny a vysvětlení ze strany ÚOOÚ najdete zde.
Photo by Food Photographer | Jennifer Pallian on Unsplash
Veronika Šemberová pracovala v Cisek na pozici vedoucí advokátky.
.svg){kind=icon}
.svg){kind=icon}
