Kategorie cookies: Jak klasifikovat cookies pro účely souhlasu

Souhlas s cookies není rozhodnutí typu „všechno, nebo nic“. Předpisy o ochraně soukromí vyžadují, aby uživatelé mohli granulárně rozhodovat o tom, které typy cookies přijmou. Aby to bylo možné, jsou cookies organizovány do kategorií — skupin založených na jejich účelu, přičemž každá má vlastní požadavky na souhlas.

Správná kategorizace je klíčová. Chybné zařazení marketingové cookie jako „nezbytně nutné“ není jen technická chyba — jde o porušení předpisů, které regulátoři aktivně vyhledávají a postihují.

Proč na kategorizaci záleží

GDPR vyžaduje, aby byl souhlas „konkrétní“ (článek 4 odst. 11). Pracovní skupina podle článku 29 (nyní EDPB) upřesnila, že to znamená, že souhlas musí být udělen samostatně pro každý jednotlivý účel. Sdružení všech cookies do jediného „přijmout vše“ bez možnosti volby podle jednotlivých kategorií tento standard nesplňuje.

V praxi to znamená, že váš mechanismus souhlasu s cookies musí prezentovat cookies seskupené podle účelu a umožnit uživatelům přijmout či odmítnout každou kategorii nezávisle. Standard, který se v celém odvětví ustálil — a který regulátoři očekávají — používá čtyři kategorie.

Čtyři standardní kategorie cookies

1. Nezbytně nutné cookies

Tyto cookies jsou nezbytné pro základní fungování webu. Bez nich nelze poskytnout službu, kterou uživatel výslovně požadoval.

Vyžaduje souhlas: Ne. Nezbytně nutné cookies jsou vyňaty z požadavku na souhlas podle článku 5 odst. 3 směrnice ePrivacy, který uvádí, že souhlas není potřeba u cookies, které jsou „nezbytně nutné k tomu, aby poskytovatel služby informační společnosti, kterou účastník nebo uživatel výslovně požadoval, mohl tuto službu poskytnout“.

Příklady nezbytně nutných cookies:

• Relační cookies udržující stav přihlášení
• Cookies nákupního košíku na e-shopu
• Ochranné tokeny CSRF (cross-site request forgery)
• Cookies pro vyvažování zátěže, které rozdělují provoz mezi servery
• Cookies s preferencemi souhlasu (cookie, která si pamatuje vaši volbu souhlasu)
• Bezpečnostní cookies, které detekují zneužití autentizace

Co NENÍ nezbytně nutné:

• Analytické cookies — i ty first-party. Měření provozu je pro provozovatele webu užitečné, ale není nezbytné pro poskytnutí služby, kterou uživatel požadoval.
• Pluginy sociálních sítí — tlačítka pro sdílení a vložené kanály slouží zájmům vlastníka webu, nikoli funkci, kterou uživatel výslovně požadoval.
• Reklamní cookies — ze své definice slouží účelu, který jde nad rámec služby, k níž uživatel přistupuje.
• Cookies pro A/B testování — ty slouží optimalizačním cílům provozovatele webu, nikoli výslovnému požadavku uživatele.

Klíčovým testem je perspektiva: nezbytné pro koho? Pokud cookie slouží zájmům provozovatele webu spíše než funkci, kterou uživatel výslovně požadoval, není nezbytně nutná — bez ohledu na to, jak důležitá může být pro podnikání.

2. Analytické / statistické cookies

Tyto cookies shromažďují informace o tom, jak návštěvníci web používají: které stránky navštěvují, jak dlouho zůstávají, odkud přicházejí a kde odcházejí. Data jsou obvykle agregována a slouží ke zlepšení webu.

Vyžaduje souhlas: Ano, ve většině jurisdikcí. Nicméně některé úřady na ochranu osobních údajů (zejména francouzský CNIL a nizozemský AP) naznačily, že určité first-party analytické nástroje mohou splňovat podmínky pro omezenou výjimku, pokud jsou splněny konkrétní podmínky (viz naše část o tom, kdy je souhlas vyžadován).

Běžné analytické cookies:

Vezměte na vědomí, že cookies Google Analytics jsou svou povahou third-party, i když se mohou jevit jako first-party — protože Google zpracovává data na vlastních serverech a může je používat pro vlastní účely. Toto rozlišení hrálo významnou roli v několika evropských donucovacích řízeních.

3. Marketingové / reklamní cookies

Tyto cookies sledují návštěvníky napříč weby, aby vytvořily profil jejich chování při prohlížení. Tento profil se používá k doručování cílené reklamy, měření účinnosti reklamních kampaní a omezení počtu zobrazení konkrétní reklamy uživateli.

Vyžaduje souhlas: Vždy. Pro reklamní cookies neexistuje výjimka podle žádného výkladu směrnice ePrivacy ani GDPR.

