Zásady ochrany osobních údajů vs. zásady používání cookies vs. cookie lišta

Použijte tento rychlý rozhodovací postup:

1. Spočítejte nenezbytné nástroje, které váš web načítá: analytiku, reklamní pixely, chatovací widgety, vložená videa a testovací nástroje.
2. Pokud je jich jen několik a mění se zřídka, vložte oddíl o cookies do zásad ochrany osobních údajů.
3. Pokud je jich mnoho nebo váš marketingový tým často přidává tagy, zveřejněte samostatnou stránku o cookies a odkažte na ni ze zásad ochrany osobních údajů i ze svého nástroje pro souhlas.
4. Ať zvolíte cokoli, pojmenovávejte každý nástroj jednotně a dejte uživatelům jedno zřejmé místo, kde mohou své volby změnit.

Existuje ještě jedna možnost, kterou mnoho malých webů přehlíží: používat méně sledovacích technologií. Každý odstraněný tag znamená o jednu informaci méně k udržování, o jeden souhlas méně k získávání a o jednoho poskytovatele méně k prověřování. Konfigurace analytiky šetrné k soukromí, písma hostovaná na vlastním serveru a vložená videa načítaná až po kliknutí mohou váš seznam cookies dramaticky zkrátit.

Pokud web stavíte od nuly, náš návod jak vytvořit zásady ochrany osobních údajů pro web vás provede celým procesem včetně toho, kam informace o cookies patří.

Zásady ochrany osobních údajů pokrývají každý způsob, jakým zpracováváte osobní údaje: formuláře, účty, nákupy, e-maily, podporu, analytiku, reklamu a další. Vysvětlují účely, právní základy, příjemce, předávání, uchovávání a práva.

Zásady používání cookies odpovídají na užší otázku: které technologie ukládají informace do zařízení návštěvníka nebo k nim v něm přistupují, a proč. Patří sem:

• HTTP cookies, a to vlastní (first-party) i cookies třetích stran
• local storage a session storage
• sledovací pixely a webové majáky (web beacons)
• SDK a skripty, které čtou identifikátory zařízení
• techniky fingerprintingu

Překryv je velký. Většina analytických a reklamních cookies zpracovává osobní údaje, takže do zásad ochrany osobních údajů patří tak jako tak. Zásady používání cookies přidávají podrobnosti: jednotlivé nástroje nebo názvy cookies, doby trvání a způsob, jak změnit své volby.

Poctivá odpověď na otázku zásady ochrany osobních údajů vs. zásady používání cookies tedy zní, že zásady používání cookies jsou obvykle specializovaným rozšířením zásad ochrany osobních údajů, nikoli samostatným právním režimem s vlastním požadavkem na dokument. Skutečné právní otázky jsou, zda jsou vaše informace úplné a zda máte souhlas tam, kde ho zákon vyžaduje.

Ze zákona ne. Povinností je poskytnout jasné a úplné informace, které lidé snadno najdou. Kde tyto informace budou, je na vás.

Oddíl uvnitř zásad ochrany osobních údajů funguje dobře, když:

• používáte jen několik nástrojů, například jednu analytickou službu a nezbytné relační cookies
• se informace o cookies vejdou do krátkého seznamu nebo tabulky
• chcete udržovat jediný dokument

Samostatná stránka se zásadami používání cookies funguje lépe, když:

• načítáte mnoho tagů, pixelů nebo reklamních poskytovatelů
• se seznam poskytovatelů často mění a chcete ho aktualizovat bez nového zveřejnění celých zásad ochrany osobních údajů
• váš nástroj pro souhlas odkazuje na podrobný seznam cookies

Pokud je rozdělíte, propojte obě stránky navzájem odkazy a u každého nástroje používejte stejné názvy. Zásady ochrany osobních údajů, které tvrdí, že nepoužíváte žádné reklamní cookies, vedle seznamu cookies s reklamním pixelem jsou přesně ten druh rozporu, kterého si všimnou dozorové úřady i návštěvníci ochotní podat stížnost.

Zda potřebujete také cookie lištu, je jiná otázka, kterou řeší článek potřebujete cookie lištu?

Ať jde o samostatnou stránku, nebo oddíl zásad ochrany osobních údajů, užitečné informace o cookies pokrývají:

1. Co jsou tyto technologie, srozumitelně: cookies, local storage, pixely, SDK.
2. Kategorie a účely: nezbytně nutné, preferenční, analytické, reklamní a co každá z nich na vašem webu skutečně dělá.
3. Kdo je nastavuje: vaše vlastní cookies a jmenovitě uvedené třetí strany, například poskytovatel analytiky nebo reklamy.
4. Doba trvání: pouze po dobu relace, nebo jak dlouho jednotlivé cookies přetrvávají.
5. Souhlas a volby: které kategorie vyžadují souhlas, jak je přijmout nebo odmítnout a jak souhlas později odvolat.
6. Ovládání v prohlížeči: odkaz na nastavení prohlížeče a na nástroje pro odhlášení (opt-out), které skutečně podporujete.
7. Odkazy: na vaše zásady ochrany osobních údajů kvůli právům, právním základům, předávání a kontaktním údajům.
8. Datum poslední aktualizace.

Miniaturní příklad jedné položky: „Analytika. Náš poskytovatel analytiky nastavuje cookies, které zaznamenávají zobrazené stránky a délku návštěvy, abychom pochopili, jak se web používá. Nastavují se pouze s vaším souhlasem. Platnost vyprší po 12 měsících.“ To je konkrétní, ověřitelné a poctivé.

Formulace pro konkrétní nástroje najdete v článcích informace o analytice v zásadách ochrany osobních údajů a průvodce zásadami ochrany osobních údajů pro Google Analytics.

