Osvedčené postupy pri súhlase s cookies

Poznať zákon je nevyhnutné. No skutočná práca sa začína pri jeho správnom uplatnení. Táto sekcia sa venuje praktickým osvedčeným postupom pri súhlase s cookies — tomu, ako vytvoriť riešenie súhlasu, ktoré je právne súladné, technicky spoľahlivé a rešpektuje vašich používateľov.

1. Zabezpečte, aby bol súhlas skutočne dobrovoľný

Článok 7 ods. 4 GDPR uvádza, že pri posudzovaní, či bol súhlas poskytnutý slobodne, „sa v čo najväčšej miere zohľadní okrem iného skutočnosť, či bolo plnenie zmluvy vrátane poskytovania služby podmienené súhlasom so spracúvaním osobných údajov, ktorý nie je nevyhnutný na plnenie tejto zmluvy.“

V praxi to znamená:

• Nepoužívajte cookie steny (cookie walls), ktoré blokujú obsah, pokým používateľ neprijme všetky cookies. EDPB uviedol, že cookie steny vo všeobecnosti bránia tomu, aby bol súhlas poskytnutý slobodne. Ak sa používateľ nemôže dostať na váš web bez prijatia sledovania, jeho „súhlas“ je vynútený, nie dobrovoľný.
• Nezhoršujte zážitok používateľom, ktorí súhlas odmietnu. Zobrazovanie trvalého prekrytia, obmedzovanie funkčnosti stránky alebo pasívne-agresívne správy („Všimli sme si, že ste neprijali cookies — váš zážitok môže utrpieť“) narúšajú dobrovoľnosť súhlasu.
• Ponúknite skutočné alternatívy. Ak používate model „súhlas alebo platba“, platená alternatíva musí byť skutočne primeraná — nesmie byť ocenená tak, aby trestala odmietnutie.

2. Odstráňte manipulatívne návrhové vzory (dark patterns)

Manipulatívne vzory pri súhlase s cookies sú osobitným terčom regulátorov. EDPB vydal usmernenie k klamlivým návrhovým vzorom a CNIL, Garante a ďalšie dozorné orgány udelili pokuty organizáciám práve za manipulatívne rozhrania súhlasu.

Vyhnite sa týmto vzorom:

• Asymetrické tlačidlá. „Prijať všetko“ ako veľké, farebné tlačidlo a „Spravovať nastavenia“ ako malý textový odkaz. Obe možnosti musia byť rovnako výrazné. Viaceré dozorné orgány výslovne požadujú, aby bolo tlačidlo „Odmietnuť všetko“ dostupné už na prvej úrovni s rovnakou vizuálnou váhou ako „Prijať všetko“.
• Mätúca formulácia. „Pokračovať bez prijatia“ vs. „Prijať a pokračovať“ — keď obe tlačidlá vyzerajú podobne, používatelia ich nedokážu rýchlo rozlíšiť. Používajte jasné a jednoznačné označenia: „Prijať všetko“, „Odmietnuť všetko“, „Prispôsobiť“.
• Skryté možnosti odmietnutia. Nútiť používateľov prekliknúť sa na druhú alebo tretiu úroveň, aby mohli odmietnuť cookies, zatiaľ čo „Prijať všetko“ je na jeden klik. CNIL udelil spoločnosti Google pokutu 150 miliónov EUR čiastočne práve za túto prax.
• Vopred zaškrtnuté prepínače. Prepínače kategórií, ktoré sú predvolene „zapnuté“ pre analytiku a marketing. Rozsudok CJEU vo veci Planet49 to výslovne zakazuje.
• Zavádzajúce farby. Zelená pre „Prijať“ a červená alebo sivá pre „Odmietnuť“ naznačuje, že prijatie je správna voľba a odmietnutie je chyba. Používajte neutrálny a konzistentný štýl.
• Zahanbovanie pri odmietnutí (confirm-shaming). Formulácie ako „Nie, ďakujem, na svojom zážitku mi nezáleží“ pre možnosť odmietnutia sú manipulatívne a narúšajú dobrovoľnosť súhlasu.
• Opakované zobrazovanie výzvy. Opätovné zobrazovanie banneru súhlasu pri každej návšteve stránky po tom, čo používateľ odmietol, s cieľom ho „vysiliť“. Keď používateľ urobí voľbu, rešpektujte ju.

3. Buďte transparentní

Informovaný súhlas vyžaduje, aby používatelia rozumeli tomu, s čím súhlasia. Transparentnosť nie je o množstve informácií — je o zrozumiteľnosti.

