Skenovanie a audit cookies: Vedzte, čo váš web nastavuje

Nemôžete dodržiavať predpisy o cookies, ak neviete, ktoré cookies váš web nastavuje. Znie to samozrejme, no práve toto je najčastejší dôvod zlyhania pri dodržiavaní pravidiel o cookies. Weby sa neustále vyvíjajú — inštalujú sa nové pluginy, pridávajú sa marketingové značky, aktualizujú sa skripty tretích strán — a každá zmena môže priniesť nové cookies. Audit cookies nie je jednorazová aktivita. Je to priebežný proces, ktorý musí držať krok s vývojom vášho webu.

Prečo na skenovaní cookies záleží

Každá povinnosť týkajúca sa dodržiavania pravidiel o cookies závisí od presného a úplného zoznamu vašich cookies. Bez neho:

• Váš banner o cookies je neúplný. Ak váš banner uvádza štyri kategórie cookies, no váš web v skutočnosti nastavuje cookies aj v piatej kategórii, používatelia nemôžu udeliť informovaný súhlas. Ich súhlas je podľa GDPR neplatný.
• Vaše zásady používania cookies sú nepresné. Úrady na ochranu osobných údajov očakávajú, že vaše zásady používania cookies uvedú každý cookie podľa názvu, účelu, typu a doby platnosti. Neúplné alebo zastarané zásady sú porušením súladu, ktoré úrady aktívne vyhľadávajú počas auditov.
• Váš mechanizmus súhlasu nemusí blokovať všetky cookies. Ak novo pridaný skript nastavuje cookies, ktoré nie sú zahrnuté vo vašej konfigurácii správy súhlasu, tieto cookies sa spustia bez súhlasu — čo je priame porušenie článku 5 ods. 3 smernice ePrivacy.
• Nemôžete reagovať na žiadosti používateľov. Podľa GDPR majú používatelia právo vedieť, aké údaje o nich zhromažďujete. Ak neviete, ktoré cookies váš web nastavuje, nemôžete poskytnúť presné odpovede na žiadosti dotknutých osôb o prístup k údajom.

Čo odhalí skenovanie cookies

Dôkladné skenovanie cookies identifikuje:

• Názvy cookies: Presný identifikátor každého cookie (napr. _ga, _fbp, JSESSIONID).
• Pôvod: Či ide o cookie prvej strany (nastavený vašou doménou) alebo tretej strany (nastavený externou doménou).
• Typ: Relačný cookie (zmazaný pri zatvorení prehliadača) alebo trvalý cookie (zostáva po stanovenú dobu).
• Doba platnosti: Ako dlho cookie pretrváva pred vypršaním (napr. 30 minút, 1 rok, 2 roky).
• Účel: Čo cookie robí — správa relácie, analytika, reklama, personalizácia alebo funkčné účely.
• Kategória: Kategória súladu, do ktorej cookie patrí — nevyhnutne potrebné, funkčné, analytické/výkonnostné alebo marketingové/reklamné.
• Poskytovateľ tretej strany: Ak cookie nastavuje tretia strana, ku ktorej službe patrí (Google Analytics, Facebook, HubSpot, Hotjar atď.).
• Zhromažďované údaje: Aké informácie cookie ukladá alebo umožňuje zhromažďovať.

Manuálne skenovanie cookies pomocou vývojárskych nástrojov prehliadača

Najzákladnejšia metóda skenovania cookies využíva vývojárske nástroje zabudované v každom modernom prehliadači. Hoci má manuálne skenovanie výrazné obmedzenia, je užitočné na kontrolu vzoriek a pochopenie fungovania cookies na vašom webe.

Krok za krokom: Manuálny audit cookies v prehliadači Chrome

1. Otvorte anonymné/súkromné okno. Tým zaistíte, že začnete s čistým štítom — bez existujúcich cookies z predchádzajúcich návštev.
2. Otvorte DevTools (stlačte F12 alebo kliknite pravým tlačidlom a vyberte „Preskúmať“).
3. Prejdite na kartu Application (v prehliadači Chrome) alebo kartu Storage (vo Firefoxe).
4. Rozbaľte sekciu „Cookies“ v ľavom bočnom paneli. Uvidíte zoznam domén.
5. Navštívte svoj web bez interakcie s bannerom o cookies. Všimnite si, ktoré cookies sa nastavia okamžite — to sú cookies nastavené pred súhlasom, ktoré by mali byť iba nevyhnutne potrebné.
6. Prijmite všetky cookies vo vašom banneri o cookies. Obnovte kartu Application/Storage a všimnite si nové cookies, ktoré sa objavia.
7. Prejdite kľúčovými stránkami vášho webu (domovská stránka, produktové stránky, pokladňa, kontaktný formulár, blog). Niektoré cookies sa nastavia iba na konkrétnych stránkach alebo po konkrétnych interakciách.
8. Zdokumentujte každý cookie: Pri každom nájdenom cookie zaznamenajte jeho názov, doménu, cestu, dátum vypršania, veľkosť a či je HTTP-only alebo zabezpečený.
9. Skontrolujte kartu Network na ďalšie sledovanie. Niektoré sledovacie technológie využívajú pixely, majáky alebo volania API namiesto tradičných cookies. Karta Network odhalí všetky odchádzajúce požiadavky na domény tretích strán.

