Cookie lišta a GDPR na malém webu: co opravdu musíte

Cookie lišta na spoustě malých webů jen visí a nic nedělá. Než na ni návštěvník vůbec klikne, Google Analytics už běží. Úřad pro ochranu osobních údajů to uvádí mezi nedostatky, které u cookie lišt nachází. Přitom to správně udělat není složité.

Tady je, co malý web opravdu musí. Píšu to jako člověk, který weby dělá, ne jako právník. Není to právní rada. Když si nejste jistí, zeptejte se advokáta.

Co jsou cookies a které potřebují souhlas

Cookie je malý soubor, který si web uloží do prohlížeče návštěvníka, aby si něco pamatoval. Pro souhlas je důležité jediné: jestli ho web nutně potřebuje k tomu, aby fungoval, nebo ne.

Pozor na cookies, o kterých nevíte. Vložené video z YouTube, mapa od Googlu, tlačítko Facebooku nebo chatovací okénko často ukládají cookies svých firem. Ty obvykle nezbytné nejsou. Když web používá opravdu jen nezbytné cookies, souhlas ani lištu nepotřebujete. Informovat o nich ale musíte dál, stačí krátká stránka o cookies s odkazem v patičce.

Co platí od roku 2022

Od 1. ledna 2022 říká zákon o elektronických komunikacích (§ 89 odst. 3), že web smí ukládat nenezbytné cookies jen s prokazatelným souhlasem, který člověk dal předem. Dřív stačilo návštěvníka informovat a nechat ho odmítnout. Teď je to naopak: nejdřív souhlas, potom cookies.

Úřad k tomu dodává dvě věci. Mlčení není souhlas, takže věta „Pokračováním na webu souhlasíte s cookies“ neplatí. A předem zaškrtnuté políčko taky ne. Člověk musí sám aktivně kliknout.

Jak má vypadat správná lišta

• Odmítnout jde stejně snadno jako přijmout. Tlačítko „Odmítnout“ nebo „Jen nezbytné“ je hned vedle „Přijmout vše“, ne schované až v nastavení. „Přijmout vše“ nesmí být výrazně větší ani barevnější.
• Zavření křížkem není souhlas. Kdo lištu jen zavře, nic nepovolil.
• Dokud člověk neklikne, nic nenezbytného neběží. Žádné měření, žádný reklamní kód.
• Volbu jde kdykoliv změnit, třeba odkazem „Nastavení cookies“ v patičce. Odvolat souhlas musí jít stejně snadno jako ho dát.
• Krátký srozumitelný text a odkaz na stránku, kde je vypsané, jaké cookies web používá, k čemu a jak dlouho.
• Záznam o volbě. Zákon chce souhlas prokazatelný, takže dobrá lišta si volbu uloží i s časem.

Častá chyba: měření běží dřív, než lidé kliknou

Typicky se to stane, když se lišta přidá na web dodatečně a měřicí kód je vložený jinde, natvrdo. Lišta se pak ptá, ale na odpovědi nezáleží.

Google Analytics a reklamy: režim souhlasu

Používáte Google Analytics nebo reklamu u Googlu? Pak se vás týká režim souhlasu (anglicky Consent Mode). Přes něj lišta Googlu řekne, co návštěvník povolil. U návštěvníků z Evropy Google chce, abyste souhlas sbírali a tuhle informaci mu předávali. Jinak přijdete o měření reklamy i o oslovení lidí, kteří už na webu byli.

Režim souhlasu ale lištu nenahrazuje, jen přenáší její výsledek. Google nabízí dvě varianty. V základní se jeho kód načte až po souhlasu. V pokročilé se načte hned a od lidí, kteří měření nepovolili, posílá Googlu omezené údaje bez cookies. Google si z nich dopočítává chybějící čísla. S pravidlem „dokud člověk neklikne, nic neběží“ sedí jen základní varianta. Tu mám i já. Máte reklamu v Google Ads? Ať to prověří ten, kdo ji spravuje.

Kontaktní formulář a zásady zpracování osobních údajů

Jméno, e-mail a telefon z formuláře jsou osobní údaje a vztahuje se na ně GDPR, evropské nařízení o ochraně osobních údajů. Na vyřízení poptávky většinou nepotřebujete zaškrtávací políčko se souhlasem. Člověk vám píše, protože něco chce, a vy mu odpovídáte. Musíte mu ale říct, co s jeho údaji děláte. K tomu slouží stránka Zásady zpracování osobních údajů (někde Ochrana osobních údajů). Odkaz na ni dejte přímo k tlačítku Odeslat. Co na ní má být hlavně:

• Kdo jste: název nebo jméno, IČO, adresa, e-mail.
• K čemu údaje použijete a na jakém základě: odpovědět na poptávku a domluvit zakázku. Základem je jednání o smlouvě.
• Jak dlouho je budete mít, nebo podle čeho to určíte.
• Komu je předáváte, třeba účetní nebo službě, přes kterou vám chodí e-maily.
• Jaká má člověk práva: vědět, co o něm máte, nechat to opravit nebo smazat, omezit zpracování, vznést námitku a stěžovat si u Úřadu pro ochranu osobních údajů.

Neptejte se na víc, než potřebujete

GDPR má zásadu, které se říká minimalizace údajů: sbírejte jen to, co opravdu potřebujete. Na poptávku stačí jméno, kontakt a zpráva. Datum narození ani adresu ve formuláři nechtějte, dokud je nepotřebujete k zakázce. Co nemáte, nemusíte chránit. A kratší formulář se lidem vyplňuje snáz.

Terapeuti a ordinace, pozor navíc. Údaje o zdraví jsou podle GDPR zvláštní kategorie a patří jim vyšší ochrana. Do webového formuláře lidi nenuťte popisovat potíže, stačí „ozvěte se mi“. Víc v článku Marketing pro terapeuty a ordinace.

Jak to mám na svém webu

Na tomhle webu mám vlastní lištu, žádný cizí doplněk. Dokud návštěvník měření sám nepovolí, Google Analytics se vůbec nenačte. Volbu si web pamatuje rok a dá se kdykoliv změnit odkazem v patičce. Když někdo souhlas odvolá, web cookies Google Analytics sám smaže. Reklamní cookies nepoužívám. Přesný seznam je v zásadách cookies.

Něco to stojí: kdo měření odmítne, toho v číslech nevidíte. Proto se vyplatí zákazníků ptát, jak vás našli. Proč na tom záleží víc než na počtu návštěv, píšu v článku Jak poznat, že vám web nosí zákazníky.

Nevíte, co váš web ukládá a jestli lišta opravdu funguje? Půl hodiny se na to podívám zdarma a řeknu vám, jestli je potřeba něco opravit. A co dalšího má mít web živnostníka, najdete v kontrolním seznamu na patnáct minut.