• Používajte jednoduchý jazyk. „Používame cookies na sledovanie vášho správania pri prehliadaní na webe na reklamné účely“ je jasné. „Využívame pokročilé technológie dátovej analytiky na zlepšenie vášho personalizovaného digitálneho zážitku“ nie je.
• Uveďte zoznam všetkých cookies. Vaša cookie politika by mala obsahovať kompletný prehľad: názov cookie, poskytovateľa, účel, typ (relačné/trvalé, prvej/tretej strany) a dobu platnosti. Tento prehľad musí byť aktuálny.
• Menujte tretie strany. Ak zdieľate údaje s reklamnými sieťami, uveďte ich menom. „Zdieľame údaje s našimi reklamnými partnermi“ nestačí. „Zdieľame údaje so službami Google Ads, Meta (Facebook) a LinkedIn“ je transparentné.
• Vysvetlite dôsledky. Čo sa stane, ak používateľ prijme analytické cookies? Čo sa stane, ak ich odmietne? Používatelia by mali rozumieť praktickému dopadu svojej voľby.

4. Ponúknite podrobnú kontrolu

GDPR vyžaduje, aby bol súhlas „konkrétny“ — poskytnutý samostatne pre každý účel. Váš mechanizmus súhlasu by mal ponúkať:

• Prepínače podľa kategórií. Používatelia by mali mať možnosť prijať analytické cookies a zároveň odmietnuť marketingové. Štyri štandardné kategórie (nevyhnutné, analytické, marketingové, preferencie) sú minimom.
• Skratky „Prijať všetko“ a „Odmietnuť všetko“. Hoci sa vyžaduje podrobná kontrola, ponuka hromadných možností ako skratiek je legálna aj používateľsky prívetivá — pokiaľ je podrobná možnosť rovnako dostupná.
• Kontrola podľa dodávateľa (odporúčaná, no nie vždy povinná). Pre maximálnu transparentnosť zvážte možnosť, aby si používatelia mohli zobraziť a ovládať cookies podľa dodávateľa — napríklad prijať Google Analytics a odmietnuť Hotjar, alebo prijať sledovanie LinkedIn a odmietnuť Facebook. Niektoré platformy na správu súhlasu to nazývajú granularitou „IAB TCF Level 2“.

5. Zabezpečte, aby bolo odvolanie súhlasu rovnako jednoduché ako jeho poskytnutie

Článok 7 ods. 3 GDPR je jednoznačný: „Dotknutá osoba má právo kedykoľvek odvolať svoj súhlas. [...] Odvolanie súhlasu musí byť také jednoduché ako jeho poskytnutie.“

Táto požiadavka sa často porušuje. Medzi bežné zlyhania patria:

• Žiadny viditeľný spôsob, ako zmeniť nastavenia cookies po zatvorení banneru.
• Odkaz „Nastavenia cookies“ ukrytý v zásadách ochrany osobných údajov, ktoré sú samy ukryté v pätičke.
• Nútenie používateľa vymazať cookies v prehliadači, aby resetoval nastavenia (to nie je mechanizmus odvolania — je to obchádzka).

Osvedčené implementácie zahŕňajú:

• Trvalý odkaz „Nastavenia cookies“ v pätičke webu.
• Malú plávajúcu ikonu (často ikona cookie alebo štítu), ktorá znovu otvorí správcu súhlasu.
• Sekciu v nastaveniach účtu používateľa (pre prihlásených používateľov), kde je možné spravovať nastavenia cookies.

Keď používateľ odvolá súhlas, musíte okamžite prestať používať príslušné cookies. Odstráňte cookies z prehliadača a zastavte súvisiace skripty. Odvolanie musí byť účinné, nielen zaznamenané.

6. Uchovávajte záznamy o súhlase

Článok 7 ods. 1 GDPR: „Ak je spracúvanie založené na súhlase, prevádzkovateľ musí vedieť preukázať, že dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov.“

Vaše záznamy o súhlase by mali obsahovať:

• Časovú pečiatku okamihu, kedy bol súhlas udelený alebo odmietnutý.
• Kategórie, ktoré boli prijaté a odmietnuté.
• Verziu zobrazeného mechanizmu súhlasu (ako banner vyzeral, aký text bol zobrazený). Ak zmeníte banner súhlasu, potrebujete vedieť, s ktorou verziou každý používateľ pracoval.
• Spôsob udelenia súhlasu (ktoré tlačidlo bolo stlačené, aké možnosti boli vybrané).
• Anonymizovaný identifikátor spájajúci záznam so zariadením alebo reláciou (nie meno ani e-mail používateľa — samotný záznam o súhlase by sa nemal stať problémom ochrany súkromia).

