Čo sú cookies?

Cookies sú malé textové súbory, ktoré webové stránky ukladajú vo vašom prehliadači. Keď navštívite webovú stránku, server môže spolu s obsahom stránky odoslať aj cookie. Váš prehliadač tento cookie uloží a pri každej ďalšej požiadavke ho posiela späť na server. Tento jednoduchý mechanizmus — uložiť hodnotu a poslať ju späť — je základom takmer každého personalizovaného webového zážitku.

Pochopiť, čo sú cookies, ako fungujú a na čo sa používajú, je nevyhnutným prvým krokom k súladu v oblasti cookies. Nemôžete regulovať to, čomu nerozumiete.

Ako cookies fungujú technicky

V jadre sú cookies dvojice kľúč – hodnota. Cookie má názov, hodnotu a súbor atribútov, ktoré riadia jeho správanie. Keď chce webový server nastaviť cookie, do svojej HTTP odpovede zahrnie hlavičku Set-Cookie:

Set-Cookie: session_id=abc123; Path=/; Expires=Thu, 16 Mar 2027 00:00:00 GMT; Secure; HttpOnly

Tým prehliadaču hovorí: „Ulož cookie s názvom session_id a hodnotou abc123. Posielaj ho s každou požiadavkou na akúkoľvek cestu na tejto doméne. Ponechaj ho do marca 2027. Posielaj ho iba cez HTTPS. A nedovoľ JavaScriptu pristupovať k nemu."

Pri každej ďalšej požiadavke na túto doménu prehliadač automaticky zahrnie cookie do hlavičky Cookie:

Cookie: session_id=abc123

Server túto hodnotu prečíta a vie, od koho požiadavka prichádza. To je celý mechanizmus. Cookies nie sú programy. Nedokážu spúšťať kód, pristupovať k vášmu súborovému systému ani nič inštalovať. Sú to pasívne dáta — textové reťazce, ktoré putujú tam a späť medzi prehliadačom a serverom.

Na čo sa cookies používajú

Cookies slúžia na modernom webe na štyri hlavné účely:

Autentifikácia a správa relácií

Keď sa prihlásite na webovú stránku, server vytvorí reláciu a uloží jedinečný identifikátor relácie do cookie. Bez tohto cookie by server nemal ako zistiť, že vaša ďalšia požiadavka na stránku pochádza od toho istého prihláseného používateľa. Každé načítanie stránky by pôsobilo ako prvá návšteva. Nákupné košíky, používateľské účty, administrátorské rozhrania — nič z toho nefunguje bez cookies relácií.

Používateľské preferencie

Cookies si pamätajú vaše voľby. Jazykové preferencie, nastavenia motívu (tmavý vs. svetlý režim), výber meny, samotné voľby súhlasu s cookies — to všetko sa zvyčajne ukladá do cookies. Keď sa vrátite na stránku a ona už vie, že preferujete nemčinu, táto informácia je uložená v cookie.

Analytika a výkon

Služby ako Google Analytics, Matomo a Plausible používajú cookies na rozlíšenie medzi jedinečnými a vracajúcimi sa návštevníkmi, na sledovanie, ktoré stránky sa v rámci jednej relácie zobrazili, a na meranie toho, ako sa návštevníci na stránke pohybujú. Analytické cookie zvyčajne neobsahuje priamo osobné údaje — obsahuje anonymný identifikátor ako _ga=GA1.2.123456789.1710000000.

Reklama a sledovanie

Tu sa cookies stávajú problémom pre súkromie. Reklamné siete používajú cookies na sledovanie používateľov naprieč viacerými webovými stránkami a vytvárajú profily správania pri prehliadaní, ktoré umožňujú cielenú reklamu. Keď navštívite spravodajskú stránku a neskôr vidíte reklamy na produkt, ktorý ste si prezerali na inej stránke, umožnili to cookies na sledovanie naprieč stránkami. Tieto cookies tretích strán sú hlavným terčom modernej regulácie súkromia.

Stručná história cookies

Cookies vynašiel v roku 1994 Lou Montulli, programátor v spoločnosti Netscape Communications. Pôvodný účel bol skromný: Netscape potreboval spôsob, ako implementovať nákupný košík pre klienta v oblasti e-commerce bez toho, aby ukladal obsah košíka každého používateľa na serveri. Montulli prevzal koncept „magic cookies" z unixového prostredia — malých tokenov odovzdávaných medzi programami na udržanie stavu.

Prvé cookies boli praktickým inžinierskym riešením. Ich potenciál na sledovanie sa však rozpoznal rýchlo. Do roku 1996 publikoval Financial Times prvý článok v mainstreamovom médiu, ktorý upozorňoval na obavy o súkromie v súvislosti s cookies. Do roku 2002 EÚ prijala smernicu ePrivacy, ktorá sa im špecificky venovala.

V priebehu nasledujúcich dvoch desaťročí sa cookies vyvinuli z jednoduchého nástroja na správu relácií na chrbtovú kosť odvetvia digitálnej reklamy — a na hlavný terč legislatívy v oblasti súkromia na celom svete.

