Co jsou cookies?

Cookies jsou malé textové soubory, které si webové stránky ukládají do vašeho prohlížeče. Když navštívíte web, server může spolu s obsahem stránky odeslat cookie. Váš prohlížeč tuto cookie uloží a při každém dalším požadavku ji serveru odešle zpět. Tento jednoduchý mechanismus — uložit hodnotu, poslat ji zpět — je základem téměř každého personalizovaného webového zážitku.

Pochopení toho, co cookies jsou, jak fungují a k čemu slouží, je zásadním prvním krokem k souladu s pravidly pro cookies. Nemůžete regulovat to, čemu nerozumíte.

Jak cookies technicky fungují

V jádru jsou cookies páry klíč–hodnota. Cookie má název, hodnotu a sadu atributů, které řídí její chování. Když chce webový server cookie nastavit, přidá do své HTTP odpovědi hlavičku Set-Cookie:

Set-Cookie: session_id=abc123; Path=/; Expires=Thu, 16 Mar 2027 00:00:00 GMT; Secure; HttpOnly

To prohlížeči říká: „Ulož cookie s názvem session_id a hodnotou abc123. Posílej ji s každým požadavkem na jakoukoli cestu na této doméně. Uchovej ji až do března 2027. Posílej ji pouze přes HTTPS. A nedovol JavaScriptu k ní přistupovat.“

Při každém dalším požadavku na tuto doménu prohlížeč automaticky zahrne cookie do hlavičky Cookie:

Cookie: session_id=abc123

Server tuto hodnotu přečte a ví, od koho požadavek přichází. To je celý mechanismus. Cookies nejsou programy. Nemohou spouštět kód, přistupovat k vašemu souborovému systému ani nic instalovat. Jsou to pasivní data — textové řetězce, které putují sem a tam mezi prohlížečem a serverem.

K čemu se cookies používají

Cookies slouží na moderním webu čtyřem širokým účelům:

Autentizace a správa relací

Když se přihlásíte na web, server vytvoří relaci a uloží jedinečný identifikátor relace do cookie. Bez této cookie by server neměl žádný způsob, jak zjistit, že váš další požadavek na stránku pochází od téhož přihlášeného uživatele. Každé načtení stránky by působilo jako první návštěva. Nákupní košíky, uživatelské účty, administrátorské panely — nic z toho bez relačních cookies nefunguje.

Uživatelské předvolby

Cookies si pamatují vaše volby. Jazykové předvolby, nastavení vzhledu (tmavý vs. světlý režim), výběr měny, samotný souhlas s cookies — to vše se typicky ukládá do cookies. Když se vrátíte na web a ten už ví, že preferujete němčinu, tato znalost je uložena v cookie.

Analytika a výkon

Služby jako Google Analytics, Matomo a Plausible používají cookies k rozlišení mezi jedinečnými a vracejícími se návštěvníky, ke sledování toho, které stránky jsou v rámci jedné relace zobrazeny, a k měření, jak se návštěvníci pohybují po webu. Analytická cookie obvykle neobsahuje osobní údaje přímo — obsahuje anonymní identifikátor jako _ga=GA1.2.123456789.1710000000.

Reklama a sledování

Zde se cookies stávají problémem pro soukromí. Reklamní sítě používají cookies ke sledování uživatelů napříč více weby a vytvářejí profily chování při procházení, které umožňují cílenou reklamu. Když navštívíte zpravodajský web a později uvidíte reklamy na produkt, který jste si prohlíželi na jiném webu, umožnily to sledovací cookies napříč weby. Tyto cookies třetích stran jsou hlavním terčem moderní regulace ochrany soukromí.

Stručná historie cookies

Cookies vynalezl v roce 1994 Lou Montulli, programátor ve společnosti Netscape Communications. Původní účel byl skromný: Netscape potřeboval způsob, jak implementovat nákupní košík pro e-commerce klienta, aniž by ukládal obsah košíku každého uživatele na server. Montulli převzal koncept „magic cookies“ z prostředí Unixu — malých tokenů předávaných mezi programy k udržení stavu.

První cookies byly praktickým inženýrským řešením. Jejich potenciál pro sledování byl ale rozpoznán rychle. Už v roce 1996 vydal Financial Times první článek v hlavním proudu médií upozorňující na obavy o soukromí spojené s cookies. Do roku 2002 přijala EU směrnici ePrivacy, která se jimi konkrétně zabývá.

Během následujících dvou desetiletí se cookies vyvinuly z jednoduchého nástroje pro správu relací v páteř digitálního reklamního průmyslu — a v hlavní terč legislativy o ochraně soukromí po celém světě.

