Kedy je súhlas s cookies povinný?

Všeobecné pravidlo je jednoduché: súhlas je potrebný pri všetkých cookies okrem tých, ktoré sú nevyhnutne potrebné. Ale záleží na detailoch. Presná znalosť toho, kedy súhlas potrebný je a kedy nie, zabraňuje tak nadmernej regulácii (obťažovanie používateľov zbytočnými žiadosťami o súhlas), ako aj jej nedostatku (ukladanie cookies bez právneho základu).

Všeobecné pravidlo

Článok 5 ods. 3 smernice ePrivacy stanovuje základné pravidlo:

Členské štáty zabezpečia, aby uchovávanie informácií alebo získavanie prístupu k už uloženým informáciám v koncovom zariadení účastníka alebo používateľa bolo povolené len pod podmienkou, že dotknutý účastník alebo používateľ udelil svoj súhlas na základe jasných a úplných informácií [...] o účeloch spracúvania.

Toto sa vzťahuje na všetky cookies, na všetko lokálne úložisko, na akékoľvek úložisko alebo prístup na úrovni zariadenia. Ak vaša webová stránka zapisuje čokoľvek do zariadenia používateľa, súhlas je predvolenou požiadavkou.

Výnimka pre nevyhnutne potrebné cookies

Ten istý článok stanovuje jedinú výnimku:

Toto nebráni technickému uchovávaniu ani prístupu, ktorého jediným účelom je uskutočnenie prenosu komunikácie prostredníctvom elektronickej komunikačnej siete, alebo ktorý je nevyhnutne potrebný na to, aby poskytovateľ služby informačnej spoločnosti, ktorú účastník alebo používateľ výslovne požadoval, mohol túto službu poskytnúť.

Táto výnimka má dve zložky:

1. Technický prenos: Cookies, ktoré sú technicky potrebné na uskutočnenie komunikácie. Ide o úzko vymedzenú kategóriu — v podstate obmedzenú na cookies pre vyvažovanie záťaže a podobné nevyhnutnosti na sieťovej úrovni.
2. Nevyhnutne potrebné pre službu: Cookies, ktoré sú nevyhnutné pre službu, ktorú si používateľ výslovne vyžiadal. Kľúčová je fráza „výslovne požadovanú účastníkom alebo používateľom“. Služba musí byť niečo, o čo používateľ požiadal, a cookie musí byť pre jej poskytnutie nenahraditeľná.

Cookies, ktoré sú nevyhnutne potrebné (nevyžadujú súhlas)

• Cookies pre autentifikáciu relácie. Keď sa používateľ prihlási, cookie relácie, ktorá udržiava jeho autentifikovaný stav, je nevyhnutne potrebná pre službu, ktorú si vyžiadal (prístup k svojmu účtu).
• Cookies pre nákupný košík. Na e-commerce stránke je cookie, ktorá sleduje položky v košíku, nevyhnutne potrebná pre nákupnú službu, ktorú používateľ využíva.
• Tokeny na ochranu pred CSRF. Tie sú nevyhnutne potrebné na bezpečné fungovanie odosielania formulárov.
• Cookies pre uchovanie predvolieb súhlasu. Cookie, ktorá ukladá voľby súhlasu používateľa, je nevyhnutne potrebná — bez nej nemôžete rešpektovať jeho preferencie ochrany súkromia.
• Cookies súvisiace so vstupmi. Cookies, ktoré si pamätajú údaje z formulára počas viackrokového procesu (napríklad pri objednávkovom formulári), keď používateľ tento proces začal.
• Cookies pre vyvažovanie záťaže. Technické cookies, ktoré smerujú požiadavky na správny server. Tie spadajú pod „prenosovú“ zložku výnimky.
• Cookies pre prispôsobenie používateľského rozhrania. Keď používateľ výslovne vyberie jazyk alebo tému prostredníctvom ovládacieho prvku na stránke, cookie ukladajúca túto voľbu je nevyhnutne potrebná pre službu, ktorú si vyžiadal. To však závisí od kontextu — viac nižšie.

