Kontrolný zoznam pre súlad s pravidlami o cookies: 25 bodov k úplnému súladu

Súlad s pravidlami o cookies zahŕňa technickú implementáciu, právnu dokumentáciu aj priebežné prevádzkové procesy. Ak čo i len jeden prvok chýba, výsledkom môže byť nesúlad – aj keď je všetko ostatné v poriadku. Tento prehľadný 25-bodový kontrolný zoznam pokrýva každý aspekt súladu s pravidlami o cookies podľa GDPR, ePrivacy Directive a hlavných medzinárodných zákonov o ochrane súkromia. Používajte ho ako sprievodcu implementáciou aj ako nástroj na pravidelné audity.

Inventár cookies

Nemôžete riadiť to, čo ste nezmerali. Úplný a presný inventár cookies je základom každej ďalšej aktivity zameranej na súlad.

1. Všetky cookies identifikované a zdokumentované

   Každá cookie, ktorú vaša webová stránka nastaví, musí byť identifikovaná – vrátane cookies nastavených skriptmi tretích strán, vloženým obsahom a dynamicky načítanými zdrojmi. Použite automatizované skenovanie, aby ste zabezpečili úplné pokrytie všetkých stránok, nielen domovskej stránky. Váš inventár by mal zahŕňať HTTP cookies, položky localStorage, položky sessionStorage a akékoľvek iné mechanizmy úložiska na strane klienta používané na sledovanie.

2. Každá cookie správne zaradená do kategórie

   Každá cookie musí byť priradená k správnej kategórii z hľadiska súladu: nevyhnutne potrebné, funkčné, analytické/výkonnostné alebo marketingové/reklamné. Zaradenie musí byť poctivé — cookie, ktorá sleduje používateľov na reklamné účely, nemôže byť zaradená ako „funkčná“ len preto, že poskytuje aj určitú funkčnú výhodu. V prípade pochybností použite prísnejšiu kategóriu. Dozorné úrady kategorizáciu pozorne skúmajú a nesprávne zaradenie patrí medzi najčastejšie zistenia pri vymáhacích konaniach.

3. Cookies tretích strán identifikované vrátane poskytovateľov

   Pri každej cookie tretej strany na vašej stránke zdokumentujte, ktorá služba ju nastavuje, prečo sa nachádza na vašej stránke a aké údaje zhromažďuje alebo zdieľa. Medzi bežné zdroje cookies tretích strán patria analytické platformy (Google Analytics, Adobe Analytics), reklamné siete (Google Ads, Meta Pixel, LinkedIn Insight Tag), widgety sociálnych sietí, vloženia videí (YouTube, Vimeo), chatovacie nástroje (Intercom, Drift) a platformy na A/B testovanie (Optimizely, VWO). S každým poskytovateľom tretej strany by mala byť uzavretá zmluva o spracúvaní údajov.

4. Doba platnosti cookies zdokumentovaná

   Zaznamenajte dobu platnosti každej cookie. Relačné cookies vypršia po zatvorení prehliadača. Trvalé cookies majú definovanú životnosť, ktorú je potrebné zdokumentovať (napr. 30 dní, 1 rok, 2 roky). Podľa zásad minimalizácie údajov a obmedzenia uchovávania podľa GDPR by doba platnosti cookies mala byť primeraná ich účelu. Analytickú cookie, ktorá pretrváva 10 rokov, by bolo ťažké odôvodniť. CNIL odporúča maximálne 13 mesiacov pre analytické cookies.

5. Účely cookies zdokumentované zrozumiteľným jazykom

   Účel každej cookie musí byť opísaný jazykom, ktorému bežný návštevník stránky rozumie. „Táto cookie ukladá jedinečný identifikátor na sledovanie vašej aktivity pri prehliadaní našej stránky na účely webovej analytiky“ je zrozumiteľné. „_ga: Používané službou Google Analytics na rozlišovanie používateľov“ pre väčšinu používateľov nestačí. Opis účelu by mal odpovedať na otázku: „Čo táto cookie robí a prečo by som ju mal(a) povoliť?“

Mechanizmus súhlasu

Mechanizmus súhlasu je miestom, kde sa právne požiadavky stretávajú s technickou implementáciou. Jeho správne nastavenie je najkritickejším — a najčastejšie zlyhávajúcim — aspektom súladu s pravidlami o cookies.