Uchovávajte tieto záznamy na strane servera. Samotná cookie na strane klienta nie je dostatočným dôkazom — používateľ ju môže vymazať a vy nemáte nezávislý záznam. Osvedčeným postupom je zaznamenávať udalosti súhlasu na server a uchovávať ich po dobu, ktorú odporúča váš dozorný orgán (zvyčajne rovnaké obdobie ako platnosť cookies plus primeraná rezerva).

7. Znovu si vyžiadajte súhlas po zmenách

Súhlas je viazaný na účely a cookies, pre ktoré bol udelený. Ak pridáte nové cookies, nové kategórie, nových dodávateľov tretích strán alebo výrazne zmeníte spôsob používania existujúcich cookies, predtým získaný súhlas už nemusí pokrývať nové spracúvanie.

Znovu si vyžiadajte súhlas od používateľov, keď:

• Pridáte novú kategóriu cookies, ktorá predtým nebola pokrytá.
• Zavediete novú službu sledovania tretej strany.
• Zmeníte účel existujúcich cookies (napr. použitie analytických údajov na reklamné účely).
• Uplynul značný čas od posledného súhlasu (CNIL odporúča nie viac než 13 mesiacov).
• Regulačné požiadavky sa zmenia spôsobom, ktorý ovplyvňuje platnosť existujúceho súhlasu.

Zaveďte systém verzií súhlasu. Priraďte svojej konfigurácii súhlasu číslo verzie. Keď sa verzia zmení (pretože ste pridali alebo upravili cookies), znovu si vyžiadajte súhlas od používateľov, ktorí súhlasili podľa predchádzajúcej verzie.

8. Testujte mieru súhlasu (A/B) eticky

Optimalizácia vášho riešenia súhlasu je legitímna — testovanie rôznych rozložení, formulácií a dizajnu s cieľom nájsť to, čo funguje najlepšie. No „funguje najlepšie“ musí znamenať „vedie k skutočne informovanému súhlasu v rozumnej miere“, nie „maximalizuje kliknutia na Prijať všetko prostredníctvom manipulácie“.

Zásady etického A/B testovania:

• Všetky varianty musia byť súladné. Každá verzia, ktorú testujete, musí spĺňať právne požiadavky na platný súhlas. Nemôžete testovať súladnú verziu proti nesúladnej, aby ste zistili, ktorá získa viac súhlasov.
• Testujte zrozumiteľnosť, nie manipuláciu. Zvyšuje preformulovanie vysvetlenia pochopenie, a tým aj súhlas? Zlepšuje premiestnenie banneru zapojenie? To sú legitímne testy.
• Neoptimalizujte pre mieru „Prijať všetko“. Vysoká miera prijatia všetkého dosiahnutá mätúcim dizajnom nie je úspech — je to riziko nesúladu. Optimalizujte pre mieru používateľov, ktorí urobia aktívnu, informovanú voľbu akéhokoľvek druhu.
• Sledujte mieru odmietnutí. Ak zmena dizajnu dramaticky zníži počet odmietnutí, položte si otázku, či ich znížila vďaka zrozumiteľnosti alebo prekážaním.

9. Osvedčené postupy technickej implementácie

Mechanizmus súhlasu nie je len komponent používateľského rozhrania — na to, aby skutočne fungoval, si vyžaduje správnu technickú implementáciu.

Blokujte skripty až do udelenia súhlasu

Najdôležitejšia technická požiadavka: nenevyhnutné skripty sa nesmú spustiť, pokým používateľ neudelí súhlas pre príslušnú kategóriu. Existuje niekoľko prístupov:

• Manipulácia s typom skriptu. Zmeňte type="text/javascript" na type="text/plain" a pridajte dátový atribút označujúci kategóriu. Po udelení súhlasu skript správcu súhlasu zmení typ späť a spustí vykonanie.
• Integrácia so správcom tagov. Použite správcu tagov (Google Tag Manager, Tealium atď.), ktorý podporuje režimy súhlasu. Tagy sú nakonfigurované tak, aby sa spustili len vtedy, keď je prítomný súhlas pre ich kategóriu.
• Vykresľovanie na strane servera. Zahrňte tagy skriptov do HTML stránky len vtedy, ak je súhlas už zaznamenaný (prostredníctvom serverovej kontroly cookie súhlasu). Toto je najspoľahlivejší prístup, no vyžaduje serverovú logiku.