Cookies, ktoré NIE sú nevyhnutne potrebné (vyžadujú súhlas)

• Analytické cookies. Meranie návštevnosti webu je prínosom pre prevádzkovateľa stránky, nie pre používateľa. Používateľ si službu analýzy návštevnosti nevyžiadal.
• Reklamné a retargetingové cookies. Slúžia záujmom inzerentov a prevádzkovateľa stránky, nikdy nie používateľa.
• Cookies pre zdieľanie na sociálnych sieťach. Nastavujú ich sociálne siete tretích strán, nie kvôli službe, ktorú si používateľ vyžiadal.
• Cookies pre A/B testovanie. Slúžia optimalizačným cieľom prevádzkovateľa.
• Cookies pre affiliate sledovanie. Sledujú, ktorý partner používateľa odporučil, a slúžia obchodným záujmom prevádzkovateľa.
• Cookies pre trvalé prihlásenie („zapamätať si ma“). EDPB poznamenal, že hoci cookie relácie pre aktuálne prihlásenie je potrebná, trvalá cookie, ktorá udržiava používateľa prihláseného naprieč reláciami, presahuje rámec nevyhnutne potrebného. Používateľ sa môže prihlásiť znova.
• Cookies pre monitorovanie výkonu. Cookies používané na monitorovanie času načítania stránky, chybovosti a podobných technických metrík slúžia prevádzkovateľovi, nie používateľovi.

Diskusia o first-party analytike

Jednou z najspornejších oblastí v súlade s pravidlami pre cookies je otázka, či možno first-party analytické cookies používať bez súhlasu. Odpoveď sa líši podľa jurisdikcie a neustále sa vyvíja.

Stanovisko CNIL (Francúzsko)

Francúzsky CNIL vydal osobitné usmernenie, podľa ktorého môžu byť niektoré cookies na meranie návštevnosti oslobodené od súhlasu za predpokladu, že:

1. Účel je striktne obmedzený na meranie návštevnosti (žiadne sledovanie naprieč stránkami)
2. Údaje sa nezdieľajú s tretími stranami
3. Cookies sú výlučne first-party
4. Údaje sa používajú len na tvorbu anonymných štatistík
5. Cookies majú obmedzenú životnosť (maximálne 13 mesiacov)
6. Používatelia sú informovaní o ich používaní
7. Používatelia môžu odmietnuť

Za týchto podmienok CNIL považuje niektoré nástroje (napríklad Matomo nakonfigurované v režime rešpektujúcom súkromie) za spôsobilé na výnimku. Google Analytics nespĺňa podmienky, predovšetkým preto, že Google spracúva údaje na vlastnej infraštruktúre a môže ich používať na vlastné účely.

Stanovisko holandského AP (Holandsko)

Holandský Autoriteit Persoonsgegevens podobne naznačil, že analytické cookies s minimálnym vplyvom na súkromie možno používať bez súhlasu, ale stanovil podmienky porovnateľné s podmienkami CNIL.

Ostatné jurisdikcie

Väčšina ostatných európskych dozorných orgánov výslovnú výnimku pre analytiku neprijala. ICO (Spojené kráľovstvo) uviedol, že analytické cookies vyžadujú súhlas. Nemecké dozorné orgány spravidla vyžadujú súhlas pre všetky cookies, ktoré nie sú nevyhnutné. Stanovisko španielskej AEPD sa prikláňa k vyžadovaniu súhlasu.

Praktické odporúčanie

Pokiaľ nepôsobíte výlučne vo Francúzsku alebo Holandsku a nedokážete splniť všetky podmienky CNIL/AP, najbezpečnejším prístupom je považovať analytické cookies za také, ktoré vyžadujú súhlas. Ak sa na výnimku pre analytiku spoliehate, zdokumentujte svoje odôvodnenie, uistite sa, že spĺňate každú podmienku, a sledujte vývoj v regulácii — táto oblasť sa stále vyvíja.