6. Súhlas získaný PRED nastavením nepodstatných cookies

   Toto je najdôležitejšia technická požiadavka. Žiadne analytické, reklamné ani iné nepodstatné cookies sa nesmú nastaviť, kým používateľ neudelí výslovný súhlas. To znamená, že skripty tretích strán musia byť zablokované pred načítaním, kým sa nezíska súhlas. Jednoduché odstránenie cookies dodatočne nie je v súlade s predpismi — ePrivacy Directive vyžaduje súhlas pred uložením, nie spätné odstránenie. Otestujte to tak, že navštívite svoju stránku v anonymnom okne a skontrolujete, ktoré cookies sa nastavia ešte pred interakciou s bannerom.

7. Skripty zablokované, kým nie je udelený súhlas

   Blokovanie cookies nestačí — musí sa zabrániť aj vykonaniu skriptov, ktoré ich nastavujú. Skript, ktorý sa načíta a vykoná, ale nemôže zapísať cookie, môže napriek tomu zhromažďovať a prenášať údaje (prostredníctvom pixelov, beaconov alebo API volaní). Vaša správa súhlasov musí zabrániť samotnému načítaniu skriptu, kým sa neprijme príslušná kategória súhlasu. Medzi bežné prístupy k implementácii patrí zmena atribútu type skriptových značiek (napr. z text/javascript na text/plain) a dynamické vkladanie skriptov po udelení súhlasu.

8. Tlačidlá Prijať a Odmietnuť rovnako výrazné

   Možnosť odmietnuť nepodstatné cookies musí byť prezentovaná rovnako výrazne ako možnosť prijať ich. To znamená rovnaké vizuálne spracovanie: rovnakú veľkosť, rovnakú farebnú váhu, rovnakú vrstvu rozhrania. Veľké zelené tlačidlo „Prijať všetko“ vedľa malého sivého odkazu „Spravovať nastavenia“ nepredstavuje rovnakú výraznosť. CNIL, Garante a viacero ďalších dozorných úradov udelili pokuty práve za tento problém. Obe možnosti by mali byť na prvej vrstve cookie bannera bez potreby ďalších kliknutí.

9. Dostupný granulárny súhlas na úrovni kategórií

   Používatelia musia mať možnosť súhlasiť s konkrétnymi kategóriami cookies nezávisle. Prijatie analytických cookies by nemalo vyžadovať aj prijatie reklamných cookies. Poskytnite aspoň samostatné prepínače pre: nevyhnutne potrebné (vždy zapnuté, neprepínateľné), funkčné, analytické/výkonnostné a marketingové/reklamné. Ak používate cookies na viacero rôznych účelov v rámci jednej kategórie, zvážte poskytnutie ešte podrobnejších možností.

10. Žiadne vopred zaškrtnuté políčka

    Keď používateľ otvorí podrobné nastavenia cookies, všetky voliteľné kategórie musia byť predvolene nezaškrtnuté. Vopred povolené môžu byť len nevyhnutne potrebné cookies (ktoré nevyžadujú súhlas). Súdny dvor EÚ v rozsudku Planet49 (vec C-673/17) potvrdil, že vopred zaškrtnuté políčka nepredstavujú platný súhlas. Platí to bez ohľadu na to, či ich používateľ môže odškrtnúť — predvolený stav musí byť opt-out, čo vyžaduje aktívny úkon na vyjadrenie súhlasu.

11. Odvolanie súhlasu rovnako jednoduché ako jeho udelenie

    Článok 7 ods. 3 GDPR vyžaduje, aby odvolanie súhlasu bolo rovnako jednoduché ako jeho udelenie. Ak môže používateľ prijať cookies jediným kliknutím na banneri, musí mať možnosť odvolať súhlas s porovnateľnou ľahkosťou. Osvedčeným postupom je trvalý, vždy viditeľný odkaz alebo ikona (napr. v pätičke alebo ako plávajúce tlačidlo), ktoré otvoria centrum nastavení cookies, kde môže používateľ upraviť alebo zrušiť svoje voľby. Požadovať od používateľa, aby vymazal cookies v prehliadači, prešiel na skrytú stránku nastavení alebo kontaktoval podporu, tejto norme nezodpovedá.

