Úřad pro ochranu osobních údajů aktualizoval doporučení a pravidla pro využívání cookies a cookie lišt

Technické cookies

V první řadě je dle Úřadu třeba rozlišit, zda dochází ke zpracování osobních údajů prostřednictvím „technických cookies“ nebo „netechnických cookies“. V případě, že webové stránky používají pouze technické cookies, které jsou nezbytné pro jejich vlastní provoz, není třeba zavádět tzv. cookie lištu, je však nutné uživatele o využívání technických cookies informovat (včetně doporučeného seznamu používaných cookies a jejich účelu). Pokud dochází k souvisejícímu zpracování osobních údajů, musí takové informace odpovídat také požadavkům GDPR.

Souhlas s využíváním netechnických cookies / cookie lišta

Cookie lišta je vyžadována u všech ostatních netechnických cookies. Cookie lišta musí splňovat určité požadavky, aby návštěvník stránek nebyl při své volbě, zda udělit či neudělit souhlas, ovlivňován. Tlačítka pro udělení souhlasu či nesouhlasu s netechnickými cookies musí být zásadně umístěna ve stejné vrstvě cookie lišty, v ideálním případě do vrstvy první. Zároveň by tlačítka měla být i ve srovnatelném vizuálním provedení, tj. neměla by mít odlišnou barvu nebo velikost.

Samotná cookie lišta by měla mít vhodný design, aby nebránila v čitelnosti a dostupnosti obsahu webových stránek, tzn. nesmí bránit interakci s webovou stránkou ani v případě, kdy uživatel nezvolil žádnou z možností ohledně udělení souhlasu s cookies. Pokud by lišta byla umístěna uprostřed internetového okna, měla by obsahovat možnost zavření lišty bez volby konkrétní odpovědi. Netechnické cookies se ovšem mohou aktivovat až po udělení souhlasu. V případě neudělení souhlasu nebo pokud není uživatelem vybrána žádná z možností, je provozovatel povinen ponechat netechnické cookies deaktivované.

Zatímco získaní souhlasu uživatele před použitím netechnických cookies je nutné vždy, není vyloučené, aby související zpracování osobních údajů probíhala na základě jiného titulu, např.  oprávněných zájmů správce (typicky v případě analytických a statistických cookies). Pokud má ovšem takové zpracování probíhat na základě souhlasu, je nutné, aby souhlas získaný prostřednictvím cookie lišty splňoval požadavky GDPR na konkrétní svobodný, informovaný a jednoznačný souhlas.

Doporučovaná doba platnosti souhlasu

Úřad obecně považuje za přiměřenou dobu, na kterou by měl být souhlas s využíváním cookies udělen, 12 měsíců. V případě, že uživatel odmítl souhlas udělit, nemělo by být jeho udělení znovu vyžadováno alespoň 6 měsíců od posledního zobrazení cookie lišty, když tato doba může být zkrácena zejména v případě významných změn ve zpracování nebo pokud provozovatel webu není schopen sledovat předchozí souhlas/nesouhlas.