Pravidlá používania cookies podľa GDPR: podrobný prehľad pre webových prevádzkovateľov a používateľov

Pojem cookies sa pri používaní internetu stal úplne bežným. Čo sú cookies a kedy sa podľa GDPR považujú za osobný údaj? Európske nariadenie o ochrane osobných údajov, známe pod skratkou GDPR, spolu s novým zákonom o ochrane osobných údajov vstúpili do účinnosti dňa 25. mája 2018. Právny režim používania súborov cookies je v GDPR a v novom zákone o ochrane osobných údajov viac-menej identický.

Čo sú cookies?

Súbor cookie sa dá charakterizovať ako malý textový súbor, ktorý je navštívenou webovou lokalitou uložený do počítača používateľa, t. j. súbor, ktorý si webová stránka ukladá v konkrétnom počítači alebo v mobilnom zariadení pri jej prehliadaní. Vďaka cookies si stránka na určitý čas uchováva informácie o krokoch či preferenciách používateľa (napr. prihlasovacie meno, jazyk, veľkosť písma a ďalšie nastavenia). Budúca návšteva tak môže prebehnúť ľahšie, rýchlejšie a efektívnejšie, bez zbytočného zdržiavania. Hlavným dôvodom je napríklad lepšie prispôsobenie reklám záujmom návštevníkov či nevyhnutná funkcionalita stránok.

Neviem použiť tagblockquote, preto tu iba stručná poznámka: niektoré cookies sú technické a nevyžadujú súhlas, iné marketingové cookies potrebujú plný súhlas používateľa.

Kedy sú cookies podľa GDPR osobným údajom?

Jedným zo spôsobov spracúvania osobných údajov je aj ich zbieranie prostredníctvom súborov cookies. Práve tie posielajú osobné údaje zo zariadenia používateľa prevádzkovateľovi. Cookies, ktoré slúžia na identifikáciu konkrétneho zariadenia alebo používateľa, sa podľa GDPR považujú za osobné údaje. Odsek č. 30 úvodného textu GDPR ustanovuje, že fyzickým osobám môžu byť pridelené online identifikátory, ktoré poskytujú ich prístroje, aplikácie, nástroje a protokoly, ako napríklad IP adresa, cookies, alebo iné identifikátory. Tieto môžu zanechávať stopy, ktoré sa najmä v kombinácii s jedinečnými identifikátormi a inými informáciami získanými zo serverov môžu použiť na vytvorenie profilov fyzických osôb a na ich identifikáciu.

V podstate ide o to, že niektoré (nie všetky) súbory cookies sú tzv. online identifikátormi. Prostredníctvom nich môže prevádzkovateľ zistiť totožnosť fyzickej osoby, do ktorej zariadenia webová stránka cookies uložila. To znamená, že všetky informácie, ktoré cookies o správaní danej osoby na internete vyšle prevádzkovateľovi, môžu byť následne spárované s konkrétnou osobou. Prevádzkovateľ sa tak môže dozvedieť o preferenciách alebo správaní používateľa na internete. GDPR sa vzťahuje na také súbory cookies, ktoré sú schopné zbierať osobné údaje o používateľovi webovej stránky (napr. tzv. marketingové alebo reklamné cookies).

Naopak, nie všetky cookies zbierajú alebo spracúvajú osobné údaje používateľov - napríklad technické cookies, ktoré sú potrebné pre správne zobrazenie webovej stránky. GDPR sa takéhoto druhu cookies netýka.

Aký je účel spracúvania osobných údajov získaných prostredníctvom cookies?

Prevádzkovateľ musí jasne formulovať účel spracúvania osobných údajov získaných prostredníctvom cookies. Môžu existovať viacero účelov - marketingový a reklamný, štatistický, monitoring návštevnosti webovej stránky a i. Každému z nich zodpovedajú osobitné požiadavky na úpravu vzťahu medzi používateľom a prevádzkovateľom. Vo väčšine praktických prípadov ide o marketingové cookies, ktoré zhromažďujú informácie o obsahu, ktorý používateľ na webovej stránke prehliada.

Akoý môže byť právny základ spracúvania?

Osobné údaje získané prostredníctvom cookies môžu byť spracúvané:

• na základe súhlasu používateľa so spracúvaním na jeden alebo viacero konkrétnych účelov (čl. 6 ods. 1 písm. a)
• na plnenie zmluvy, ktorej zmluvnou stranou je používateľ (čl. 6 ods. 1 písm. b)
• na oprávnené záujmy prevádzkovateľa alebo tretej strany (čl. 6 ods. 1 písm. f)
• ďalšie, napr. splnenie zákonnej povinnosti (v praxi menej uplatňovaný)

Súhlas je jedným z najbežnejšie využívaných právnych základov, na podklade ktorého môže prevádzkovateľ používať cookies. Súhlas nie je potrebný pre cookies, ktoré sú nevyhnutne potrebné pre zabezpečenie správneho chodu a zobrazenia stránky (technické cookies) alebo pre cookies, ktoré monitorujú návštevnosť stránky. Pre tieto druhy cookies postačí, ak webová stránka vopred používateľa len upozorní, že ich používa.

Súhlas so spracúvaním a ako ho správne získať?

Podľa zákona o elektronických komunikáciách musí dotknutý užívateľ udeliť súhlas na uloženie alebo prístup k informáciám uloženým v koncovom zariadení iba ak sú informácie získané na základe jasných a úplných informácií o účeloch spracovania. Používateľ určí v nastavení svojho prehliadača, či bude ukladané cookies do koncového zariadenia. Samotné nastavenie prehliadača sa považuje za súhlas používateľa s používaním cookies a spracúvaním osobných údajov.

