Kontrolovanie cookies sprevádzajú nejasnosti. Regulačný úrad koná, ale zatiaľ bez pokút

Foto: Shutterstock

Sporné usmernenie

Úrad pre reguláciu elektronických komunikácií a poštových služieb vydal stanovisko k regulácii cookies. V ňom definuje správne či nesprávne nastavenie lišty na webových stránkach, v akých prípadoch je možné považovať súhlas používateľa za informovaný, konkrétny, slobodne daný, alebo či  ide o jednoznačný prejav vôle používateľa. Samotné cookies rozdeľuje na nevyhnutné (technické), analytické a marketingové. Vo svojom  stanovisku poskytuje aj príklady riešení pre prevádzkovateľov webových stránok.

„Žiadosti o súhlas s ukladaním a spracúvaním informácií prostredníctvom cookies sa objavujú v rôznych častiach webu, čo veľmi často komplikuje používanie požadovaných webových stránok zo strany používateľa, najmä ak mu to znemožňuje kliknutie na čokoľvek iné ako na tlačidlo súhlasím alebo prijať,“ vysvetľuje potrebu bližšieho definovania súhlasov či správneho nastavenia úrad vo svojom stanovisku.

V niektorých prípadoch tak používateľ nemá na výber, a ak chce pokračovať v prehliadaní konkrétnej webovej stránky, musí kliknúť na tlačilo „súhlasím“ alebo „prijať“. Ide však o neprijateľné praktiky, ktorých cieľom je prinútiť väčšinu používateľov vyjadriť súhlas.

Prevádzkovatelia webových stránok sa cielene snažia možnosť udelenia alebo neudelenia súhlasu so spracovaním alebo ukladaním informácií prostredníctvom cookies nadizajnovať tak, aby čo najviac používateľov kliklo na „súhlasím“. Stanovisko preto uvádza, v akom prípade ide o nekorektný postup a ako by to malo byť správne. 

Najnebezpečnejší omyl usmernenia

„Samotné stanovisko je však potrebné prepracovať,“ myslí si odborník na ochranu osobných údajov Jakub Berthoty z advokátskej kancelárie Dagital Legal. Úrad má podľa neho problém pochopiť vzťah medzi účelom spracúvania a typom cookies, pričom si spája zlučiteľnosť účelov s typmi cookies, no tie sú len zaužívanými kategóriami a používajú sa skôr v hovorovej reči.

„Usmernenie vychádza z premisy, že každý typ cookies je spracúvaný na iný účel spracúvania. To však nie je pravda a ide aj o najnebezpečnejší omyl usmernenia,“ vysvetľuje J. Berthoty. Podľa neho je podstatný účel spracovania.

„Je úplne irelevantné, o aký typ cookies ide. Osobne nevidím žiadny rozdiel medzi štatistickou a analytickou cookienou, a ani usmernenie tieto rozdiely neopisuje. Takisto pre mňa nie je jasné, či napríklad Google Analytics cookiena predstavuje štatistickú, analytickú alebo marketingovú cookienu,“ približuje J. Berthoty.

Ďalšie nedostatky

Medzi ďalšie nedostatky v usmernení patrí aj chýbajúce vysvetlenie informačných povinností (Cookies policy), a to napriek skutočnosti, že otázka súhlasu je s informačnými povinnosťami zásadne previazaná. Úrad v usmernení uvádza povinnosti na získanie platného súhlasu. Tie však nevychádzajú ani z nového zákona, ani z GDPR, ani z ePrivacy smernice.

„Sú vlastnou tvorbou Úradu pre reguláciu. Bez akéhokoľvek odkazu alebo zdôvodnenia usmernenie vyberá iba niektoré z informačných povinností a nesprávne a neúplne si ich spája s informovaným súhlasom. Informovaný súhlas a informačné povinnosti sú dve úplne odlišné povinnosti,“ komentuje J. Berthoty.

Chýba aj práca s ostatnými kľúčovými usmerneniami Európskeho výboru pre ochranu údajov (EDPB) a s usmerneniami zahraničných dozorných orgánov, ktoré obsahujú viaceré výkladové nuansy dôležité pre prax. Usmernenie sa tiež nevenuje odvolaniu súhlasu ani súhlasu detí.

Úrad ráta s prepracovaním

Samotná kontrola cookies a získavania súhlasov je predmetom diskusií v pracovných skupinách na úrovni členských štátov Európskej únie. Úrad preto komunikuje aj s Úradom na ochranu osobných údajov SR. Ten má v súvislosti s cookies svoj rozsah kompetencií.

„Stanovisko budeme v nadväznosti na výstupy z medzinárodných pracovných skupín a výsledky diskusie s Úradom na ochranu osobných údajov a odbornou verejnosťou upravovať a aktualizovať. Naším hlavným cieľom je v zjednodušenej a pochopiteľnej forme poskytnúť verejnosti, najmä prevádzkovateľom webových stránok, určitý základný rámec, podľa ktorého možno správne nastaviť získavanie súhlasu s používaním a ukladaním cookies," reaguje vedúca tlačovo-informačného oddelenia  regulačného úradu Adriana Volfová.

Kontroly cookies na Slovensku

Nová právna úprava platná od februára 2022 priniesla do praxe aj možnosť pokutovania. Úrad preto začal niekoľko konaní. Aktuálne prebieha 10 kontrol zameraných na plnenie povinností. Zatiaľ však nebolo vydané právoplatné rozhodnutie o uložení sankcie za porušenie ustanovenia. Najčastejším zisteným nedostatkom je, že súhlas so spracovaním a ukladaním cookies na stránkach jednotlivých prevádzkovateľov nespĺňa podmienku „slobodne daný“.

„Webové stránky často ponúkajú používateľovi iba možnosť odsúhlasiť získavanie a ukladanie cookies, no neponúkajú možnosť vyjadrenia nesúhlasu, alebo vyjadrenie súhlasu len s niektorými druhmi cookies, čím používateľa nútia odsúhlasiť získavanie a ukladanie cookies. Takto získaný súhlas nemožno považovať za slobodne daný a teda je nezákonný,“ uzatvára A. Volfová.