Nastavení cookie banneru: jak čistě dotázat souhlas se statistikou

Cookie banner není povinné cvičení, ale místo, kde návštěvníci rozhodují, zda smí na jejich zařízení běžet statistika a reklama. Zda je souhlas nutný a na jakém právním základě se pak zpracovává, vyjasňuje článek Souhlas, nebo oprávněný zájem: jak se rozhodnout. Tento článek navazuje o krok dál: jak banner nastavit, aby rozhodnutí návštěvníků bylo platné a doložitelné?

Je to věcná orientace, nikoli právní poradenství.

Tři kategorie

Většina bannerů pracuje se třemi skupinami:

Právním základem pro přístup k zařízení je v Německu § 25 TDDDG, v Rakousku § 165 Abs. 3 TKG 2021. Za nezbytné se považuje jen to, co je nutné pro službu, kterou návštěvník požaduje. Statistika sem podle názoru německých dozorových úřadů zpravidla nepatří. Zařaďte každý skript svého webu do kategorie. Při soupisu všech služeb pomůže pohled na kartu Síť v prohlížeči nebo seznam, který vede váš vývojář.

Přijmout a odmítnout rovnocenně

Nejčastější vadou je velké barevné tlačítko „Přijmout vše“ vedle skrytého odkazu pro odmítnutí. Německé dozorové úřady očekávají ve svém Orientierungshilfe Telemedien, že odmítnutí je stejně snadné jako souhlas. Kdo na první úrovni nabízí „Přijmout vše“, měl by tam nabízet i „Odmítnout vše“. Tuto otázku řeší i zpráva pracovní skupiny pro cookie bannery Evropského sboru pro ochranu osobních údajů z ledna 2023. Úřady tam většinově považovaly možnost odmítnutí za nutnou, jednotlivé úřady zastávaly jiný názor. Počítejte proto se striktnější linií.

Praktická pravidla:

1. Stejná velikost, stejná nápadnost. Obě tlačítka s podobným tvarem, písmem a kontrastem.
2. Stejná úroveň. Žádná oklika přes „Nastavení“ jen pro odmítnutí.
3. Nic předem zaškrtnutého. Kategorie kromě „Nezbytné“ jsou nastaveny na „vypnuto“.
4. Jasná slova. „Přijmout“ a „Odmítnout“ jsou srozumitelnější než „Rozumím“ nebo „Pokračovat“.
5. Žádný nátlak. Stránka musí zůstat použitelná i po odmítnutí. Další rolování nebo klikání není souhlas (viz Pokyny EDPB 05/2020 k souhlasu).

Souhlas v Tag Manageru

Banner rozhoduje, Tag Manager vykonává. Aby k sobě oba seděly:

• Statistické skripty se spouštějí až po souhlasu. V Tag Manageru je napojíte na kontrolu souhlasu nebo na událost, kterou banner po souhlasu odešle.
• Banner hlásí rozhodnutí Tag Manageru. Bez tohoto předání skripty běží buď vždy, nebo nikdy.
• Služby Google znají Consent Mode. Přenáší stav souhlasu do značek Google (Google: Consent Mode). Banner nenahrazuje. Zda a jak jej použijete, vyjasněte se svým poradcem pro ochranu údajů.
• Zkouška. Otevřete stránku v novém okně prohlížeče, odmítněte a ověřte na kartě Síť, že neodcházejí žádné dotazy na statistické nebo reklamní služby.

Odvolání

Souhlas musí jít podle čl. 7 odst. 3 GDPR odvolat stejně snadno, jako byl udělen (GDPR, EUR-Lex). Tedy: trvale dosažitelný odkaz („Nastavení cookies“) v patičce každé stránky, který banner znovu otevře. Po odvolání se skripty zastaví při příštím zobrazení stránky. Služeb, které už údaje obdržely, se to netýká, vaše zásady ochrany osobních údajů by však měly říci, jak se s údaji poté nakládá.

Dokumentace

Podle čl. 7 odst. 1 GDPR musíte umět prokázat, že souhlas existuje. Obvyklý je protokol s:

• časem rozhodnutí,
• verzí textu banneru,
• zvolenými kategoriemi,
• náhodným identifikátorem, který odkazuje na návštěvníka, aniž by ho jmenoval.

Zaznamenejte také, které služby ležely v jaké kategorii. Pokud změníte služby nebo účely, zeptejte se znovu. Starý souhlas nové účely nepokrývá.

Švýcarsko

Ve Švýcarsku platí pro skripty logika informování a odmítnutí, nikoli předchozí souhlas (čl. 45c zákona o telekomunikacích). Kdo má návštěvníky z EU, nejlépe poslouží jednotný banner podle standardu EU. Téma prohlubuje článek Rozpoznání návštěvníků a GDPR: věcné zhodnocení.

Časté otázky

Mohu banner vynechat? Jen pokud váš web nenačítá žádné skripty vyžadující souhlas, tedy ani statistiku, ani reklamu, ani vložené služby s přístupem k zařízení. Pak zůstává povinnost informovat v zásadách ochrany osobních údajů.

Stačí upozornění „Používáme cookies“ s tlačítkem „OK“? Pro statistiku a marketing ne. Chybí možnost volby. Souhlas musí být svobodný a informovaný.

Jak často smím banner znovu zobrazit? Pevnou lhůtu zákon neuvádí. Obvyklé je období několika měsíců nebo změna služeb. Nezačínejte se ptát znovu při každé návštěvě, působí to jako tlak.