Jak přidat cookies lištu na web a nastavit ji správně

Přidání cookies lišty na web může na první pohled působit jako jednoduchá úprava. Vloží se skript, nastaví barvy, doplní tlačítka a lišta se zobrazí návštěvníkům.

Její viditelná část je ale pouze začátkem. Správně nastavená cookies lišta musí řídit, které nástroje se mohou spustit před udělením souhlasu, umožnit návštěvníkovi svobodnou volbu a odpovídat skutečnému způsobu zpracování dat na webu.

Podle § 89 zákona o elektronických komunikacích musí provozovatel získat předem prokazatelný souhlas s ukládáním nebo čtením údajů v zařízení návštěvníka. Výjimkou jsou technologie nezbytné pro přenos zprávy nebo poskytnutí služby, kterou si uživatel výslovně vyžádal.

Pokud web používá Google Analytics, reklamní systémy, měřicí nástroje, vložená videa nebo další služby třetích stran, nestačí návštěvníka pouze informovat. Netechnické cookies musí zůstat deaktivované až do chvíle, kdy s nimi návštěvník aktivně souhlasí.

Potřebuje cookies lištu každý web?

Ne každý web musí mít cookies lištu.

Pokud používá pouze technické cookies nezbytné pro své fungování, není získání souhlasu prostřednictvím lišty nutné. Provozovatel ale musí návštěvníky stále informovat o zpracování osobních údajů, pokud k němu prostřednictvím cookies dochází. Tento rozdíl uvádí také Úřad pro ochranu osobních údajů ve svém přehledu pravidel pro cookies.

Technické cookies mohou sloužit například k:

• udržení přihlášení uživatele,
• zapamatování obsahu nákupního košíku,
• zabezpečení webu,
• správnému fungování formulářů,
• zachování nastavení, které si uživatel výslovně zvolil.

Většina firemních webů však používá také analytické nebo marketingové nástroje. V takovém případě již cookies lištu zpravidla potřebuje.

Typickými příklady jsou Google Analytics, reklamní systémy společnosti Meta, remarketingové platformy, nástroje pro sledování chování návštěvníků, vložená videa nebo některé chatovací služby.

Rozhodující přitom není název konkrétní cookie, ale její skutečný účel a nezbytnost pro službu, kterou si návštěvník vyžádal.

Pravidla se netýkají pouze klasických cookies. ÚOOÚ výslovně uvádí také podobné technologie, například lokální úložiště nebo vytváření digitálního otisku prohlížeče, tedy fingerprinting.

Co musí správně nastavená cookies lišta umět

Cookies lišta není pouze informační prvek. Je to nástroj pro řízení souhlasů a spouštění jednotlivých služeb na webu.

Netechnické nástroje se nesmí spustit před souhlasem

Jednou z nejčastějších chyb je situace, kdy se lišta sice zobrazí, ale analytické nebo marketingové skripty se spustí ještě předtím, než návštěvník cokoli zvolí.

Pokud návštěvník souhlas neudělil, musí netechnické cookies zůstat deaktivované. To platí také tehdy, když lištu zavře nebo ji úplně ignoruje. Samotné pokračování v prohlížení webu nelze považovat za souhlas, jak potvrzuje také stanovisko Úřadu pro ochranu osobních údajů.

Při nasazení přes Google Tag Manager proto nestačí přidat samotnou lištu. Je nutné nastavit také podmínky, podle kterých se jednotlivé značky a skripty aktivují.

Přijetí a odmítnutí musí být stejně jednoduché

Návštěvník musí mít možnost cookies přijmout i odmítnout ve stejné vrstvě lišty. Tlačítko „Odmítnout vše“ by nemělo být schované až v podrobném nastavení.

Obě možnosti by měly mít také srovnatelné vizuální provedení. Výrazné barevné tlačítko pro přijetí a téměř neviditelný odkaz pro odmítnutí mohou návštěvníka ovlivňovat a zpochybnit svobodnost jeho rozhodnutí.

Na problematické praktiky, jako je chybějící možnost odmítnutí v první vrstvě, předem zaškrtnuté volby nebo zavádějící design, upozorňuje také zpráva pracovní skupiny Evropského sboru pro ochranu osobních údajů.

