ÚOOÚ: Cookies lišty vykazují řadu nedostatků

1.7.20228.7.2022 Redakce ISVS.CZ GDPR, Legislativa, Metodika

Úřad pro ochranu osobních údajů (ÚOOÚ) za 1. pololetí roku 2022 v souvislosti s legislativní změnou v oblasti cookies (zavedení principu opt-in) v rámci své úřední činnosti monitoroval dodržování obecného nařízení pro ochranu osobních údajů (GDPR) v souvislosti s nastavením zpracování cookies souborů u různých provozovatelů webových portálů a stránek.

Činnost ÚOOÚ probíhá nejen na základě podnětů a stížností, ale také podle plánu kontrol pro letošní rok.

Úřad zjistil řadu nedostatků, které ve svém důsledku porušují ochranu osobních údajů, a to i u velkých internetových společností, které oslovují statisíce lidí denně. V prvním pololetí jsme dali provozovatelům prostor, aby se nové legislativě přizpůsobili. Nyní ovšem na základě vlastní iniciativy monitorujeme dodržování a oslovujeme správce, kteří porušují právní předpisy v této oblasti, aby zjednali nápravu. Pokud k ní nedojde, přistoupíme k sankcím, a to především finančního charakteru.

— Jiří Kaucký, předseda Úřadu pro ochranu osobních údajů

Mezi hlavní nedostatky, které byly zjištěny kontrolami Úřadu pro ochranu osobních údajů, patří

Používání netechnických cookies bez souhlasu
Neúměrně dlouhá doba platnosti cookies vzhledem k jejich účelu
Nepřítomnost volby určené pro vyjádření nesouhlasu s využitím netechnických cookies v první vrstvě cookies lišty
Špatná kategorizace cookies
Absence informací o konkrétních použitých cookies
Rozdíl ve viditelnosti tlačítek pro souhlas a nesouhlas s využitím netechnických cookies
Nesprávná klasifikace cookies souborů
Informace o cookies v cizím jazyce
Cookies lišta znesnadňuje či znemožňuje čtení webové stránky

Právní regulace cookies souborů je řešena zákonem č. 127/2005 Sb., o elektronických komunikacích, konkrétně § 89 odst. 1 a 3 zákona č. 127/2005 Sb., a v ustanovení § 87 odst. 2 takto:

„Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování.

Na základě čl. 7 odst. 2 nařízení (EU) 2019/679 musí být souhlas se zpracováním osobních údajů odlišitelný od jiných skutečností, musí být také srozumitelný a snadno přístupný za použití jasných a jednoduchých jazykových prostředků.” Podle čl. 4 odst. 11 nařízení (EU) 2019/679 (GDPR) se musí jednat o „svobodný, konkrétní, informovaný a jednoznačný projev vůle subjektu údajů.”

Více podrobností naleznete zde.