Je cookie lišta „přijmout, nebo odejít“ legální?

Návštěvník otevře web a přes celou obrazovku se roztáhne lišta s jediným tlačítkem „Přijmout vše“. Křížek nikde, odmítnutí schované, obsah zamčený. Takzvaný cookie wall je pohodlný pro provozovatele — konverze souhlasů se blíží stovce procent. Právně však jde o souhlas, který nikdy nevznikl.

Souhlas s cookies vyžaduje zákon, náležitosti určuje GDPR

Ukládání cookies a přístup k nim upravuje na Slovensku zákon o elektronických komunikacích. Český překlad slovenského ustanovení:

Každý, kdo ukládá nebo získává přístup k informacím uloženým v koncovém zařízení uživatele, je k tomu oprávněn pouze tehdy, pokud uživatel udělil prokazatelný souhlas splňující náležitosti podle zvláštního předpisu […] To nebrání technickému uložení údajů nebo přístupu k nim, jejichž jediným účelem je přenos nebo usnadnění přenosu zprávy prostřednictvím sítě, nebo pokud je to nezbytně nutné pro poskytovatele služeb informační společnosti k poskytování služby informační společnosti, kterou uživatel výslovně požaduje.

— § 109 odst. 8 slovenského zákona č. 452/2021 Z. z.

Zvláštním předpisem je nařízení GDPR. Souhlas podle jeho čl. 4 bodu 11 musí být svobodně udělený, konkrétní, informovaný a jednoznačný. Bez souhlasu se obejdou jen technicky nezbytné cookies — ty, které přenášejí zprávu nebo bez kterých nefunguje služba, již si uživatel sám vyžádal, například košík e-shopu. Analytika ani marketing do této výjimky nepatří.

Proč stěna souhlas znehodnotí

Svobodný souhlas předpokládá skutečnou možnost odmítnout bez nepříznivých následků. GDPR v čl. 7 odst. 4 přikazuje přihlížet k tomu, zda se poskytnutí služby podmiňuje souhlasem, který pro ni není nezbytný — a ztráta přístupu k celému webu je přesně takovým následkem. Evropský sbor pro ochranu osobních údajů to v pokynech 05/2020 k souhlasu uzavřel výslovně: přístup ke službám a funkcím nesmí být podmíněn souhlasem s ukládáním informací v zařízení uživatele a jako příklad neplatného souhlasu popisuje skript, který blokuje obsah, dokud návštěvník neklikne na „Povolit soubory cookies“.

Důsledek je praktický: souhlasy shromážděné přes cookie wall jsou neplatné, takže marketingové a analytické cookies běží bez právního základu — se všemi riziky vůči slovenskému Úradu na ochranu osobných údajov, která s tím souvisí.

„Zaplať, nebo souhlas“ je zatím sporné téma

Varianta, ve které si návštěvník může místo souhlasu koupit přístup bez reklam, není definitivně vyřešena. Evropský sbor pro ochranu osobních údajů ve stanovisku 08/2024 k modelům „consent or pay“ u velkých online platforem uvedl, že samotná dvojice „souhlas, nebo poplatek“ zpravidla platný souhlas nezaloží a platformy by měly zvážit i bezplatnou alternativu bez sledování. Na menší weby se stanovisko přímo nevztahuje, ukazuje však směr uvažování dozorových orgánů — kdo chce na tomto modelu stavět, měl by jej mít posouzený, nikoli zkopírovaný.

Jak vypadá lišta, která obstojí

Odmítnout musí být stejně snadné jako přijmout: tlačítko „Odmítnout“ v první vrstvě, stejně viditelné jako „Přijmout“. Žádná předem zaškrtnutá políčka, volby oddělené podle účelů, obsah dostupný i po odmítnutí a souhlas kdykoli odvolatelný stejně snadno, jako byl udělen. Technicky to znamená, že měřicí či marketingový skript se smí spustit až po kliknutí na souhlas, nikoli při načtení stránky. Co všechno kromě cookies patří k právnímu pořádku webu, jsme shrnuli v otázce o povinnostech při zpracování osobních údajů — a proč se GDPR týká i webu bez formulářů, v otázce web bez jmen a GDPR.

S čím vám pomůžeme

Projdeme, co váš web skutečně ukládá, a lištu i texty nastavíme tak, aby souhlasy obstály — v rámci služby cookies a nastavení webu. Širší pořádek v údajích řeší GDPR a ochrana osobních údajů, pro obchody kompletní balíček právních služeb pro e-shopy. Pošlete nám adresu webu — co je třeba změnit, dokážeme říci zpravidla po prvním pohledu.