Udělení souhlasu při použití cookies – cookie wall a scrolling

Nekalé praktiky vyžadování souhlasu při použití cookies – cookie wall a scrolling. GDPR

Evropský sbor pro ochranu osobních údajů upozornil na určité nekalé praktiky využívané k získání souhlasu s používáním cookies

Dne 4.5.2020 byly Evropským sborem pro ochranu osobních údajů schváleny Pokyny o souhlasu k použití cookies (dále jen „Pokyny“) podle nařízení Evropského parlamentu a Rady 2016/679, obecné nařízení o ochraně osobních údajů (dále jen „GDPR nařízení“).

Cookies a jiné prvky sledující aktivitu uživatelů webových stránek jsou chápány jako osobní údaje vzhledem k tomu, že je možné na jejich základě identifikovat fyzickou osobu (subjekt údajů), a proto mohou být použity pouze s výslovným souhlasem subjektů údajů. Takový souhlas musí být v souladu s čl. 4 odst. 11 GDPR nařízení, tzn. musí být svobodný, konkrétní, informovaný a jednoznačný. Cookies jsou také paralelně upraveny směrnicí Evropského parlamentu a Rady 2002/58/ES, o soukromí a elektronických komunikacích. V jejím článku 5 odst. 3 jsou upraveny cookies, které slouží k technickému ukládání nebo takovému přístupu, jehož jediným účelem je provedení nebo usnadnění přenosu sdělení prostřednictvím sítí elektronických komunikací nebo, je-li to nezbytně nutné pro poskytování služeb informační společnosti, které si účastník nebo uživatel výslovně vyžádal. Pro takové cookies se souhlas k použití nevyžaduje.

Pro ostatní cookies platí, že podmínky pro získání souhlasu k použití jsou stejné jako v režimu GDPR nařízení (odst. 7 Pokynů). Podobně jako Sbor se vyjádřil již dříve i český Úřad pro ochranu osobních údajů ve svém Doporučení ÚOOÚ k zpracování cookies a obdobných prostředků sledování od 25. května 2018 (dále jen“ Doporučení“).

Svoboda projevu souhlasu s využitím cookies

Svobodný souhlas je jedním ze základních stavebních kamenů evropské ochrany osobních údajů. Právě v této souvislosti se Sbor v pokynech vyjadřuje k praktikování umístění cookie wall na webové stránky – nastavení, které brání přístupu na webovou stránku nebo k některým jejím funkcím, pokud uživatel neudělí souhlas s použitím cookies. Podle Sboru tímto dochází ke vnucenému, nesvobodnému projevu souhlasu (odst. 39 až 41 Pokynů). Sbor uvádí jako příklad:

„Poskytovatel webových stránek zavede funkcionalitu, která blokuje viditelnost obsahu až na žádost o přijetí cookies a informace o tom, které cookies budou použity a za jakým účelem budou data zpracována. Přístup k obsahu není možný bez kliknutí na tlačítko „Souhlasím s cookies“. Vzhledem k tomu, že subjekt údajů není předložen se skutečnou volbou, není jeho souhlas svobodně dán.“

Jednoznačnost projevu souhlasu s využitím cookies

V souvislosti s vyjádřením souhlasu pouhým posouváním na zobrazené webové stránce (tzv. scrollingem) Sbor konstatuje, že takové počínání nesplňuje podmínku jednoznačnosti projevu vůle. Přejíždění kurzorem po obrazovce či její posunování nezakládá jednoznačný souhlas. Hlavním argumentem proti scrollingu je skutečnost, že stejným způsobem není možné jeho odvolání. Odvolat souhlas musí být stejně snadné jako jej poskytnout (Článek 7 GDPR nařízení).

Obdobně Sbor konstatoval, že předvyplněná „opt-out“ okna také nezakládají souhlas (odst. 79-80 Pokynů). Daný případ je již vyřešen judikaturou Soudního dvora Evropské unie rozsudek ESD C‑673/17 ze dne 1. října 2019):

“…z toho vyplývá, že souhlas uvedený v čl. 2 písm. f) a čl. 5 odst. 3 směrnice 2002/58 ve spojení s čl. 4 bodem 11 a čl. 6 odst. 1 písm. a) nařízení 2016/679 není právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí tento uživatel k odmítnutí svého souhlasu zrušit.“

Sbor se také zaobíral možností udělit souhlas skrze nastavení webového prohlížeče (odst. 89 Pokynů). Takto daný souhlas je podle Sboru platný, pokud splňuje podmínky GDPR nařízení. Obdobně se k tomu postavil ÚOOS ve svém Doporučení.

To je dle našeho názoru těžko splnitelné vzhledem k tomu, že webové prohlížeče neumožňují naplnit požadavek dostatečného rozlišování účelů zpracování konkrétních cookies (angl. granularity). Např. v nastavení webového prohlížeče Google Chrome není možné nastavit, aby subjekt údajů dal souhlas k použití cookies za účelem analýzy chodu webových stránek (např. služba Google Analytics) a zároveň nedal souhlas k použití cookies k marketingovým účelům. Tím se přibližuje tato varianta svým faktickým účinkem ke cookie wall či scrollingu.

V každém případě musí být souhlas vždy získán dříve, než správce začne zpracovávat osobní údaje, pro který je nutný souhlas (tvz. opt-in). Ačkoliv čl. 4 odst. 11 GDPR nařízení nestanovuje výslovně, že souhlas musí být udělen před zpracováním, je to jasně naznačeno. Jasně a důsledně to ve svých ve odborných stanoviscích zastávala WP29 (Pracovní skupina 29, odst. 90 Pokynů).

Pro více informací nás kontaktujte na:

JUDr. Mojmír Ježek, Ph.D.

ECOVIS ježek, advokátní kancelář s.r.o.
Betlémské nám. 6
110 00 Praha 1
e-mail: mojmir.jezek@ecovislegal.cz
www.ecovislegal.cz

O ECOVIS ježek, advokátní kancelář s.r.o.

Česká advokátní kancelář ECOVIS ježek se ve své praxi soustřeďuje především na obchodní právo, nemovitostní právo, vedení sporů, ale i financování a bankovní právo a poskytuje plnohodnotné poradenství ve všech oblastech, a tvoří tak alternativu pro klienty mezinárodních kanceláří. Mezinárodní rozměr poskytovaných služeb je zajištěn dosavadními zkušenostmi a prostřednictvím spolupráce s předními advokátními kancelářemi ve většině evropských zemí, USA a dalších jurisdikcích v rámci sítě ECOVIS působící v 75 zemích celého světa. Členové týmu advokátní kanceláře ECOVIS ježek mají dlouholeté zkušenosti z předních mezinárodních advokátních a daňových firem v poskytování právního poradenství nadnárodním korporacím, velkým českým společnostem, ale i středním firmám a individuálním klientům. Více informací na www.ecovislegal.cz.