12. Záznamy o súhlase uchovávané s časovými pečiatkami

    Musíte byť schopní preukázať, že súhlas bol udelený. Uchovávajte záznam o každom úkone udelenia súhlasu vrátane: časovej pečiatky, uskutočnených volieb súhlasu (ktoré kategórie boli prijaté/odmietnuté), verzie cookie bannera a zásad platných v danom čase a jedinečného identifikátora súhlasu (pri anonymných návštevníkoch nie nevyhnutne prepojeného s používateľským účtom). Podľa zásady zodpovednosti podľa GDPR nesie dôkazné bremeno za súhlas prevádzkovateľ. Ak nedokážete predložiť dôkaz, že konkrétny používateľ udelil súhlas, jeho súhlas je fakticky nepreukázaný.

Zásady používania cookies

Vaše zásady používania cookies sú zároveň právnym dokumentom aj nástrojom transparentnosti. Musia byť presné, úplné a zrozumiteľné.

13. Zásady používania cookies existujú a sú dostupné

    Musia existovať samostatné zásady používania cookies (alebo jasná časť o cookies v rámci vašich zásad ochrany osobných údajov) a musia byť ľahko dohľadateľné. Osvedčeným postupom je samostatná stránka prepojená z pätičky webu, z cookie bannera a z hlavných zásad ochrany osobných údajov. Zásady musia byť dostupné bez prijatia cookies — používatelia by ich mali môcť prečítať pred rozhodnutím o súhlase.

14. Všetky cookies uvedené s názvami, účelmi, typmi a dobami platnosti

    Vaše zásady používania cookies musia obsahovať tabuľku alebo štruktúrovaný zoznam každej cookie, ktorú vaša stránka nastaví, vrátane: názvu cookie, kto ju nastavuje (prvá strana alebo poskytovateľ tretej strany), čo robí (zrozumiteľným jazykom), či ide o relačnú alebo trvalú cookie a ako dlho trvá. Toto nie je voliteľné — ide o výslovnú požiadavku podľa ustanovení o transparentnosti GDPR (články 12 – 14) a požiadavky na informovaný súhlas podľa ePrivacy Directive.

15. Poskytovatelia tretích strán identifikovaní

    Vaše zásady musia menovať služby tretích strán, ktoré nastavujú cookies na vašej stránke. „Používame analytické cookies tretích strán“ nestačí. „Používame Google Analytics (od Google LLC), ktorý nastavuje nasledujúce cookies: _ga, _gid, _gat“ áno. Používatelia majú právo vedieť, kto o nich zhromažďuje údaje, a prijímať informované rozhodnutia o každom poskytovateľovi.

16. Zahrnuté pokyny na správu cookies

    Vaše zásady by mali vysvetľovať, ako môžu používatelia spravovať svoje nastavenia cookies, vrátane: ako sa dostať do centra nastavení cookies a zmeniť voľby súhlasu, ako odstrániť existujúce cookies prostredníctvom nastavení prehliadača a odkazov na zásady ochrany osobných údajov hlavných poskytovateľov cookies tretích strán. Hoci správa cookies na úrovni prehliadača je zodpovednosťou používateľa, poskytnutie jasných pokynov preukazuje dobrú vieru a podporuje zásadu posilnenia postavenia používateľa.

17. Zásady datované a pravidelne aktualizované

    Vaše zásady používania cookies musia obsahovať dátum poslednej aktualizácie. Vždy, keď pridáte nové cookies, odstránite cookies, zmeníte poskytovateľov tretích strán alebo upravíte účely cookies, musíte zásady aktualizovať, aby odrážali túto zmenu. Nedatované zásady alebo zásady, ktoré neboli aktualizované viac ako rok, sú pre dozorné úrady varovným signálom. Osvedčený postup: integrujte výsledky skenovania cookies so svojimi zásadami, aby sa zásady automaticky aktualizovali pri zistení nových cookies.

Cookie banner

Cookie banner je viditeľným rozhraním vašej správy súhlasov. Musí vyvážiť právny súlad s použiteľnosťou.