Volby nesmí být předem zaškrtnuté

Analytické, marketingové ani jiné netechnické kategorie nesmějí být ve výchozím stavu aktivované. Souhlas vyžaduje aktivní a jednoznačný krok návštěvníka.

Lišta může nabízet možnost přijmout vše, odmítnout vše nebo upravit jednotlivé kategorie. V podrobném nastavení ale musí být netechnické kategorie předem vypnuté.

Souhlas musí jít jednoduše změnit

Souhlas s cookies není trvalé rozhodnutí. Návštěvník ho musí být schopný kdykoliv změnit nebo odvolat, a to stejně snadno, jako ho udělil. Tuto podmínku stanovuje článek 7 GDPR.

Na webu by proto měl zůstat dostupný odkaz nebo ovládací prvek, kterým lze nastavení cookies znovu otevřít. Nestačí požadovat, aby návštěvník kontaktoval provozovatele nebo složitě mazal cookies v prohlížeči.

Web musí fungovat i bez souhlasu

Cookie lišta nesmí návštěvníkovi bránit v používání webu jen proto, že analytické nebo marketingové cookies nepřijal. Podle doporučení ÚOOÚ nesmí lišta bránit v interakci se stránkou ani tehdy, když návštěvník zatím žádnou možnost nezvolil.

Omezená může být pouze konkrétní funkce, která daný souhlas skutečně vyžaduje. Typickým příkladem je vložené video od služby třetí strany, které se načte až po schválení příslušné kategorie.

Cookies lišta musí odpovídat skutečnému fungování webu

Text na liště musí odpovídat tomu, co se na webu skutečně děje. Nestačí převzít obecnou šablonu a vyjmenovat několik běžných kategorií.

Před nasazením je potřeba zkontrolovat:

1. jaké cookies a obdobné technologie web používá,
2. které interní a externí skripty je vytvářejí,
3. k jakému účelu data slouží,
4. komu jsou data předávána,
5. jak dlouho se uchovávají,
6. zda dochází k předávání dat mimo Evropský hospodářský prostor,
7. které nástroje lze spustit bez souhlasu a které až po jeho udělení.

Audit by měl zahrnovat nejen zdrojový kód webu, ale také Google Tag Manager, analytické platformy, reklamní systémy, vložený obsah, formuláře, mapy a chatovací nástroje.

Právě dodatečně přidané služby bývají častým důvodem, proč původní nastavení lišty ani právní dokumentace již neodpovídají realitě.

Jaké právní dokumenty musí být na webu

Cookie lišta nenahrazuje právní dokumentaci webu. Je pouze jedním z míst, kde návštěvník získává informace a spravuje svůj souhlas.

Informace o používání cookies

Web by měl mít snadno dostupnou stránku nebo dokument, který vysvětluje:

• kdo je provozovatelem a správcem osobních údajů,
• jaké kategorie a konkrétní cookies používá,
• kdo jednotlivé cookies nastavuje,
• k jakému účelu slouží,
• na jakém právním základě jsou údaje zpracovávány,
• komu mohou být data předávána,
• jak dlouho jednotlivé cookies fungují,
• zda mohou být data předávána do třetích zemí,
• jak lze souhlas změnit nebo odvolat.

ÚOOÚ doporučuje uvádět výpis jednotlivých cookies včetně jejich účelu. Informace mohou být přímo ve strukturovaném nastavení lišty nebo v samostatném dokumentu, na který lišta odkazuje. Musí však být přehledné, srozumitelné a snadno dostupné. Přesný rozsah informační povinnosti popisuje Úřad pro ochranu osobních údajů v otázkách a odpovědích ke cookies.

Informace o zpracování osobních údajů

Pokud se prostřednictvím cookies zpracovávají osobní údaje, musí provozovatel splnit také informační povinnost podle GDPR.

Dokument by měl kromě použití cookies popisovat také:

• totožnost a kontaktní údaje správce,
• účely a právní základy zpracování,
• dobu uchovávání údajů,
• příjemce osobních údajů,
• případné předávání údajů mimo Evropský hospodářský prostor,
• práva návštěvníků,
• možnost odvolat souhlas,
• možnost podat stížnost u dozorového úřadu.

Informace na liště, v seznamu cookies a v zásadách ochrany osobních údajů si nesmějí odporovat.

Zásady používání cookies mohou být samostatným dokumentem nebo součástí širších informací o zpracování osobních údajů. Podstatné je, aby návštěvník všechny důležité informace našel bez složitého proklikávání.

