Problematické cookie lišty úřad odhalí snáz, než si myslíte
Nabízíte uživatelům vašeho webu možnost odmítnout cookies stejně snadno jako je přijmout? Rakouská společnost dostala pokutu za to, že včas neupravila svou lištu podle příkazu dozorového úřadu. Na jaká pravidla nesmíte při nastavování cookie lišty zapomenout?
Cookie lišty jsou dnes běžnou součástí většiny webů. Právě proto je důležité, aby nepůsobily manipulativně a aby měl návštěvník webu skutečnou možnost volby. Souhlas s cookies by měl být vždy nastaven férově – zejména pokud jde o stejně snadnou a viditelnou možnost odmítnout cookies jako v případě udělení souhlasu. Dozorové úřady se přitom v posledních letech poměrně často zabývají tím, že cookie lišty tuto rovnováhu nerespektují a návštěvníky spíše tlačí k udělení souhlasu.
V praxi tento problém nedávno řešil i rakouský dozorový úřad v případě jedné mediální společnosti provozující zpravodajský web. Pojďme se tedy podívat na to, proč úřad považoval cookie lištu za problematickou a jak by měla být taková cookie lišta vůbec správně nastavena.
Případ rakouské společnosti
Případ se týkal rakouské mediální společnosti v pozici správce osobních údajů, která vydávala místní zprávy. Tato společnost zároveň provozovala webovou stránku, kde sbírala osobní údaje návštěvníků pomocí cookies, které navíc obsahovaly jedinečné identifikátory pro sledování návštěvníků.
Celý případ se začal řešit poté, co jeden z návštěvníků webu podal stížnost k rakouskému dozorovému úřadu, v níž si stěžoval na porušení svých práv dle GDPR, včetně práva na výmaz a na důvěrnost osobních údajů. Rakouský dozorový úřad provedl šetření, stížnost však byla zamítnuta. Úřad totiž došel k závěru, že požadované vymazání osobních údajů návštěvníka webu již proběhlo a veškeré potřebné informace byly již poskytnuty.
Rakouský dozorový úřad však při prošetřování této stížnosti zjistil, že problém byl jinde – cookie lišta na webu správce totiž nebyla nastavena správně. Zahájil tak řízení z moci úřední k prošetření problematické cookie lišty.
Cookie lišta musí obsahovat opticky rovnocennou možnost cookies odmítnout
Rozhodnutí rakouského dozorového úřadu
Rakouský dozorový úřad při šetření zjistil, že cookie lišta umístěná na webu mediální společnosti nesplňovala požadavky, které na ni klade GDPR a další předpisy chránící osobní údaje. Tato lišta totiž návštěvníkům webu neumožňovala odmítnout souhlas s cookies stejně snadno jako jej udělit. Na první úrovni cookie lišty totiž byla výrazná možnost cookies přijmout, chyběla však opticky rovnocenná možnost cookies odmítnout.
Pokud chtěl návštěvník webu cookies odmítnout, musel to udělat přes nastavení a účely cookies v rámci lišty. Návštěvník tedy musel činit další kroky k tomu, aby udělení souhlasu s cookies odmítl, zatímco pro přijetí cookies mu stačilo jednoduše kliknout na kolonku pro udělení souhlasu, která se zobrazila přímo na první úrovni lišty. Rakouský dozorový úřad tak zhodnotil, že odmítnutí cookies nebylo tak snadné a viditelné jako jejich přijetí.
Rakouský dozorový úřad tedy došel k závěru, že mediální společnost v pozici správce osobních údajů porušila svou povinnost vyplývající z čl. 7 GDPR, tedy povinnost zabezpečit, aby odmítnutí souhlasu bylo stejně snadné jako jeho poskytnutí. Dozorový úřad tak vydal příkaz, dle kterého měla mediální společnost cookie lištu na svém webu upravit tak, aby umožňovala návštěvníkům webu odmítnout souhlas na první úrovni co nejsnadněji a nejviditelněji, stejně jako v případě poskytnutí souhlasu. Pro implementaci tohoto příkazu stanovil rakouský dozorový úřad desetitýdenní lhůtu.