18. Banner sa zobrazí pri prvej návšteve pred nastavením cookies

    Cookie banner sa musí zobraziť pri prvej návšteve vašej webovej stránky používateľom, ešte pred nastavením akýchkoľvek nepodstatných cookies. Banner by mal byť okamžite viditeľný bez potreby posúvania, nemal by sa dať ľahko zavrieť náhodným kliknutím a mal by pretrvávať, kým používateľ neuskutoční aktívnu voľbu. Banner nesmie brániť používateľovi v možnosti odísť zo stránky alebo pristupovať k základnému obsahu (hoci obmedzenie prístupu k obsahu za požiadavkou súhlasu môže byť v niektorých jurisdikciách prípustné, bezpečnejším prístupom je umožniť navigáciu počas zobrazenia bannera).

19. Banner je prístupný (ovládateľný klávesnicou, kompatibilný s čítačkami obrazovky)

    Samotný cookie banner musí byť prístupný. To znamená: všetky interaktívne prvky (tlačidlá, prepínače, odkazy) musia byť dosiahnuteľné a ovládateľné pomocou klávesnice; banner musí byť správne oznámený čítačkám obrazovky s vhodnými ARIA atribútmi; zameranie musí byť správne riadené (zameranie by sa malo presunúť na banner pri jeho zobrazení a vrátiť sa na stránku po jeho zatvorení); farebný kontrast musí spĺňať normy WCAG 2.1 AA (4,5:1 pre bežný text, 3:1 pre veľký text); a banner musí byť použiteľný pri rôznych úrovniach priblíženia a veľkostiach obrazovky. Neprístupný cookie banner je právnym rizikom (nesplnenie súladu s WCAG) aj reputačným rizikom pre akúkoľvek organizáciu, ktorá tvrdí, že jej záleží na súkromí a inklúzii.

20. Banner odkazuje na úplné zásady používania cookies

    Cookie banner musí obsahovať odkaz na vaše úplné zásady používania cookies, aby si používatelia mohli prečítať podrobné informácie o každej cookie pred rozhodnutím o súhlase. Odkaz by mal byť jasne viditeľný a označený (napr. „Prečítajte si naše zásady používania cookies“ alebo „Zistiť viac“). GDPR vyžaduje, aby bol súhlas „informovaný“, čo znamená, že informácie potrebné na prijatie informovaného rozhodnutia musia byť dostupné v momente udelenia súhlasu.

21. Banner nepoužíva klamlivé vzory (dark patterns)

    Klamlivé vzory v cookie banneroch podkopávajú platnosť súhlasu. Vyhýbajte sa: vizuálnemu zvýrazneniu tlačidla prijatia (väčšie, jasnejšie, výraznejšie) pri súčasnom zjemnení alebo skrytí možnosti odmietnutia; používaniu mätúceho jazyka („Prijať odporúčané nastavenia“ namiesto jasných možností); vyžadovaniu viacerých kliknutí na odmietnutie ako na prijatie; používaniu farebného kódovania, ktoré naznačuje, že odmietnutie je nesprávne (červená pre odmietnutie, zelená pre prijatie); používaniu „zahanbujúceho“ jazyka („Nie, na mojom zážitku mi nezáleží“); a akémukoľvek inému dizajnu, ktorý používateľov nabáda, manipuluje alebo klame smerom k prijatiu. Usmernenia EDPB o klamlivých vzoroch (prijaté vo februári 2023) poskytujú podrobné príklady zakázaných postupov.

Technické aspekty a priebežná údržba

Súlad s pravidlami o cookies nie je projektom s dátumom dokončenia. Je to nepretržitý prevádzkový proces.

22. Implementovaný Google Consent Mode v2 (ak používate služby Google)

    Ak používate akékoľvek služby Google (Analytics, Ads, Tag Manager), Google Consent Mode v2 je od marca 2024 povinný pre zobrazovanie reklám v EHP. Consent Mode oznamuje voľby súhlasu vašich používateľov s cookies značkám Google a prispôsobuje ich správanie na základe stavu súhlasu. Bez Consent Mode nemusia značky Google správne fungovať s vašou platformou na správu súhlasov, čo vedie buď k strate údajov (značky sú úplne zablokované), alebo k porušeniam súladu (značky sa spúšťajú bez súhlasu). Implementujte parametre súhlasu ad_storage aj analytics_storage a zabezpečte, aby boli predvolene nastavené na „denied“, kým nebude udelený súhlas.

