Změny v oblasti cookies dle novely zákona o elektronických komunikacích

Poslanecká sněmovna dne 15. září 2021 přehlasovala Senát a přijala v původním znění novelu zákona č. 127/2005 Sb., o elektronických komunikacích.

Co to jsou soubory cookies?

Cookies jsou krátké textové soubory, které se ukládají při návštěvě webové stránky a při další návštěvě stránky je možné je znovu načíst, proto příští návštěva stejné webové stránky může být pro uživatele snazší a užitečnější. Účelem ukládání souborů cookies je například vytváření cílené reklamy, sledování chování uživatelů, sledování počtu návštěvníků na stránce, zapamatování nastavení reklam atd.

Pojem cookies se používá jako obecný termín, na webových stránkách, ale můžeme rozlišovat také pixel tagy, které umožňují sledovat zařízení uživatele a přizpůsobovat danou webovou stránku, dále také web beacons, fingerprinting a pluginy.

Cookies se dělí na technické neboli nezbytné, bez kterých by webové stránky nemohly fungovat a ostatní, mezi které spadají například cookies marketingové nebo analytické.

K používání technických cookies není ani za principu opt-in nutný souhlas uživatele, ale pro používání ostatních cookies bude souhlas uživatele nezbytný.

Výše uvedené technologie nejsou používané pouze na webových stránkách, ale vyskytují se také v mobilních aplikacích. Je tedy nutné právně upravit používání nejenom cookies, ale i dalších nástrojů sledování, a to jak na webových stránkách, tak i v aplikacích.

Nynější právní úprava cookies

Zákon o elektronických komunikacích byl dosud založen na tzv. principu opt-out a tato právní úprava bude používána až do 31. prosince 2021. Nyní je uložení souborů do zařízení nebo získávání přístupů k informacím ze zařízení možné, pokud je o tom uživatel informován a je mu poskytnuta možnost odmítnout takové zpracování. To znamená, že k používání souborů cookies postačuje i pasivita uživatele a cookies jsou používány až do doby kdy je uživatel odmítne nebo vypne.

Zákon o elektronických komunikacích vychází ze Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (dále jen „Směrnice e-Privacy“) v jejím znění do roku 2009, která byla do té doby také založena na principu opt-out. Momentálně Směrnice e-Privacy vyžaduje k používání cookies souhlas uživatele (opt-in), pokud se neuplatní jedna ze dvou výjimek: (i) jediným účelem cookies je přenos dat, nebo (ii) cookies jsou nezbytně nutné k poskytnutí služby.

Právní úprava cookies po novele zákona o elektronických komunikacích

Od 1. ledna 2022 bude používání cookies založeno na tzv. principu opt-in. Princip opt-in znamená, že uložení souborů do zařízení nebo získávání přístupů k informacím ze zařízení je možné, pouze pokud uživatel předem udělí prokazatelný souhlas s rozsahem a účelem takového zpracování. Na rozdíl od opt‑outu je tedy vyžadována aktivita uživatele a cookies (kromě nezbytných cookies, bez kterých by webové stránky nemohly fungovat) je možné používat až v případě, že jejich použití uživatel odsouhlasí.

Základem udělování souhlasu se zpracováním cookies by měl být jako dosud tzv. cookie banner (cookies okno či lišta), který informuje uživatele o existenci cookies a nutnosti udělit souhlas pro využití webových stránek. Cookie banner by měl mít několik úrovní, v nichž je možné vybrat s jakými účely zpracování cookies uživatel souhlasí a komu mohou být informace předávány.

Současně s otázkou cookie banneru, či jiného vhodného řešení, je třeba upozornit na to, že cookie banner musí být opravdu efektivně nastaven tak, aby respektoval nastavení dle volby uživatele a funkčně vytvářel evidenci (logy či jiná data) k doložení informování uživatele a zejména k doložení jeho aktivně uděleného souhlasu. Taková řešení nesmějí být vytvořena jen naoko či svými rozměry, funkcemi či vizualizací nutit uživatele k udělení co nejširšího souhlasu či dokonce podmiňovat užití stránky udělením souhlasu.

Novela zákona o elektronických komunikacích se zabývá souhlasem s použitím cookies a má za cíl chránit uživatele před zásahem do jeho soukromé sféry, a to bez ohledu na to, zda se tento zásah vztahuje na osobní nebo jiné údaje.

Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“) upravuje následný souhlas k dalšímu zpracování osobních údajů získaných díky cookies jako identifikátorů fyzické osoby. Webové stránky je možné technicky zpracovat tak, aby bylo získání souhlasu s používáním cookies a získání souhlasu k následnému zpracování osobních údajů spojeno do jednoho kroku.

Souhlas s používáním cookies musí naplňovat požadavky dle GDPR, musí tedy být:

svobodný, zejména musí být stejně snadné souhlas odebrat jako udělit, musí být snadné ho neudělit a při udělování souhlasu nesmí existovat riziko podvodu, nátlaku nebo jiných negativních důsledků v případě jeho neudělení;
určitý, tedy musí mít jasně vymezený rozsah, účel a následky;
vědomý a informovaný, přičemž informace musí být získány přehledně a srozumitelně; a
explicitní neboli jednoznačný.