Kategórie súborov cookie: Ako klasifikovať cookies pre súhlas

Súhlas so súbormi cookie nie je rozhodnutie typu všetko alebo nič. Predpisy o ochrane súkromia vyžadujú, aby používatelia mohli robiť podrobné rozhodnutia o tom, ktoré typy cookies akceptujú. Aby to bolo možné, súbory cookie sa organizujú do kategórií — skupín podľa ich účelu, pričom každá má vlastné požiadavky na súhlas.

Správna kategorizácia je kľúčová. Nesprávne klasifikovanie marketingového cookie ako „nevyhnutne potrebného“ nie je len technická chyba — je to porušenie predpisov, ktoré regulátori aktívne vyhľadávajú a sankcionujú.

Prečo na kategorizácii záleží

GDPR vyžaduje, aby bol súhlas „konkrétny“ (článok 4 ods. 11). Pracovná skupina podľa článku 29 (teraz EDPB) objasnila, že to znamená, že súhlas musí byť udelený samostatne pre každý odlišný účel. Zoskupenie všetkých cookies do jediného „prijať všetko“ bez ponuky voľby podľa kategórie tento štandard nespĺňa.

V praxi to znamená, že váš mechanizmus súhlasu so súbormi cookie musí prezentovať cookies zoskupené podľa účelu a umožniť používateľom prijať alebo odmietnuť každú kategóriu nezávisle. Štandard, ktorý sa v odvetví ustálil — a ktorý regulátori očakávajú — používa štyri kategórie.

Štyri štandardné kategórie súborov cookie

1. Nevyhnutne potrebné súbory cookie

Tieto cookies sú nevyhnutné pre základné fungovanie webovej stránky. Bez nich nie je možné poskytnúť službu, ktorú si používateľ výslovne vyžiadal.

Vyžaduje sa súhlas: Nie. Nevyhnutne potrebné súbory cookie sú oslobodené od požiadavky na súhlas podľa článku 5 ods. 3 smernice ePrivacy, ktorý uvádza, že súhlas sa nevyžaduje pri cookies, ktoré sú „nevyhnutne potrebné na to, aby poskytovateľ služby informačnej spoločnosti, ktorú si účastník alebo používateľ výslovne vyžiadal, mohol túto službu poskytnúť“.

Príklady nevyhnutne potrebných súborov cookie:

• Súbory cookie relácie, ktoré udržiavajú stav prihlásenia
• Súbory cookie nákupného košíka na e-commerce stránke
• Tokeny na ochranu proti CSRF (cross-site request forgery)
• Súbory cookie na vyrovnávanie záťaže, ktoré rozdeľujú prevádzku medzi servermi
• Súbory cookie s preferenciami súhlasu (cookie, ktoré si pamätá vašu voľbu súhlasu)
• Bezpečnostné cookies, ktoré zisťujú zneužitie autentifikácie

Čo NIE je nevyhnutne potrebné:

• Analytické cookies — dokonca aj tie od prvej strany. Meranie prevádzky je užitočné pre prevádzkovateľa stránky, ale nie je nevyhnutné na poskytnutie služby, ktorú si používateľ vyžiadal.
• Pluginy sociálnych médií — tlačidlá zdieľania a vložené kanály slúžia záujmom vlastníka stránky, nie funkcii, ktorú si používateľ výslovne vyžiadal.
• Reklamné cookies — z definície slúžia účelu presahujúcemu službu, ku ktorej používateľ pristupuje.
• Cookies A/B testovania — slúžia optimalizačným cieľom prevádzkovateľa stránky, nie výslovnej požiadavke používateľa.

Kľúčovým testom je perspektíva: nevyhnutné pre koho? Ak cookie slúži záujmom prevádzkovateľa stránky namiesto funkcie, ktorú si používateľ výslovne vyžiadal, nie je nevyhnutne potrebné — bez ohľadu na to, aké dôležité môže byť pre podnikanie.

2. Analytické / štatistické súbory cookie

Tieto cookies zhromažďujú informácie o tom, ako návštevníci používajú webovú stránku: ktoré stránky navštevujú, ako dlho zostávajú, odkiaľ prichádzajú a kde odchádzajú. Údaje sa zvyčajne agregujú a používajú na zlepšenie webovej stránky.

Vyžaduje sa súhlas: Áno, vo väčšine jurisdikcií. Niektoré úrady na ochranu údajov (najmä francúzsky CNIL a holandský AP) však naznačili, že určité analytické nástroje prvej strany môžu spĺňať podmienky obmedzenej výnimky, pokiaľ sú splnené konkrétne podmienky (pozri našu časť o tom, kedy sa vyžaduje súhlas).

Bežné analytické súbory cookie:

Všimnite si, že cookies Google Analytics majú povahu tretej strany, aj keď sa môžu javiť ako cookies prvej strany — pretože Google spracúva údaje na vlastných serveroch a môže ich použiť na vlastné účely. Toto rozlíšenie zohralo významnú úlohu vo viacerých európskych sankčných konaniach.

3. Marketingové / reklamné súbory cookie

Tieto cookies sledujú návštevníkov naprieč webovými stránkami s cieľom vytvoriť profil ich správania pri prehliadaní. Tento profil sa používa na doručovanie cielenej reklamy, meranie účinnosti reklamných kampaní a obmedzenie počtu zobrazení konkrétnej reklamy používateľovi.

Vyžaduje sa súhlas: Vždy. Neexistuje žiadna výnimka pre reklamné cookies podľa žiadneho výkladu smernice ePrivacy ani GDPR.