Tyto tři věci se často zaměňují:

• Cookie lišta nebo nástroj pro správu souhlasu: rozhraní, které žádá o souhlas dříve, než se načtou nenezbytné technologie, a umožňuje uživatelům svou volbu později změnit. Týká se chování vašeho webu.
• Zásady používání cookies nebo oddíl o cookies: písemné vysvětlení technologií, účelů, poskytovatelů a dob trvání. Týká se informací.
• Zásady ochrany osobních údajů: úplné oznámení o veškerém zpracování osobních údajů včetně cookies, pokud jde o osobní údaje.

Lišta bez zásad žádá uživatele o souhlas s něčím, o čem si nemohou nic přečíst. Zásady bez lišty tam, kde je souhlas vyžadován, vysvětlují, co děláte, ale nečiní to zákonným. V EU a ve Spojeném království web, který používá analytické nebo reklamní cookies, obvykle potřebuje obojí: souhlas prostřednictvím funkčního mechanismu a informace prostřednictvím zásad.

Aby bylo jasno, jak je to s nástroji: Legal Policy Generator píše text zásad ochrany osobních údajů včetně informací o cookies, analytice a sledování na základě vašich odpovědí. Neposkytuje cookie lištu ani nástroj pro správu souhlasu. Zásady spojíte s mechanismem souhlasu podle vlastní volby a dohlédnete na to, aby obojí popisovalo stejné nástroje stejným způsobem.

V EU pravidlo vychází z čl. 5 odst. 3 směrnice ePrivacy. Ukládat informace do zařízení uživatele nebo získávat přístup k informacím, které jsou v něm již uloženy, je dovoleno jen tehdy, pokud uživatel dal souhlas poté, co mu byly poskytnuty jasné a úplné informace, zejména o účelech. Výjimky se týkají ukládání nebo přístupu potřebného výhradně k uskutečnění přenosu sdělení nebo nezbytně nutného k poskytnutí služby, o kterou uživatel výslovně požádal.

Pokyny Evropského sboru pro ochranu osobních údajů 2/2023 potvrzují, že toto pravidlo sahá nad rámec klasických cookies až k technologiím, jako jsou sledovací pixely, sledovací odkazy, local storage a některé formy fingerprintingu zařízení.

Ve Spojeném království stanoví obdobné pravidlo regulation 6 předpisu Privacy and Electronic Communications Regulations. Aktuální pokyny ICO k technologiím ukládání a přístupu uvádějí, že informace by měly pokrývat používané technologie, jejich účely, zapojené třetí strany a dobu, po kterou jsou informace uloženy. Spojené království také ke svému pravidlu o souhlasu přidalo několik nových výjimek, proto si podrobnosti ověřte v aktuálních pokynech ICO.

Pokud cookies zahrnují osobní údaje, uplatní se i povinnosti transparentnosti podle článků 12 až 14 GDPR a UK GDPR. Žádné z těchto pravidel nepředepisuje název dokumentu.

Americké právo nemá obecné pravidlo o souhlasu s cookies jako směrnice ePrivacy, ale informace o cookies jsou přesto důležité.

• CalOPPA vyžaduje, aby zásady ochrany osobních údajů komerčního webu uváděly, jak web reaguje na signály Do Not Track z prohlížeče a zda mohou jiné strany shromažďovat osobně identifikovatelné údaje o online aktivitách uživatelů v průběhu času a napříč různými weby.
• CCPA a CPRA považují identifikátory shromážděné prostřednictvím cookies za osobní údaje. Vaše zásady ochrany osobních údajů musí popsat kategorie, které shromažďujete, a zda osobní údaje prodáváte nebo sdílíte, což může zahrnovat mnoho uspořádání reklamy napříč kontexty, spolu s tím, jak se lidé mohou odhlásit (opt-out).
• Další státní zákony o ochraně soukromí vyžadují obdobné informace o cílené reklamě a o právu ji odmítnout.

Žádný z nich nevyžaduje samostatně nazvané zásady používání cookies. Dobře strukturovaný oddíl o cookies a sledování ve vašich zásadách ochrany osobních údajů obvykle pokryje informační stránku věci, zatímco odkazy pro odhlášení a signály preferencí se řeší přímo na webu.

Podrobnosti najdete v článcích požadavky CCPA a CPRA na zásady ochrany osobních údajů a informace o reklamě v zásadách ochrany osobních údajů.

Informace o cookies zastarávají rychleji než téměř kterákoli jiná část zásad ochrany osobních údajů, protože marketingové nástroje se často mění bez revize kódu. Zaveďte si jednoduchou rutinu:

• Pravidelně skenujte. Otevřete web v čistém profilu prohlížeče, souhlas odmítněte a pak přijměte a zapište si, co se v každém stavu načte.
• Kontrolujte každý nový tag. Přidejte kontrolu informací do kontrolního seznamu před spuštěním každého nového pixelu, vloženého obsahu nebo skriptu.
• Porovnejte zásady, lištu a realitu. Všechny tři by měly jmenovat stejné nástroje.
• Aktualizujte datum pokaždé, když se seznam změní.

Když vytváříte zásady pomocí Legal Policy Generator, sdělíte mu, které analytické, reklamní a sledovací technologie používáte, a informace o cookies a sledování z těchto odpovědí vyplynou. Když se vaše nástroje změní, upravte odpovědi a zásady vygenerujte znovu, místo abyste text ručně záplatovali. Dotazník a úplný náhled jsou zdarma bez účtu a jednoduché stažení v HTML nebo PDF je zdarma.

Vygenerovaný text odráží vaše odpovědi a není právním poradenstvím. Samotný souhlas musí i nadále zajišťovat mechanismus souhlasu na vašem webu.