Správne spracúvajte stav súhlasu

• Prvá návšteva (žiadny súhlas nezaznamenaný): Načítajte len prísne nevyhnutné skripty. Zobrazte mechanizmus súhlasu.
• Opakovaná návšteva (súhlas zaznamenaný): Prečítajte cookie súhlasu. Načítajte skripty zodpovedajúce prijatým kategóriám. Nezobrazujte znovu mechanizmus súhlasu, pokiaľ nie je čas na obnovenie.
• Súhlas odvolaný: Zastavte všetky skripty v odvolanej kategórii. Odstráňte príslušné cookies. Aktualizujte záznam o súhlase.
• Súhlas obnovený: Pre akékoľvek nové kategórie postupujte ako pri prvej návšteve. Predtým prijaté kategórie načítajte okamžite.

Dôkladne testujte

• Overte, že pred udelením súhlasu nie sú nastavené žiadne nenevyhnutné cookies. Na kontrolu použite vývojárske nástroje prehliadača (karta Application > Cookies).
• Overte, že skripty sa po odvolaní súhlasu skutočne zastavia — nielen že sa cookie vymaže, ale že skripty už nebežia.
• Testujte s vypnutým JavaScriptom. Mechanizmus súhlasu by mal degradovať elegantne a nemali by sa načítať žiadne sledovacie skripty.
• Testujte na mobilných zariadeniach. Mechanizmus súhlasu musí byť plne funkčný a použiteľný na malých obrazovkách.

10. Použite platformu na správu súhlasu (CMP)

Vytvorenie plne súladného mechanizmu súhlasu od začiatku je možné, no zahŕňa značnú priebežnú údržbu. Platforma na správu súhlasu za vás rieši celú zložitosť: zber súhlasu, vedenie záznamov, blokovanie skriptov, geografické cielenie a regulačné aktualizácie.

Pri hodnotení CMP zvážte:

• Automatické skenovanie cookies. Zisťuje CMP všetky cookies na vašom webe, alebo ich musíte uvádzať manuálne?
• Blokovanie skriptov. Blokuje CMP skripty skutočne pred udelením súhlasu, alebo len zobrazuje banner?
• Záznamy o súhlase. Ukladá CMP dôkaz o súhlase na strane servera?
• Podpora IAB TCF. Ak používate programatickú reklamu, môže byť potrebná podpora TCF 2.2.
• Vplyv na výkon. Skript CMP sa načítava na každej stránke. Aký je veľký? Blokuje vykresľovanie?
• Prispôsobenie. Môžete zosúladiť banner súhlasu s dizajnom vašej značky?
• Prístupnosť. Je samotný mechanizmus súhlasu prístupný? Dá sa ovládať klávesnicou? Funguje s čítačkami obrazovky? Neprístupný banner súhlasu na webe, ktorý tvrdí, že mu záleží na prístupnosti, pôsobí zle.

Passiro naskenuje váš web a identifikuje všetky cookies a sledovacie technológie, automaticky ich kategorizuje a poskytne praktické odporúčania pre vašu implementáciu súhlasu — či už si ju vytvoríte sami, alebo použijete CMP.

Zhrnutie: Kontrolný zoznam súhlasu

Rýchla referencia na vyhodnotenie vašej súčasnej implementácie súhlasu:

1. Pred udelením súhlasu nie sú nastavené žiadne nenevyhnutné cookies.
2. Mechanizmus súhlasu ponúka „Prijať všetko“ a „Odmietnuť všetko“ s rovnakou výraznosťou.
3. Používatelia si môžu robiť voľby podľa kategórií (minimálne: nevyhnutné, analytické, marketingové, preferencie).
4. Prezentované informácie sú jasné, konkrétne a v jednoduchom jazyku.
5. Vopred zaškrtnuté políčka a prepínače sa nepoužívajú pre nenevyhnutné kategórie.
6. Existuje trvalý, ľahko dostupný spôsob odvolania alebo zmeny súhlasu.
7. Záznamy o súhlase sú uložené na strane servera s časovými pečiatkami a podrobnosťami o kategóriách.
8. Súhlas sa obnovuje najmenej každých 13 mesiacov (alebo skôr, ak sa zmení používanie cookies).
9. Mechanizmus súhlasu je prístupný (ovládateľný klávesnicou, kompatibilný s čítačkami obrazovky).
10. Implementácia sa pravidelne testuje na súlad (nové cookies, zmenené skripty).

Správne realizovaný súhlas s cookies nie je prekážkou pre vaše podnikanie. Je základom dôvery medzi vami a vašimi používateľmi — a čoraz viac je tým, čo odlišuje súladné podniky od tých, ktorým hrozí regulačný zásah.