Odvolání a jeho dopady
Mediální společnost se proti rozhodnutí dozorového úřadu odvolala, rakouský spolkový správní soud však odvolání zamítl. Během odvolání k tomuto soudu byla vymahatelnost příkazu dozorového úřadu ohledně nápravy cookie lišty pozastavena, což prodloužilo lhůtu k implementaci tohoto příkazu. Společnost se však následně odvolala i proti rozhodnutí spolkového správního soudu, a to k rakouskému Nejvyššímu správnímu soudu. Toto odvolání bylo rovněž zamítnuto.
Mediální společnost si však neuvědomila, že odvolání k Nejvyššímu správnímu soudu již odkládací účinek nemělo. Lhůta k úpravě cookie lišty tak začala běžet již po zamítnutí odvolání ze strany spolkového správního soudu, kdy se rozhodnutí dozorového úřadu stalo právně závazným. Společnost však změny v cookie liště neprovedla včas. Cookie lišta byla společností upravena až po téměř šesti měsících od závaznosti rozhodnutí. Společnost tak stanovenou desetitýdenní lhůtu zdaleka nedodržela.
V návaznosti na toto opoždění zahájil rakouský dozorový úřad administrativní řízení za nedodržení závazného příkazu k provedení změn cookie lišty, čímž došlo k porušení čl. 58 odst. 2 písm. d) GDPR. Za uvedená porušení udělil rakouský dozorový úřad mediální společnosti pokutu ve výši 6820 eur (přibližně 165 tisíc korun českých). Při udělení této pokuty se dozorový úřad zabýval i tím, že jednání společnosti bylonedbalé, nikoliv úmyslné. To však dle Soudního dvora EU při udělení pokuty dle GDPR nehraje roli. Společnost totiž o nezákonnosti svého postupu při vynaložení potřebné péče měla vědět. Dozorový úřad navíc zdůraznil čl. 83 GDPR, dle kterého musejí být pokuty vždy účinné, přiměřené a odrazující.
Za nesplnění příkazu dozorového úřadu ve stanovené lhůtě vám hrozí pokuta
Ponaučení pro všechny správce
Každý správce osobních údajů, který provozuje webové stránky, na nichž sbírá od návštěvníků soubory cookies, by měl myslet na to, že s cookie lištami není radno si zahrávat. U cookie lišt se často řeší reálná svoboda volby návštěvníka webu. Pokud je souhlas na první úrovni dostupný jedním klikem, zatímco odmítnutí vede přes další kroky v nastavení, dozorové úřady to typicky vyhodnotí jako nepřiměřené ztížení odmítnutí. Jakmile dozorový úřad navíc vydá závazný příkaz k nápravě, je potřeba jej splnit včas – odvolání totiž nemusí vždy znamenat odklad lhůty pro splnění příkazu.
Aby se správci podobným problémům vyhnuli, vyplatí se držet základních pravidel při nastavení cookie lišty. Pro její správné nastavení je tak potřeba, aby splňovala následující požadavky (viz box).
ZÁKLADNÍ PRAVIDLA PRO NASTAVENÍ COOKIE LIŠTY |
1. Udělení souhlasu skrze tzv. opt-in: netechnické cookies (typicky marketingové či analytické) by se neměly spouštět samy od sebe – návštěvník webu musí souhlas výslovně udělit. |
2. Srozumitelné vysvětlení: návštěvník webu má dostat jasnou informaci, jaké cookies se používají, proč, na jak dlouho, kdo je bude číst a jak může volbu později změnit nebo souhlas odvolat. |
3. Snadné odmítnutí souhlasu: cesta k odmítnutí musí být stejně jednoduchá jako cesta k přijetí – ideálně jedním klikem přímo na první úrovni cookie lišty. |
4. Žádné předvyplněné souhlasy: checkboxy na cookie liště nesmí být nastavené tak, že je návštěvník webu musí odškrtnout, pokud si nepřeje souhlas udělit. |
5. Rovnocenná tlačítka: tlačítka pro udělení a odmítnutí souhlasu by měla být opticky rovnocenná (podobná velikost, kontrast i umístění), aby lišta návštěvníka webu nenápadně netlačila k udělení souhlasu. |
6. Evidence souhlasu: správce by měl být schopen zpětně doložit, kdy a s čím uživatel souhlasil a kdy případně souhlas odvolal. |
Správně a férově nastavená cookie lišta tak může správcům pomoci nejenom předcházet kontrolám a případným pokutám, ale zároveň návštěvníkům zpříjemňuje používání webu a zvyšuje tak šanci, že se na něj budou rádi vracet.
Komentáře