Cookies lišty vykazují řadu nedostatků
Úřad pro ochranu osobních údajů (ÚOOÚ) za 1. pololetí roku 2022 v souvislosti s legislativní změnou v oblasti cookies (zavedení principu opt-in) v rámci své úřední činnosti monitoroval dodržování obecného nařízení pro ochranu osobních údajů (GDPR) v souvislosti s nastavením zpracování cookies souborů u různých provozovatelů webových portálů a stránek. Činnost ÚOOÚ probíhá nejen na základě podnětů a stížností, ale také podle plánu kontrol pro letošní rok.
„Úřad zjistil řadu nedostatků, které ve svém důsledku porušují ochranu osobních údajů, a to i u velkých internetových společností, které oslovují statisíce lidí denně. V prvním pololetí jsme dali provozovatelům prostor, aby se nové legislativě přizpůsobili. Nyní ovšem na základě vlastní iniciativy monitorujeme dodržování a oslovujeme správce, kteří porušují právní předpisy v této oblasti, aby zjednali nápravu. Pokud k ní nedojde, přistoupíme k sankcím, a to především finančního charakteru," uvedl v této souvislosti předseda Úřadu pro ochranu osobních údajů Jiří Kaucký.
Mezi hlavní nedostatky, které byly zjištěny kontrolami Úřadu pro ochranu osobních údajů, patří:
- Používání netechnických cookies bez souhlasu,
- Neúměrně dlouhá doba platnosti cookies vzhledem k jejich účelu,
- Nepřítomnost volby určené pro vyjádření nesouhlasu s využitím netechnických cookies v první vrstvě cookies lišty,
- Špatná kategorizace cookies,
- Absence informací o konkrétních použitých cookies,
- Rozdíl ve viditelnosti tlačítek pro souhlas a nesouhlas s využitím netechnických cookies,
- Nesprávná klasifikace cookies souborů,
- Informace o cookies v cizím jazyce,
- Cookies lišta znesnadňuje či znemožňuje čtení webové stránky
Právní regulace cookies souborů je řešena zákonem č. 127/2005 Sb., o elektronických komunikacích, konkrétně § 89 odst. 1 a 3 (Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování.) a v ustanovení § 87.
Na základě čl. 7 odst. 2 nařízení (EU) 2016/679 musí být souhlas se zpracováním osobních údajů odlišitelný od jiných skutečností, musí být také srozumitelný a snadno přístupný za použití jasných a jednoduchých jazykových prostředků. Podle čl. 4 odst. 11 nařízení (EU) 2016/679 (GDPR) se musí jednat o „svobodný, konkrétní, informovaný a jednoznačný projev vůle subjektu údajů."