Běžné marketingové cookies:

Marketingové cookies jsou téměř vždy third-party. Představují nejvyšší riziko pro soukromí a jsou nejpřísněji regulovanou kategorií. Jakýkoli mechanismus souhlasu, který usnadňuje přijetí marketingových cookies více než jejich odmítnutí, riskuje regulatorní postih.

4. Preferenční / funkční cookies

Tyto cookies umožňují rozšířenou funkcionalitu a personalizaci, které jdou nad rámec nezbytně nutného. Pamatují si volby, které uživatel učinil, ale nejsou nezbytné pro fungování základní služby.

Vyžaduje souhlas: Ano, i když je míra rizika nižší než u analytických nebo marketingových cookies. Někteří regulátoři přistupují k preferenčním cookies shovívavěji, ale právní stanovisko je takové, že souhlas je stále vyžadován.

Příklady:

• Preference jazyka (když web funguje i bez ní, jen se přepne na výchozí jazyk)
• Výběr regionu nebo měny
• Předvyplnění uživatelského jména v přihlašovacích formulářích
• Preference přehrávače videa (hlasitost, kvalita)
• Stav chatovacího widgetu (otevřený/zavřený, historie konverzace)
• Velikost písma nebo preference přístupnosti

Rozdíl mezi „nezbytně nutnými“ a „preferenčními“ může být jemný. Jazyková cookie na jednojazyčném webu nemá smysl. Jazyková cookie na vícejazyčném webu, který se bez ní přepne na funkční jazyk, je preference. Jazyková cookie na webu, který bez ní nemůže vůbec fungovat — protože se obsah bez výběru jazyka nenačte — by mohla být diskutabilně nezbytně nutná. Na kontextu záleží.

Jak správně kategorizovat vaše cookies

Pro každou cookie na vašem webu postupujte podle tohoto procesu:

1. Identifikujte cookie. Jaký je její název, kdo ji nastavuje (first-party nebo third-party) a jak dlouho vydrží?
2. Určete její účel. Proč tato cookie existuje? Co se stane, když bude odstraněna?
3. Aplikujte test nezbytné nutnosti. Je tato cookie nezbytná pro funkci, kterou uživatel výslovně požadoval? Pokud uživatel požádal o přihlášení, je relační cookie nezbytná. Pokud chcete sledovat jeho chování, je to vaše potřeba, nikoli jeho.
4. Přiřaďte kategorii. Pokud není nezbytně nutná, klasifikujte ji na základě jejího hlavního účelu: analytika, marketing nebo preference.
5. Zdokumentujte své úvahy. U každé cookie zaznamenejte, proč jste ji takto kategorizovali. Tato dokumentace je cenná, pokud se na to někdy zeptá regulátor.

Časté chyby v kategorizaci

Na základě donucovacích řízení regulátorů a zjištění z auditů jsou nejčastějšími chybami tyto:

• Klasifikace Google Analytics jako nezbytně nutné. Toto je zdaleka nejčastější chyba. GA je analytický nástroj. Nikdy není nezbytně nutný pro poskytnutí služby uživateli. Několik úřadů na ochranu osobních údajů to výslovně zdůraznilo.
• Zařazení všech third-party cookies pod „funkcionalitu“. Vložená videa YouTube, tlačítka pro sdílení na sociálních sítích a chatovací widgety nejsou nezbytně nutné a jejich cookies obvykle slouží analytickým nebo marketingovým účelům nad rámec viditelné funkcionality.
• Ignorování cookies nastavených pluginy a integracemi. WordPressový web s 20 pluginy může nastavovat desítky cookies, o kterých provozovatel webu ani neví. Přesto za ně všechny nesete odpovědnost.
• Považování marketingových cookies za analytické. Facebook Pixel a sledování konverzí Google Ads jsou marketingové cookies, nikoli analytické — jejich hlavním účelem je reklama, i když data používáte analyticky.
• Nesprávné zařazení cookies pro A/B testování. Nástroje jako Optimizely a VWO nastavují cookies pro přiřazení uživatelů do testovacích skupin. Ty nejsou nezbytně nutné a měly by být kategorizovány jako analytika nebo preference.

Automatizujte celý proces

Ruční audity cookies jsou časově náročné a náchylné k chybám. Weby se neustále mění — nový plugin, aktualizovaný skript, marketingový tým přidávající sledovací pixel — a každá změna může zavést nové cookies, které je třeba kategorizovat.

Passiro automaticky skenuje a kategorizuje všechny cookies na vašem webu, detekuje nové cookies, jakmile se objeví, a označuje potenciální chybné kategorizace. Tím je zajištěno, že váš mechanismus souhlasu s cookies vždy odráží skutečné cookies, které váš web používá — nejen ty, o kterých jste věděli při poslední kontrole.

Nyní, když rozumíme kategoriím, se podívejme na to, co vlastně souhlas s cookies znamená z právního hlediska — požadavky jsou konkrétnější, než si většina lidí uvědomuje.