Obmedzenia manuálneho skenovania

Manuálne skenovanie je cenné na učenie a kontrolu vzoriek, no na účely dodržiavania súladu má vážne obmedzenia:

• Neúplné pokrytie. Môžete skontrolovať iba stránky, ktoré navštívite manuálne. Veľký web so stovkami stránok môže na rôznych stránkach nastavovať rôzne cookies. Manuálne skenovanie ich prakticky nedokáže pokryť všetky.
• Žiadna kategorizácia. DevTools vám zobrazia surové údaje o cookies, no nekategorizujú ich podľa účelu ani kategórie súladu. Každý cookie musíte preskúmať individuálne.
• Len k danému okamihu. Manuálne skenovanie vám poskytne momentku. Nezistí nové cookies pridané po vašom audite.
• Žiadne overenie blokovania skriptov. Manuálne skenovanie nedokáže ľahko overiť, či vaša platforma na správu súhlasu správne blokuje skripty pred súhlasom.
• Časovo náročné. Pri webe už s 20 stránkami trvá manuálna kontrola každej stránky a dokumentácia každého cookie celé hodiny.

Automatizované skenovanie cookies

Nástroje na automatizované skenovanie cookies riešia obmedzenia manuálneho skenovania tým, že prechádzajú celý váš web, identifikujú všetky cookies a systematicky ich kategorizujú. Dobrý nástroj na automatizované skenovanie poskytuje:

• Komplexné prechádzanie: Skener navštívi každú stránku na vašom webe (alebo definovanú podmnožinu) vrátane stránok dostupných iba cez navigáciu alebo vyhľadávanie.
• Pred a po súhlase: Skener skontroluje, ktoré cookies sa nastavia pred udelením súhlasu, ktoré sa objavia po súhlase a či sú odmietnuté kategórie správne zablokované.
• Automatická kategorizácia: Známe cookies (napríklad _ga od Google Analytics alebo _fbp od Facebooku) sa automaticky kategorizujú na základe udržiavaných databáz účelov cookies.
• Identifikácia tretích strán: Všetky domény tretích strán nastavujúce cookies sú identifikované a zdokumentované.
• Naplánované skenovanie: Skenovania sa spúšťajú automaticky podľa harmonogramu (týždenne, po nasadeniach), aby zachytili nové cookies hneď, ako sa objavia.
• Detekcia zmien: Skener vás upozorní, keď sa objavia nové cookies alebo sa zmenia existujúce, aby ste mohli aktualizovať svoj mechanizmus súhlasu a zásady používania cookies.
• Správy o súlade: Výsledky sú formátované spôsobom, ktorý podporuje vašu dokumentáciu súladu.

Čo hľadať v nástroji na skenovanie cookies

Pri hodnotení riešení na automatizované skenovanie cookies zvážte:

1. Vykresľovanie JavaScriptu: Mnohé cookies nastavuje JavaScript, ktorý sa spustí po načítaní stránky. Skener musí spustiť JavaScript (pomocou skutočného jadra prehliadača), aby tieto cookies zistil. Jednoduché HTTP crawlery, ktoré nevykresľujú JavaScript, prehliadnu väčšinu cookies tretích strán.
2. Hĺbka prechádzania: Skener by mal sledovať interné odkazy a prechádzať celý váš web, nielen domovskú stránku. Cookies nastavené vloženými videami, formulármi, chatovacími widgetmi alebo platobnými procesormi na konkrétnych stránkach sa prehliadnu, ak sa skenuje iba domovská stránka.
3. Simulácia prvej návštevy: Skener by mal simulovať návštevníka, ktorý prišiel prvýkrát (bez existujúcich cookies, bez udeleného súhlasu), aby overil, že pred súhlasom nie sú nastavené žiadne nepodstatné cookies.
4. Databáza cookies: Udržiavaná databáza známych cookies s ich účelmi a kategóriami výrazne znižuje manuálnu prácu pri klasifikácii.
5. Vykazovanie: Prehľadné, exportovateľné správy, ktoré možno zdieľať s právnymi, marketingovými a vývojárskymi tímami.
6. Plánovanie a upozornenia: Automatické skenovanie podľa konfigurovateľného harmonogramu s upozorneniami pri zistení nových cookies.

