Tato kapitola shrnuje právní úpravu cookies, vysvětluje pojmy opt-out a opt-in a obecně popisuje pojem cookies.
A.1 Právní úprava
Obecně je právní úprava cookies v České republice zakotvena v zákoně č. 127/2005 Sb., o elektronických komunikacích (dále jen “ZEK”), ve znění novelizujícího zákona č. 374/2021 Sb. (dále jen “novela”), konkrétně v § 89 odst. 3. Tato novela transponuje směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací v jejím aktuálním konsolidovaném znění (Směrnice o elektronických komunikacích, dále jen “směrnice ePrivacy”).
Podobu souhlasu, který je nezbytný pro zpracování cookies, a plnění informační povinnosti o zpracování údajů upravuje nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (Obecné nařízení o ochraně osobních údajů, dále jen “GDPR”).
Zákonná regulace se netýká pouze cookies, ale i dalších nástrojů, které zpracovávají informace o návštěvníkovi webové stránky. Mohou mezi ně patřit např.:
- pixel tag,
- web beacons,
- fingerprinting,
- local storage,
- session storage,
- plugin,
- embedovaná videa a jiný obsah videí,
- sledování v aplikacích.
Právní úprava reguluje obecně všechny případy, kdy dochází k ukládání informací do koncového zařízení návštěvníka webu (stolního počítače, tabletu nebo mobilního telefonu) nebo k přistupování k takovým informacím, které jsou v daném zařízení uloženy. Pro snadnější orientaci v textu jsou všechny tyto nástroje souhrnně označované pod názvem cookies (dále jen “cookies”).
Podmínky pro zpracování cookies platí pro všechny nástroje, kde jsou cookies použité, např. webové stránky na internetu, stránky na intranetu a aplikace. Pro zjednodušení budou všechna tato místa označována jako webové stránky (dále jen “webové stránky” nebo “web”).
Právní úprava dopadá na každý subjekt, který hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních. Tato úprava tedy dopadá na fyzické osoby, právnické osoby i orgány veřejné správy a jimi provozované webové stránky nebo mobilní aplikace, prostřednictvím kterých dochází ke zpracování cookies a dalších online identifikátorů.
Důležité je, že informace o cookies musí být uvedeny podle skutečnosti, a je nezbytné vyřešit jak veřejně dostupnou část webu, tak tu část, která je dostupná pouze pro přihlášené návštěvníky webu.
Summary:
- V souladu se zákonem musí být použití všech nástrojů, které zpracovávají informace o návštěvníkovi webové stránky (cookies, pixel tag, web beacons apod.),
- v souladu se zákonem musí být zpracování dat prostřednictví webové stránky na internetu, stránky na intranetu i aplikace,
- pozornost musí být věnována veřejné části webu i části, která je dostupná po přihlášení,
- souhlas a plnění informační povinnosti musí být v souladu s GDPR.
A.2 Princip opt-out a opt-in
Dříve byly v ZEK stanoveny obecné podmínky, při jejichž splnění bylo možné ukládat údaje do zařízení návštěvníka webu nebo získat přístup k údajům v zařízení uložených. Mezi tyto podmínky patřila povinnost informovat návštěvníka webu o tom, že dochází k použití cookies, a povinnost poskytnout návštěvníkovi webu možnost takové používání cookies odmítnout – šlo o tzv. princip opt-out.
Princip opt-out = co není výslovně odmítnuto, je povoleno.
Aktuální právní úprava však požaduje zavedení tzv. režimu opt-in. Použití cookies je podmíněno získáním předchozího informovaného souhlasu návštěvníka webu. Musí se jednat o aktivní a předem udělený souhlas, na jehož základě mohou být cookies následně použity.
Princip opt-in = aktivní a prokazatelný souhlas návštěvníka webu, až po jeho udělení je možné zahájit zpracování.
Výjimku ze zpracování na základě souhlasu (na základě principu opt-in) mají pouze technické cookies, které jsou nezbytné pro správnou funkci webu. I o těchto cookies však musí být návštěvník webu informován.
Podle současné právní úpravy bylo nutné od 1. 1. 2022 přejít z režimu opt-out na režim opt-in.
Summary:
Podle platné legislativy je nezbytné postupovat podle principu opt-in s výjimkou pro zpracování technických cookies.
A.3 Cookies
Webové stránky ukládají soubory cookies, které pomáhají především k jejich správnému fungování. Mohou být zpracovávány i druhy cookies, které poskytují podklady pro statistické nebo marketingové účely, případně umožňují interakci se sociálními sítěmi nebo zabezpečují web.
Co jsou cookies
Cookies jsou drobné textové soubory ukládané do počítače nebo mobilního zařízení. Ukládá je internetový prohlížeč na žádost jednotlivých webových stránek, které jsou v prohlížeči otevřeny. Webové stránky si mohou zpětně vyžádat obsah souboru. Podle něj poznají, které stránky již dříve daný návštěvník webu navštívil, jestli je vloženo nějaké zboží v košíku nebo jestli je návštěvník webu přihlášen. Mají konkrétní lhůtu expirace. Cookies jsou nutné pro správné fungování většiny stránek na internetu. Další cookies jsou určeny k optimalizaci webu, ovlivnění marketingových sdělení nebo usnadnění práce s webem pomocí různých preferencí.
Zpracování cookies
Zpracovávat cookies je možné na základě oprávněného zájmu provozovatele webu (platí jen a pouze pro technické cookies – výjimka z nutnosti získat souhlas) a souhlasu návštěvníka webu (platí pro všechny ostatní cookies, které nejsou nezbytně nutné pro fungování webu).
Souhlas s používáním cookies je nepodmíněný. Pokud ho návštěvník webu neudělí, bude moci i nadále navštěvovat webové stránky. Je však nutné si uvědomit, že některé jejich služby, vlastnosti a funkce se nemusí zobrazovat, zpřístupňovat a fungovat správně nebo vůbec.
Zpracování cookies probíhá v anonymní podobě, proto není možné identifikovat konkrétní osobu a nejsou tak zpracovávány osobní údaje. Dozorové úřady však zastávají názor, že cookies používají osobní údaje, i když neidentifikují konkrétního návštěvníka webu. Navíc cookies jsou jedním ze zdrojů zpracování osobních údajů a zpracování osobních údajů na použití cookies často navazuje. Protože spolu obě témata úzce souvisí, je nutné dodržovat ZEK i GDPR.
Je tedy potřeba rozlišovat povinnost získat souhlas s uložením a čtením cookies v prohlížeči návštěvníka webu (podle ZEK, s výjimkou pro technické cookies) od následného zpracování osobních údajů získaných na základě cookies (analýza, profilování apod., podle GDPR). Provozovatel webu tedy musí pro následné zpracování osobních údajů stanovit právní titul, kterým v případě cookies může být souhlas, oprávněný zájem nebo zpracování nezbytné pro plnění smlouvy. Pokud však návštěvník webu neudělí souhlas s ukládáním a čtením cookies, logicky nemůže docházet k žádnému následnému zpracování jeho osobních údajů.
Summary:
- Ukládat a číst informace z cookies je možné pouze na základě souhlasu (pro technické cookies – výjimka z nutnosti získat souhlas, jde o zpracování na základě oprávněného zájmu),
- osobní údaje získané pomocí cookies je možné zpracovávat na základě souhlasu, oprávněného zájmu nebo při plnění smlouvy.