Bežné marketingové súbory cookie:

Marketingové cookies sú takmer vždy od tretej strany. Predstavujú najvyššie riziko pre súkromie a sú najprísnejšie regulovanou kategóriou. Akýkoľvek mechanizmus súhlasu, ktorý uľahčuje prijatie marketingových cookies oproti ich odmietnutiu, riskuje zásah regulátora.

4. Preferenčné / funkčné súbory cookie

Tieto cookies umožňujú rozšírenú funkčnosť a personalizáciu, ktorá presahuje rámec nevyhnutne potrebného. Pamätajú si voľby, ktoré používateľ urobil, ale nie sú potrebné pre fungovanie základnej služby.

Vyžaduje sa súhlas: Áno, hoci úroveň rizika je nižšia ako pri analytických alebo marketingových cookies. Niektorí regulátori pristupujú k preferenčným cookies zhovievavejšie, ale právne stanovisko je, že súhlas sa naďalej vyžaduje.

Príklady:

• Preferencia jazyka (keď stránka funguje aj bez nej a len sa nastaví predvolený iný jazyk)
• Výber regiónu alebo meny
• Predvyplnenie používateľského mena v prihlasovacích formulároch
• Preferencie prehrávača videa (hlasitosť, kvalita)
• Stav chatovacieho widgetu (otvorený/zatvorený, história konverzácie)
• Preferencie veľkosti písma alebo prístupnosti

Rozdiel medzi „nevyhnutne potrebnými“ a „preferenčnými“ cookies môže byť jemný. Jazykové cookie na jednojazyčnej stránke nemá zmysel. Jazykové cookie na viacjazyčnej stránke, ktorá sa bez neho nastaví na funkčný jazyk, je preferencia. Jazykové cookie na stránke, ktorá bez neho nemôže vôbec fungovať — pretože obsah sa bez výberu jazyka nenačíta — by sa dalo argumentovať ako nevyhnutne potrebné. Na kontexte záleží.

Ako správne kategorizovať vaše cookies

Pre každé cookie na vašej webovej stránke postupujte podľa tohto procesu:

1. Identifikujte cookie. Aký je jeho názov, kto ho nastavuje (prvá strana alebo tretia strana) a ako dlho trvá?
2. Určte jeho účel. Prečo toto cookie existuje? Čo sa stane, ak sa odstráni?
3. Aplikujte test nevyhnutnej potreby. Je toto cookie nevyhnutné pre funkciu, ktorú si používateľ výslovne vyžiadal? Ak sa používateľ chcel prihlásiť, cookie relácie je nevyhnutné. Ak chcete sledovať jeho správanie, to je vaša potreba, nie jeho.
4. Priraďte kategóriu. Ak nie je nevyhnutne potrebné, klasifikujte ho na základe jeho primárneho účelu: analytika, marketing alebo preferencie.
5. Zdokumentujte svoje odôvodnenie. Pri každom cookie zaznamenajte, prečo ste ho kategorizovali tak, ako ste to urobili. Táto dokumentácia je cenná, ak by sa vás niekedy spýtal regulátor.

Bežné chyby v kategorizácii

Na základe sankčných konaní regulátorov a zistení z auditov sú toto najčastejšie chyby:

• Klasifikovanie Google Analytics ako nevyhnutne potrebného. Toto je jedna najčastejšia chyba. GA je analytický nástroj. Nikdy nie je nevyhnutne potrebný na poskytnutie služby používateľovi. Viaceré úrady na ochranu údajov to výslovne poukázali.
• Zaraďovanie všetkých cookies tretích strán pod „funkčnosť“. Vložené videá YouTube, tlačidlá zdieľania na sociálnych sieťach a chatovacie widgety nie sú nevyhnutne potrebné a ich cookies zvyčajne slúžia analytickým alebo marketingovým účelom nad rámec viditeľnej funkčnosti.
• Ignorovanie cookies nastavených pluginmi a integráciami. WordPress stránka s 20 pluginmi môže nastaviť desiatky cookies, o ktorých prevádzkovateľ stránky ani nevie. Napriek tomu ste zodpovední za všetky.
• Považovanie marketingových cookies za analytické. Facebook Pixel a sledovanie konverzií Google Ads sú marketingové cookies, nie analytické — ich primárnym účelom je reklama, aj keď údaje používate analyticky.
• Nesprávna kategorizácia cookies A/B testovania. Nástroje ako Optimizely a VWO nastavujú cookies na zaradenie používateľov do testovacích skupín. Tie nie sú nevyhnutne potrebné a mali by byť kategorizované ako analytika alebo preferencie.

Automatizujte proces

Manuálne audity cookies sú časovo náročné a náchylné na chyby. Webové stránky sa neustále menia — nový plugin, aktualizovaný skript, marketingový tím pridávajúci sledovací pixel — a každá zmena môže priniesť nové cookies, ktoré je potrebné kategorizovať.

Passiro automaticky skenuje a kategorizuje všetky cookies na vašej webovej stránke, zisťuje nové cookies pri ich objavení a označuje potenciálne nesprávne kategorizácie. To zaisťuje, že váš mechanizmus súhlasu so súbormi cookie vždy odráža skutočné cookies, ktoré vaša stránka používa — nielen tie, o ktorých ste vedeli pri poslednej kontrole.

Teraz, keď rozumieme kategóriám, pozrime sa na to, čo súhlas so súbormi cookie právne skutočne znamená — požiadavky sú konkrétnejšie, než si väčšina ľudí uvedomuje.