Cookies lišta: kdy ji web musí mít a kdy ne

Cookies lišta je ta věc, kterou každý co nejrychleji odklikne. Přesto je na ní dost co pokazit. A u malého webu ji často vůbec nepotřebujete.

Článek je praktický přehled, ne právní rada.

Co jsou cookies

Cookies jsou malé soubory, které si web ukládá do prohlížeče návštěvníka. Některé jsou nutné: pamatují si třeba obsah košíku nebo přihlášení. Jiné slouží k měření návštěvnosti, k reklamě nebo ke sledování návštěvníka napříč weby.

Úřad pro ochranu osobních údajů je dělí na technické a netechnické. Technické jsou nezbytné pro chod webu. Netechnické slouží ke statistice, analytice, marketingu a podobně.

Co říká zákon

Pravidlo najdete v § 89 odst. 3 zákona o elektronických komunikacích. Od 1. ledna 2022 platí, že ukládat údaje do zařízení návštěvníka nebo je z něj číst smíte jen s jeho předchozím prokazatelným souhlasem. Výjimku mají jen technologie nezbytné pro přenos zprávy nebo pro službu, kterou si návštěvník výslovně vyžádal.

Do konce roku 2021 stačilo dát návštěvníkovi možnost cookies odmítnout. Dnes je to naopak: bez souhlasu nic netechnického.

Kdy web cookies lištu potřebuje

Lištu, přesněji okno pro souhlas, potřebujete, když web používá cokoli z tohoto:

• Google Analytics nebo jiné měření, které ukládá cookies nebo tvoří identifikátor návštěvníka,
• reklamní pixely, třeba Meta Pixel nebo měření konverzí Google Ads či Skliku,
• vložená videa a mapy, které si s sebou nesou cookies třetích stran,
• chatovací okna a další služby třetích stran, které sledují návštěvníka.

Pozor i na „měření bez cookies“. Evropský sbor pro ochranu osobních údajů v pokynech 2/2023 vykládá pravidlo široce: patří pod něj i jiné technologie, které z prohlížeče něco čtou nebo z něj skládají identifikátor návštěvníka. Nástroj bez cookies, který si přesto návštěvníka pozná, souhlas potřebovat může.

Co musí lišta umět

ÚOOÚ v roce 2022 zkontroloval cookies lišty a sepsal nejčastější chyby. Z nich se dá odvodit, jak má dobrá lišta vypadat:

1. Před souhlasem se nic netechnického nenačte. Ani měření, ani pixely.
2. Odmítnout jde stejně snadno jako přijmout. Tlačítko „Odmítnout“ je v první vrstvě lišty a je stejně viditelné jako „Přijmout“.
3. Kategorie jsou správně. Reklamní cookie se neschovává mezi technické.
4. Návštěvník ví, co přijímá. Informace o konkrétních cookies, jejich účelu a době platnosti, v češtině.
5. Platnost je přiměřená účelu. Cookie na měření návštěvnosti nepotřebuje žít deset let.
6. Souhlas jde kdykoli změnit. Třeba odkazem v patičce.

Pár dalších věcí, na které ÚOOÚ upozorňuje:

• Lištu nenahradí nastavení prohlížeče. Věta „cookies si můžete vypnout v prohlížeči“ souhlas nezíská.
• Za hotové řešení odpovídáte vy. Kdo si na web vloží cizí lištu, ručí za to, že funguje a že informace v ní sedí, ne její výrobce.
• Po větší změně se lišta má ukázat znovu. Třeba když přidáte nový účel nebo dalšího příjemce dat.

Co hrozí, když lišta nefunguje

Rok 2022 byl podle ÚOOÚ hlavně o osvětě a vytýkacích dopisech. Od roku 2023 úřad vede správní řízení a ukládá pokuty. K červnu 2024 dosáhly pravomocné pokuty za cookies zhruba 2 milionů korun. Nejčastěji za tohle:

• web používá netechnické cookies bez souhlasu,
• souhlas není informovaný, protože chybí nebo neúplně popsané cookies,
• tlačítko „Odmítnout“ je schované ve druhé vrstvě lišty,
• souhlas nejde odvolat, třeba proto, že v patičce chybí odkaz na nastavení,
• informace jsou jen v cizím jazyce.

Jak se liště vyhnout úplně

U webu živnostníka nebo malé firmy se lišta často dá vynechat. Stačí, když web:

• měří návštěvnost nástrojem, který nic neukládá a návštěvníka nesleduje. Dozvíte se, kolik lidí přišlo a odkud, ale ne kdo to byl,
• nevkládá videa a mapy napřímo. Místo vloženého přehrávače stačí náhled s odkazem, místo vložené mapy odkaz na mapu,
• nepoužívá reklamní pixely. Pokud reklamu neplatíte, nepotřebujete je.

Výsledek: rychlejší web, bez otravného okna při prvním příchodu a s menším rizikem chyby.

Jedna věc ale zůstává. I web jen s technickými cookies musí podle ÚOOÚ návštěvníky informovat, co ukládá a proč. Lištu nepotřebuje, krátký odstavec na stránce o ochraně osobních údajů ano.

Když reklamu platíte a měřit konverze potřebujete, liště se nevyhnete. Pak ji udělejte pořádně podle seznamu výše.

Jak to máme my

Do každého balíčku patří měření návštěvnosti bez cookies. Když web nepoužívá nic dalšího z výčtu výše, lištu nepotřebuje. Měření konverzí pro reklamy, které je v balíčku Růst, souhlas potřebuje, a lištu pak nastavujeme podle pravidel výše. Víc o tom, co dalšího na web ze zákona patří, najdete v článku Povinné údaje na webu.