Proč jsou cookies problémem pro soukromí

Problém cookies se soukromím není o technologii samotné. Cookie, která si pamatuje vaši jazykovou předvolbu, je neškodná. Obavy vyplývají ze tří konkrétních použití:

1. Sledování napříč weby. Cookies třetích stran umožňují reklamním sítím sledovat uživatele po celém webu a vytvářet podrobné profily chování při procházení. Uživatel, který navštíví web s lékařskými informacemi, web politické organizace a seznamovací web, prozradil citlivé informace — a všechny je lze propojit prostřednictvím cookies.
2. Nedostatek transparentnosti. Většina uživatelů netuší, kolik cookies se nastaví, když navštíví běžný web. Jeden zpravodajský web může nastavit 50–100 cookies z desítek různých domén. Uživatel vidí jeden web; v pozadí jeho návštěvu sleduje desítky společností.
3. Trvanlivost. Cookies mohou trvat roky. Sledovací cookie nastavená v roce 2024 může stále identifikovat téhož uživatele v roce 2026. Tato schopnost dlouhodobého sledování v kombinaci s dosahem napříč weby vytváří infrastrukturu dohledu, která funguje bez vědomí či smysluplného souhlasu většiny uživatelů.

Kvůli těmto obavám vyžaduje směrnice ePrivacy (článek 5 odst. 3) informovaný souhlas před umístěním nezbytně nutných cookies a GDPR (články 4 odst. 11 a 7) stanovuje přísné podmínky pro to, jak vypadá platný souhlas.

Za hranicemi cookies: Další sledovací technologie

Moderní regulace ochrany soukromí nepokrývá pouze cookies. Směrnice ePrivacy hovoří o „ukládání informací nebo získávání přístupu k již uloženým informacím v koncovém zařízení účastníka nebo uživatele“. Tato formulace záměrně pokrývá jakýkoli mechanismus úložiště na straně klienta, včetně:

• localStorage a sessionStorage — Web Storage API, která umožňují webům ukládat větší množství dat v prohlížeči. Na rozdíl od cookies se tato data automaticky neodesílají serveru, ale i tak mohou být použita ke sledování a vyžadují souhlas podle stejných pravidel.
• IndexedDB — Výkonnější databáze na straně klienta. Platí stejná pravidla souhlasu.
• Fingerprinting prohlížeče — Sběr charakteristik zařízení (rozlišení obrazovky, nainstalovaná písma, pluginy prohlížeče, časové pásmo) za účelem vytvoření jedinečného identifikátoru bez ukládání čehokoli na zařízení. Ačkoli fingerprinting cookies nepoužívá, je stále více uznáván jako sledovací technologie vyžadující souhlas. Francouzský CNIL a několik dalších dozorových úřadů vydaly pokyny, které to potvrzují.
• Sledovací pixely — Nepatrné neviditelné obrázky načítané ze serveru třetí strany. Samotný požadavek prozradí IP adresu uživatele, prohlížeč a stránku, na které se nachází. Sledovací pixely často fungují ve spojení s cookies, ale mohou fungovat i samostatně.
• ETags a sledování založené na cache — Techniky, které zneužívají cache prohlížeče k ukládání a získávání identifikátorů. Jsou méně běžné, ale ukazují, proč se regulace zaměřuje na výsledek (sledování) spíše než na konkrétní technologii.

Praktický závěr: pokud váš web ukládá nebo přistupuje k informacím na zařízení uživatele pro nezbytně nenutné účely, nebo pokud používá techniky ke sledování uživatelů napříč relacemi, je souhlas téměř jistě vyžadován — bez ohledu na to, zda je mechanismus technicky „cookie“.

Skener cookies od Passira detekuje všechny cookies a sledovací technologie na vašem webu, včetně používání localStorage, skriptů třetích stran a sledovacích pixelů — a poskytuje vám tak úplný přehled o tom, co váš web sbírá.

Klíčové poznatky

• Cookies jsou malé textové soubory ukládané prohlížečem a odesílané zpět serveru s každým požadavkem.
• Slouží legitimním účelům (autentizace, předvolby) i účelům citlivým z hlediska soukromí (analytika, reklama).
• Sledovací cookies třetích stran jsou hlavním předmětem regulace ochrany soukromí.
• Další technologie (localStorage, fingerprinting, pixely) podléhají stejným požadavkům na souhlas.
• Pochopení toho, jaké cookies váš web používá, je prvním krokem k souladu.

Dále se podívejme podrobně na různé typy cookies — protože právě typ určuje požadavky na souhlas.