Proces skenovania cookies

Dôkladné skenovanie cookies sa riadi piatimi krokmi, či už sa vykonáva manuálne alebo pomocou automatizovaných nástrojov:

Krok 1: Prejdite všetky stránky

Začnite vytvorením kompletnej mapy vášho webu. Zahŕňa to všetky verejné stránky, autentifikované stránky (ak sú), vstupné stránky, ďakovné stránky, chybové stránky a akúkoľvek stránku, ku ktorej môže návštevník získať prístup. Neobmedzujte skenovanie iba na domovskú stránku — cookies často nastavujú skripty tretích strán, ktoré sa načítajú iba na konkrétnych stránkach (napr. vloženie YouTube v príspevku na blogu, platobný procesor na stránke pokladne alebo chatovací widget, ktorý sa objaví iba na stránkach podpory).

Krok 2: Identifikujte všetky cookies

Pre každú stránku zaznamenajte každý nastavený cookie. Zahŕňa to HTTP cookies (viditeľné v hlavičke Set-Cookie a v úložisku cookies prehliadača) aj mechanizmy úložiska na strane klienta (localStorage, sessionStorage, IndexedDB), ktoré môžu fungovať ako sledovacie technológie, aj keď technicky nie sú cookies.

Krok 3: Určte pôvod cookies

Pri každom cookie identifikujte, či ide o cookie prvej strany (nastavený vašou vlastnou doménou) alebo tretej strany (nastavený externou doménou). Cookies tretích strán sú pre súlad obzvlášť dôležité, pretože zvyčajne zahŕňajú zdieľanie údajov s externými organizáciami, čo si vyžaduje uvedenie vo vašich zásadách používania cookies a v mnohých prípadoch aj zmluvu o spracúvaní údajov.

Krok 4: Klasifikujte cookies podľa kategórie

Priraďte každý cookie do kategórie súladu:

• Nevyhnutne potrebné: Vyžadované na fungovanie webu. Používateľ ich nemôže vypnúť. Príklady: relačné cookies, tokeny CSRF, cookies na vyrovnávanie záťaže, cookies s predvoľbami súhlasu s cookies.
• Funkčné: Umožňujú rozšírenú funkcionalitu a personalizáciu. Príklady: jazykové predvoľby, výber regiónu, nedávno prezerané položky (ak sa nepoužívajú na reklamu).
• Analytické/výkonnostné: Zhromažďujú informácie o tom, ako návštevníci web používajú. Príklady: cookies Google Analytics, Hotjar, Matomo.
• Marketingové/reklamné: Sledujú návštevníkov naprieč webmi na reklamné účely. Príklady: Facebook Pixel, cookies Google Ads, remarketingové cookies, cookies na sledovanie partnerov.

Krok 5: Zdokumentujte účel, dobu platnosti a typ

Pri každom cookie zdokumentujte jeho účel jednoduchým jazykom, ktorému porozumie aj netechnický človek, jeho dobu platnosti (relačný alebo trvalý, a ak trvalý, ako dlho) a jeho typ (HTTP cookie, localStorage atď.). Táto dokumentácia tvorí základ vašich zásad používania cookies a informácií uvedených vo vašom banneri o cookies.

Priebežné monitorovanie

Skenovanie cookies je platné iba v okamihu, keď sa vykoná. Váš web nie je statický — vyvíja sa s každým nasadením, aktualizáciou pluginu a marketingovou kampaňou. Priebežné monitorovanie je nevyhnutné, pretože:

• Nové skripty prinášajú nové cookies. Keď vývojár pridá nový analytický nástroj, marketingový tím nainštaluje nový sledovací pixel alebo sa aktualizuje plugin, na vašom webe sa môžu objaviť nové cookies bez toho, aby ich niekto výslovne rozhodol pridať.
• Skripty tretích strán sa menia. Aj keď svoj web nezmeníte, služby tretích strán, ktoré používate, môžu aktualizovať svoje skripty a priniesť nové cookies. Aktualizácia Google Analytics, zmena widgetu sociálnych médií alebo aktualizácia konfigurácie CDN môžu všetky ovplyvniť cookies na vašom webe.
• Súlad je nepretržitý. Úrady na ochranu údajov očakávajú, že vaše zásady používania cookies a mechanizmus súhlasu budú odrážať aktuálny stav vášho webu. Zásady, ktoré boli presné pred šiestimi mesiacmi, no neobsahujú cookies pridané odvtedy, sú dnes v rozpore s predpismi.