Výnimky zo súhlasu podľa účelu cookie: rozhodovací diagram

Pri každej cookie na vašej stránke si prejdite tieto otázky:

1. Je cookie technicky potrebná na uskutočnenie prenosu komunikácie? (napr. vyvažovanie záťaže) Ak áno: súhlas nie je potrebný. Ak nie: pokračujte.
2. Vyžiadal si používateľ výslovne službu, ktorá túto cookie vyžaduje? (napr. prihlásenie, pridanie položiek do košíka) Ak áno: pokračujte. Ak nie: súhlas je potrebný.
3. Nefungovala by požadovaná služba bez tejto konkrétnej cookie? Ak áno: súhlas nie je potrebný (nevyhnutne potrebná). Ak by služba fungovala, ale bola menej pohodlná: súhlas je potrebný.
4. Je cookie first-party, obmedzená na agregovanú analytiku, s údajmi nezdieľanými s tretími stranami, a nachádzate sa v jurisdikcii s výnimkou pre analytiku? Ak áno na všetko: potenciálne oslobodená, ale zdokumentujte svoje odôvodnenie. Ak nie na čokoľvek: súhlas je potrebný.
5. Vo všetkých ostatných prípadoch: súhlas je potrebný.

Osobitné situácie

Cookie steny

Cookie stena blokuje prístup na webovú stránku, pokiaľ používateľ neprijme cookies. Stanovisko EDPB je, že cookie steny vo všeobecnosti bránia tomu, aby bol súhlas udelený „slobodne“, a preto nie sú v súlade. Niektoré dozorné orgány (najmä holandský AP na základe súdneho rozhodnutia) však naznačili, že cookie steny môžu byť prijateľné, ak je ponúknutá skutočná, rovnocenná alternatíva — napríklad platená verzia služby bez cookies. Táto oblasť zostáva sporná.

Platobná stena vs. cookie stena

Niektorí vydavatelia ponúkajú model „súhlas alebo platba“: prijmite sledovacie cookies pre bezplatný prístup, alebo zaplaťte za zážitok bez cookies. EDPB vydal v roku 2024 stanovisko, ktoré sa touto praxou zaoberá a uznáva, že za určitých podmienok môže byť prípustná, no vyjadruje obavy, že alternatíva „platby“ musí byť skutočne primeraná a nesmie byť nastavená na cenu určenú na vynútenie súhlasu.

Deti

Podľa článku 8 GDPR si súhlas so službami informačnej spoločnosti určenými deťom vyžaduje overenie a v prípade detí pod určitým vekom (od 13 do 16 rokov v závislosti od členského štátu) súhlas rodičov. Ak vaša webová stránka cieli na deti, požiadavky na súhlas s cookies sú prísnejšie.

Kontext zamestnancov a B2B

Smernica ePrivacy sa vzťahuje na „účastníka alebo používateľa“ — nielen na spotrebiteľov. Ak vaša B2B SaaS platforma používa cookies, ktoré nie sú nevyhnutné, súhlas jednotlivého používateľa je stále potrebný, a to aj v obchodnom kontexte.

Čo sa stane bez platného súhlasu

Ak umiestnite cookies, ktoré nie sú nevyhnutné, bez platného súhlasu:

• Údaje, ktoré zhromažďujete, môžu byť nezákonné podľa smernice ePrivacy aj podľa GDPR.
• Hrozia vám potenciálne pokuty podľa GDPR až do výšky 20 miliónov EUR alebo 4 % celosvetového ročného obratu, podľa toho, ktorá suma je vyššia (článok 83 ods. 5).
• Môže vám byť nariadené vymazať nezákonne zhromaždené údaje.
• Vaše analytické a reklamné údaje môžu byť znehodnotené — ak je právny základ pre zber neplatný, údaje nemožno zákonne použiť.
• Následní príjemcovia týchto údajov (reklamné siete, poskytovatelia analytiky) môžu tiež niesť zodpovednosť.

Nejde o hypotetické riziká. CNIL uložil pokutu spoločnosti Google vo výške 150 miliónov EUR a spoločnosti Facebook 60 miliónov EUR konkrétne za porušenia v oblasti súhlasu s cookies. Menšie podniky čelili pokutám v desiatkach tisíc eur za podobné pochybenia.

Passiro identifikuje každú cookie na vašej webovej stránke a označí tie, ktoré vyžadujú súhlas, takže si môžete byť istí, že váš mechanizmus súhlasu pokrýva správne cookies — nie viac, nie menej.

Ďalej porovnajme dva základné modely súhlasu: opt-in verzus opt-out a ktorý z nich platí kde.