23. Naplánované pravidelné skenovanie cookies

    Nastavte automatizované skenovanie cookies podľa opakujúceho sa harmonogramu. Skenujte minimálne mesačne. Ideálne integrujte skenovanie do svojho nasadzovacieho procesu, aby sa každé vydanie skenovalo automaticky. Nakonfigurujte upozornenia na nové alebo zmenené cookies, aby ich váš tím mohol pohotovo vyhodnotiť a zaradiť do kategórií. Skenovanie, ktoré prebieha, ale nikdy sa nekontroluje, neprináša žiadny prínos pre súlad.

24. Proces posudzovania nových skriptov tretích strán

    Zaveďte formálny proces, ktorý sa musí dodržať pred pridaním akéhokoľvek nového skriptu, pluginu alebo služby tretej strany na vašu webovú stránku. Proces by mal zahŕňať: identifikáciu, aké cookies skript nastavuje, zaradenie týchto cookies do kategórií, aktualizáciu konfigurácie správy súhlasov tak, aby ich zahŕňala, aktualizáciu zásad používania cookies a overenie, že skript je správne zablokovaný, kým nie je udelený príslušný súhlas. Tento proces by mal zahŕňať technické (vývojové) aj právne (právne/ochrana súkromia) posúdenie. Najčastejšou príčinou zlyhaní v súlade s pravidlami o cookies je pridávanie nových skriptov na webovú stránku bez toho, aby prešli posúdením ochrany súkromia.

25. Zamestnanci vyškolení v oblasti súladu s pravidlami o cookies

    Každý, kto sa podieľa na vašej webovej stránke — vývojári, marketéri, tvorcovia obsahu a manažéri — by mal rozumieť základom súladu s pravidlami o cookies a svojej úlohe pri jeho udržiavaní. Vývojári musia vedieť, ako pridávať skripty spôsobom zohľadňujúcim súhlas. Marketéri musia chápať, že pridanie nového sledovacieho pixela si vyžaduje posúdenie súladu. Tvorcovia obsahu musia vedieť, že vloženie videa z YouTube zavádza cookies tretích strán. Školenie nemusí byť rozsiahle, ale musí pokrývať kľúčovú zásadu: žiadne nové sledovanie bez posúdenia. Jediný nevyškolený člen tímu, ktorý pridá marketingový skript bez toho, aby prešiel procesom posúdenia, môže zmariť mesiace práce na zabezpečení súladu.

Používanie tohto kontrolného zoznamu

Tento kontrolný zoznam je navrhnutý na použitie tromi spôsobmi:

• Prvotná implementácia: Pri prvom nastavovaní súladu s pravidlami o cookies prejdite postupne všetkými 25 bodmi. Nepreskakujte body ani ich neodkladajte na neskôr — čiastočný súlad je stále nesúlad.
• Pravidelný audit: Preverte kontrolný zoznam štvrťročne, aby ste overili, že všetky body zostávajú splnené. Venujte osobitnú pozornosť priebežným položkám (body 22 – 25), keďže tie sa najpravdepodobnejšie časom rozladia.
• Po zmenách: Vždy, keď vaša webová stránka prejde významnou zmenou (nové funkcie, nové služby tretích strán, redizajn, migrácia CMS), prejdite príslušné časti kontrolného zoznamu, aby ste overili zachovanie súladu.

Súlad s pravidlami o cookies je dosiahnuteľný. Vyžaduje pozornosť a proces, ale žiadna z jednotlivých požiadaviek nie je neprimerane náročná. Organizácie, ktoré s tým zápasia, sú zvyčajne tie, ktoré k súladu pristupujú ako k jednorazovému projektu, a nie ako k priebežnej prevádzkovej záležitosti. Zabudujte ho do svojho pracovného postupu, priraďte jasnú zodpovednosť a používajte tento kontrolný zoznam ako svoj opakujúci sa nástroj na overovanie.