Potrebujete OPT-IN systém: po otvorení webovej stránky by malo byť používateľovi ponúknuté okno s informáciami (cookie lišta) s detailným zoznamom všetkých cookies, ktoré vyžadujú súhlas, a s jednotlivými checkboxami na aktiváciu. Každému cookies musí byť jasné uvedenie účelu. Neplatný je „všetko súhlasím“ alebo viazanie súhlasu na všeobecné obchodné podmienky. Prevádzkovateľ musí byť schopný preukázať platnosť súhlasu. Informačná povinnosť musí byť splnená pred získaním súhlasu a mal by obsahovať aj informácie o tom, ako používateľ môže cookies spravovať alebo odstrániť.

Nesplnenie informačnej povinnosti môže byť sankcionované až do výšky 20 000 000 eur alebo 4 % celkového svetového obratu, čo je vyššia suma.

Príklady vyskakovacieho okna (cookie lišta)

1. Cookies: Na našich stránkach používame cookies. Slúžia na zlepšenie našej práce a vášho zážitku z čítania. Bližšie informácie nájdete v Pravidlách používania cookies.
2. Táto webová stránka používa cookies: Na personalizáciu obsahu a reklám, poskytovanie funkcií sociálnych médií a analýzu návštevnosti používame cookies. Viac informácií (link na Zásady ochrany osobných údajov).
3. Ikona na kliknutie pre používateľa: Súhlasím/Rozumiem/OK.
4. Ikona na rozkliknutie: Zobraziť detaily (po kliknutí sa zobrazia detaily, ktoré používateľovi ponúka možnosť zablokovať vybrané cookies - napr. marketingové).

Cookies a nariadenie ePrivacy: Schválené nariadenie o rešpektovaní súkromia a ochrany osobných údajov v elektronických komunikáciách - tzv. ePrivacy, ktoré sa dotýka používania cookies, doposiaľ nenadobudlo účinnosť. Jeho cieľom je zosúladenie s GDPR a zavedenie jednoduchších pravidiel pre používanie cookies. Hlavnou zmenou by bolo odstránenie cookie lišty, avšak legálne riešenie ostáva zabezpečenie informovanosti a získanie súhlasu.

Praktické základy a domáce pravidlá pre prevádzkovateľov

Uvedenie zásad používania cookies na webovej stránke je kľúčové. Informácie musia obsahovať aj zoznam cookies a ich účely. Pre jednotlivé cookies musí byť možnosť aktivácie alebo deaktivácie (OPT-IN). Prevádzkovateľ musí vedieť preukázať udelený súhlas kedykoľvek.

Právny základ spracúvania pre nevyhnutné cookies (bez súhlasu) sa zakladá na zákonnej povinnosti prevádzkovateľa. Analytické a preferenčné cookies, ktoré zbierajú dáta o návštevnosti a voľbách používateľov, vyžadujú súhlas. V praxi znamená to, že webová stránka môže používať analytické nástroje (napr. Google Analytics) len so súhlasom, a to s rešpektovaním pravidiel prenosu údajov do tretích krajín a dodržiavaním časových obmedzení ukladania cookies.

V prípade kontroly musí prevádzkovateľ vedieť preukázať udelený súhlas a informačnú povinnosť voči používateľovi, vrátane odkazu na zásady používania cookies. Neviditeľné zmeny v nastaveniach alebo predvolený súhlas môžu viesť k porušeniu GDPR a sankciám.

Praktické doplnenia a vzorové situácie

• Marketingové cookies zhromažďujú informácie o obsahu, ktorý používateľ na webovej stránke prehliada. Tieto cookies vyžadujú platný súhlas používateľa.
• Technické cookies sú potrebné na správne fungovanie stránky a nie sú predmetom plného súhlasu - používateľ je vopred informovaný, že ich používa.
• Analytické cookies zhromažďujú údaje o návštevnosti a interakciách, sú anonymné alebo anonimizované, a vyžadujú súhlas na ich spracovanie.
• Vo vyskakovacom okne je vhodné poskytnúť link na zásady používania cookies a jasne definovať účely jednotlivých cookies.

Možnosti administrácie a bezpečnosť údajov

Užívatelia majú možnosť kedykoľvek zmeniť nastavenia cookies v prehliadači alebo prostredníctvom interaktívneho rozhrania na stránke. Prevádzkovateľ je zodpovedný za bezpečné spracúvanie údajov a za to, aby údaje neboli zhromažďované nad rámec stanovených účelov. Zabezpečenie prenosu údajov do tretích krajín (napr. Google Analytics do USA) musí spĺňať požiadavky GDPR a relevantné rozhodnutia Európskej komisie.

Príklad v praxi: zobrazenie súhlasov a ich traceability

Vzorové zobrazenie okna s cookie lištou a linkom na zásady používania cookies pomáha používateľovi porozumieť, ktoré cookies sa používajú a na aké účely. Správny proces zahŕňa explicitný opt-in pre každé cookies a možnosť obnoviť alebo zrušiť súhlas neskôr. Pre prevádzkovateľa je dôležité mať aj mechanizmus na manažovanie súhlasov a preukázanie jeho udelenia v prípade potreby.

Príloha: možné tabuľkové zobrazenie typov cookies

Ak webová stránka nepoužíva cookies, ktoré sú schopné zbierať osobné údaje používateľov, prevádzkovateľ nemusí meniť svoje postupy týkajúce sa ochrany osobných údajov po máji 2018.

tags: #pouzivanie #cookies #gdpr