Najlepšou praxou je spúšťať automatizované skenovania po každom nasadení a minimálne raz mesačne. Nastavte si upozornenia na nové cookies, aby ich váš tím mohol vyhodnotiť, kategorizovať a pridať do vášho mechanizmu súhlasu skôr, než sa stanú problémom so súladom.

Skenovanie cookies a vaše zásady používania cookies

Vaše zásady používania cookies a výsledky skenovania cookies musia zostať synchronizované. Každý cookie identifikovaný pri skenovaní by mal byť zdokumentovaný vo vašich zásadách a každý cookie uvedený vo vašich zásadách by mal byť skutočne prítomný na vašom webe. Nezhoda v ktoromkoľvek smere je problém:

• Cookies na webe, ale nie v zásadách: To znamená, že používatelia nie sú informovaní o všetkom sledovaní na vašom webe. Ich súhlas, aj keď je udelený, nemusí pokrývať nezverejnené cookies.
• Cookies v zásadách, ale nie na webe: Hoci menej závažné, uvádzanie cookies, ktoré neexistujú, vytvára zmätok a podkopáva dôveru v presnosť vašej dokumentácie.

Najefektívnejším prístupom je integrovať váš skenovací nástroj so zásadami používania cookies, aby sa zásady automaticky aktualizovali, keď sa zistia nové cookies. Tým sa odstráni manuálny krok aktualizácie zásad po každom skenovaní a zníži sa riziko, že sa oba dokumenty rozídu.

Ako Passiro rieši skenovanie cookies

Skener Passiro využíva jadro prehliadača v režime headless na návštevu každej stránky vášho webu, pričom spúšťa JavaScript presne tak, ako by to robil prehliadač skutočného návštevníka. Tým sa zaistí, že sú zistené všetky cookies nastavené dynamicky načítanými skriptami, vloženým obsahom a frameworkmi jednostránkových aplikácií. Skener beží pred a po simulovanom súhlase, aby overil, že vaša správa súhlasu funguje správne — že nepodstatné cookies sú skutočne zablokované, kým sa neudelí súhlas.

Výsledky skenovania sa automaticky kategorizujú pomocou priebežne aktualizovanej databázy známych cookies, s možnosťou manuálne klasifikovať alebo preklasifikovať ktorýkoľvek cookie. Naplánované skenovania bežia na konfigurovateľnej báze a dostávate upozornenia, keď sa na vašom webe objavia nové cookies, aby ste mohli konať skôr, než sa stanú rizikom pre súlad.

Ako často by ste mali skenovať?

Správna frekvencia skenovania závisí od toho, ako často sa váš web mení:

• Po každom nasadení: Akákoľvek zmena kódu môže priniesť nové cookies. Integrujte skenovanie cookies do svojej CI/CD pipeline alebo spustite skenovanie po každom vydaní.
• Po pridaní služieb tretích strán: Vždy, keď pridáte nový analytický nástroj, marketingovú platformu, chatovací widget, platobný procesor alebo akýkoľvek skript tretej strany, skenujte okamžite.
• Minimálne mesačne: Aj keď nevykonáte žiadne zmeny, skripty tretích strán na vašom webe sa môžu aktualizovať a priniesť nové cookies. Mesačné skenovanie tieto zmeny zachytí.
• Po aktualizáciách CMP: Ak aktualizujete svoju platformu na správu súhlasu alebo zmeníte kategórie cookies, skenujte, aby ste overili, že zmeny fungujú podľa očakávania.
• Štvrťročná kontrola: Nad rámec automatizovaného skenovania vykonajte štvrťročnú manuálnu kontrolu svojho inventára cookies, aby ste overili, že kategorizácie sú stále presné, že poskytovatelia tretích strán sú stále potrební a že vaše zásady používania cookies odrážajú realitu.

Organizácie, ktoré pristupujú k skenovaniu cookies ako k rutinnej údržbe, a nie ako k periodickému auditu, sú tie, ktoré si udržiavajú nepretržitý súlad — a vyhýbajú sa nepríjemnému prekvapeniu z objavenia nezdokumentovaných sledovacích cookies počas vyšetrovania úradu na ochranu údajov.