Další dokumenty podle funkcí webu

Rozsah právní dokumentace se odvíjí také od toho, co web nabízí.

E-shop bude zpravidla potřebovat obchodní podmínky, informace o reklamaci a odstoupení od smlouvy. Web s kontaktním formulářem, newsletterem nebo uživatelským účtem musí návštěvníky informovat také o zpracování údajů v rámci těchto funkcí.

Samotné přidání cookies lišty tedy neřeší všechny právní povinnosti webu. Konkrétní rozsah dokumentace je potřeba přizpůsobit jeho funkcím a skutečným datovým tokům.

Jak probíhá přidání cookies lišty na web

Správné nasazení lze rozdělit do několika kroků.

1. Kontrola používaných nástrojů

Nejprve je potřeba zjistit, které skripty, služby a technologie web používá. Výsledkem by měl být přehled cookies, jejich účelů, poskytovatelů a doby fungování.

2. Rozdělení do kategorií

Jednotlivé technologie se rozdělí například na nezbytné, funkční, analytické a marketingové. Následně se určí, které lze spouštět automaticky a které vyžadují souhlas.

3. Příprava textů a právních informací

Text lišty musí být stručný, ale srozumitelný. Podrobnější informace mohou být uvedeny v nastavení jednotlivých kategorií a v navazujícím dokumentu o cookies.

4. Technické nasazení

Lištu lze vložit přímo do webu nebo nasadit prostřednictvím Google Tag Manageru. Součástí implementace musí být také řízení jednotlivých skriptů podle rozhodnutí návštěvníka.

5. Testování

Před spuštěním je potřeba ověřit, že se netechnické cookies před souhlasem skutečně nevytvářejí, odmítnutí funguje a změna nastavení se správně promítne do aktivních služeb.

6. Pravidelná kontrola

Cookies řešení je nutné aktualizovat při přidání nového analytického, marketingového nebo funkčního nástroje. Současně je potřeba upravit související informace a případně znovu vyžádat souhlas, pokud se podstatně změnily účely zpracování nebo zapojené subjekty.

Nejčastější chyby při nasazení cookies lišty

Problematická bývá cookies lišta, která:

• pouze informuje, ale neřídí spouštění skriptů,
• nastavuje analytické cookies ještě před souhlasem,
• skrývá odmítnutí až do další vrstvy,
• má předem aktivované netechnické kategorie,
• neumožňuje pozdější změnu rozhodnutí,
• používá obecné texty neodpovídající konkrétnímu webu,
• odkazuje na neaktuální nebo neúplné právní dokumenty,
• nereaguje na nové nástroje přidané přes Google Tag Manager.

Výsledkem je řešení, které může vizuálně působit správně, ale z technického nebo informačního hlediska svůj účel neplní.

WebIT Cookies: hotové řešení s pravidelným reportingem

Pro vlastní projekty i weby klientů jsme vytvořili řešení WebIT Cookies, které umožňuje rychlé nasazení cookie lišty bez nutnosti vyvíjet celý systém od začátku.

Lištu lze vložit ručně nebo prostřednictvím Google Tag Manageru. Její vzhled i texty je možné přizpůsobit designu konkrétního webu a řešení podporuje také vícejazyčné projekty.

Součástí řešení jsou automatické aktualizace, které snižují množství ručních zásahů při změnách předpisů a používaných standardů. Každý měsíc navíc provozovatel obdrží do e-mailu podrobný report se statistikami používání lišty a preferencemi návštěvníků. Přehled všech funkcí a postupu nasazení najdete na stránce WebIT Cookies.

Díky pravidelnému reportingu cookies lišta není pouze jednorázově nasazeným prvkem, na který se po spuštění webu zapomene. Provozovatel má přehled o jejím využívání a může průběžně sledovat, jak návštěvníci s jednotlivými možnostmi pracují.

Pokud hledáte cookies lištu, kterou lze přizpůsobit vašemu webu, snadno nasadit a následně sledovat pomocí pravidelných reportů, ozvěte se nám. Pomůžeme vám s nasazením WebIT Cookies a kontrolou jejího správného fungování.

(Článek poskytuje obecné informace. Konkrétní právní dokumentaci a nastavení cookies je vždy potřeba přizpůsobit fungování daného webu.)