Cookies a GDPR na webe: čo musíte mať a čo je zbytočné

Cookie lišty sú dnes na každom druhom webe a väčšina z nich je zle – buď otravuje zbytočne, alebo nechráni tam, kde by mala. Dobrá správa: pre bežný firemný web sú pravidlá jednoduchšie, než sa zdá. Tento článok nenahrádza právnika, pomôže vám však zistiť, kde stojíte, a opraviť veci, ktoré väčšina webov robí zle.

Jedno pravidlo namiesto desiatich

Zákon o elektronických komunikáciách (§ 109 ods. 8 zákona č. 452/2021 Z. z.) hovorí v podstate toto: do zariadenia návštevníka smiete niečo uložiť alebo z neho čítať bez súhlasu len vtedy, keď je to nevyhnutné na službu, ktorú si sám vyžiadal. A ak pritom spracúvate osobné údaje, platí navyše GDPR.

• Bez súhlasu smiete: košík v e-shope, prihlásenie, voľba jazyka, ochrana formulára, zapamätanie si samotnej odpovede z cookie lišty.
• Len so súhlasom: návštevnosť (Google Analytics a podobné), reklama a remarketing (Meta Pixel, Google Ads), sledovanie správania, cudzie widgety, ktoré si ukladajú vlastné cookies.

Z toho vyplýva niečo, čo veľa ľudí prekvapí: ak web nič z druhej skupiny nepoužíva, cookie lištu nepotrebuje vôbec. Napríklad nobi.sk ju nemá – nesleduje návštevníkov a cookie nastaví len pri prihlásení.

Kde to najčastejšie zlyháva

1. Lišta je, ale sledovanie beží už pred kliknutím

Najčastejšia chyba vôbec. Lišta sa zobrazí, no Google Analytics alebo Meta Pixel sa načítajú hneď s webom, ešte kým návštevník na čokoľvek klikne. Lišta je potom len dekorácia. Správne je, aby sa sledovacie skripty spustili až po súhlase. Pri nástrojoch Google na to slúži Consent Mode v2, ktorý Google pri reklame v EÚ už aj vyžaduje.

2. Cudzie zdroje, na ktoré nikto nemyslí

Poznáme prípad slovenského firemného webu, ktorý dostal pokutu 200 € – a nie za analytiku. Na vine boli veci, ktoré na web nikto vedome nepridal: písma, prístupnostný widget a ochrana formulára sa načítavali z cudzích serverov. Každý takýto zdroj pri otvorení stránky pošle tretej strane IP adresu návštevníka, a to je podľa GDPR osobný údaj.

Typickí vinníci:

• Google Fonts načítané zo serverov Google – riešenie je jednoduché, písma stačí mať na vlastnom webe (návod v príručke Google Fonts a GDPR),
• vložená mapa Google a video z YouTube – dajú sa načítať až na kliknutie, dovtedy stačí obrázok s tlačidlom,
• widgety (chat, recenzie, prístupnosť, sociálne siete) a reCAPTCHA,
• súbory z cudzích CDN, ktoré pridali šablóny a pagebuildery bez vášho vedomia.

3. Odmietnuť je ťažšie než súhlasiť

Veľké tlačidlo „Súhlasím" a odmietnutie schované o dva kliky ďalej, prípadne vopred zaškrtnuté políčka. Súhlas musí byť slobodný, preto má byť odmietnuť rovnako jednoduché ako súhlasiť – ideálne dve rovnocenné tlačidlá vedľa seba.

4. Chýbajú zásady ochrany osobných údajov

Na to stačí aj obyčajný kontaktný formulár: zbierate meno a e-mail, takže návštevník má právo vedieť, čo s nimi robíte, ako dlho ich držíte a komu ich dávate. Stránka so zásadami a odkaz na ňu v pätke webu sú základ.

Postup bez právnika

1. Zistite, čo web naozaj načítava. Nie čo si myslíte, ale čo prehliadač reálne sťahuje a aké cookies vznikajú pred súhlasom.
2. Čo nepotrebujete, vyhoďte. Nepoužívaný widget, starý pixel z kampane spred troch rokov, druhý analytický nástroj „pre istotu".
3. Čo sa dá mať u seba, majte u seba. Písma, ikony, knižnice.
4. Mapy a videá dajte na klik.
5. Zvyšok spúšťajte až po súhlase – cez lištu, ktorá to naozaj blokuje, pri Google nástrojoch s Consent Mode v2.
6. Doplňte zásady ochrany osobných údajov a odkaz na ne do pätky.
7. Overte to znova – po každej väčšej zmene webu alebo novom plugine.

Prvý a posledný krok za vás spraví bezplatný test nobi: ukáže Google Fonts z cudzích serverov, sledovacie nástroje, cookies nastavené ešte pred súhlasom, či web používa Consent Mode v2 a či má odkaz na zásady ochrany osobných údajov.

Ak prevádzkujete e-shop, spracúvate citlivé údaje (zdravie, deti) alebo veľké množstvo zákazníkov, pozvite si k tomu právnika. Pre bežný firemný web však stačí upratať to, čo web reálne načítava.