Prečo sú cookies problémom pre súkromie

Problém s cookies v oblasti súkromia nie je o samotnej technológii. Cookie, ktorý si pamätá vašu jazykovú preferenciu, je neškodný. Obavy vyplývajú z troch konkrétnych spôsobov použitia:

1. Sledovanie naprieč stránkami. Cookies tretích strán umožňujú reklamným sieťam sledovať používateľov naprieč webom a vytvárať podrobné profily správania pri prehliadaní. Používateľ, ktorý navštívi stránku s lekárskymi informáciami, stránku politickej organizácie a zoznamovaciu stránku, odhalil citlivé informácie — a všetky sa dajú prepojiť prostredníctvom cookies.
2. Nedostatok transparentnosti. Väčšina používateľov netuší, koľko cookies sa nastaví, keď navštívia bežnú webovú stránku. Jedna spravodajská stránka môže nastaviť 50 – 100 cookies z desiatok rôznych domén. Používateľ vidí jednu webovú stránku; v zákulisí jeho návštevu sleduje desiatky spoločností.
3. Trvácnosť. Cookies môžu vydržať roky. Sledovací cookie nastavený v roku 2024 dokáže identifikovať toho istého používateľa aj v roku 2026. Táto schopnosť dlhodobého sledovania v kombinácii s dosahom naprieč stránkami vytvára infraštruktúru dohľadu, ktorá funguje bez vedomia alebo zmysluplného súhlasu väčšiny používateľov.

Práve preto smernica ePrivacy (článok 5 ods. 3) vyžaduje informovaný súhlas pred umiestnením nepodstatných cookies a preto GDPR (články 4 ods. 11 a 7) stanovuje prísne podmienky toho, ako má vyzerať platný súhlas.

Za hranicami cookies: ďalšie technológie sledovania

Moderná regulácia súkromia sa netýka iba cookies. Smernica ePrivacy hovorí o „ukladaní informácií alebo získavaní prístupu k informáciám, ktoré sú už uložené v koncovom zariadení účastníka alebo používateľa". Táto formulácia zámerne pokrýva akýkoľvek mechanizmus úložiska na strane klienta, vrátane:

• localStorage a sessionStorage — API webového úložiska, ktoré umožňujú webovým stránkam ukladať väčšie množstvá dát v prehliadači. Na rozdiel od cookies sa tieto dáta automaticky neposielajú na server, no stále sa dajú využiť na sledovanie a podľa rovnakých pravidiel vyžadujú súhlas.
• IndexedDB — výkonnejšia databáza na strane klienta. Platia rovnaké pravidlá súhlasu.
• Fingerprinting prehliadača — zhromažďovanie charakteristík zariadenia (rozlíšenie obrazovky, nainštalované fonty, doplnky prehliadača, časové pásmo) na vytvorenie jedinečného identifikátora bez toho, aby sa čokoľvek ukladalo na zariadenie. Hoci fingerprinting nepoužíva cookies, čoraz viac sa uznáva ako technológia sledovania, ktorá vyžaduje súhlas. Francúzsky CNIL a viaceré ďalšie dozorné úrady vydali usmernenia, ktoré to potvrdzujú.
• Sledovacie pixely — drobné neviditeľné obrázky načítané zo servera tretej strany. Samotná požiadavka odhalí IP adresu používateľa, jeho prehliadač a stránku, na ktorej sa nachádza. Sledovacie pixely často fungujú spolu s cookies, ale môžu fungovať aj samostatne.
• ETagy a sledovanie na základe vyrovnávacej pamäte — techniky, ktoré zneužívajú ukladanie do vyrovnávacej pamäte prehliadača na ukladanie a získavanie identifikátorov. Sú menej rozšírené, ale ukazujú, prečo sa regulácia zameriava na výsledok (sledovanie) a nie na konkrétnu technológiu.

Praktický záver: ak vaša webová stránka ukladá alebo pristupuje k informáciám na zariadení používateľa na nepodstatné účely, alebo ak využíva techniky na sledovanie používateľov naprieč reláciami, súhlas je takmer určite potrebný — bez ohľadu na to, či ide technicky o „cookie".

Skener cookies od Passiro deteguje všetky cookies a technológie sledovania na vašej webovej stránke, vrátane použitia localStorage, skriptov tretích strán a sledovacích pixelov — čím vám poskytne úplný obraz o tom, čo vaša stránka zhromažďuje.

Kľúčové poznatky

• Cookies sú malé textové súbory ukladané prehliadačom a posielané späť na server pri každej požiadavke.
• Slúžia na legitímne účely (autentifikácia, preferencie) aj na účely citlivé z hľadiska súkromia (analytika, reklama).
• Sledovacie cookies tretích strán sú hlavným predmetom záujmu regulácie súkromia.
• Ostatné technológie (localStorage, fingerprinting, pixely) podliehajú rovnakým požiadavkám na súhlas.
• Pochopiť, ktoré cookies vaša webová stránka používa, je prvým krokom k súladu.

Ďalej sa pozrime podrobne na rôzne typy cookies — pretože typ určuje požiadavky na súhlas.