$ audit --gdpr https://twoja-strona.cz
Sprawdzimy Twoją stronę, zanim zrobi to ÚOOÚ
Czeski urząd ochrony danych osobowych (ÚOOÚ) kontroluje strony internetowe i w razie stwierdzenia naruszenia może nałożyć na ich operatorów karę finansową.
Audyt przejdzie stronę, sprawdzi ją i wskaże problemy wcześniej — masz więc szansę je naprawić.
Standardowo audyt obejmuje do 15 podstron, co w większości przypadków wystarcza.
Nie chcesz czytać szczegółów?
Chcę audyt RODO strony ↓Zakres audytu
Audyt przebiega z perspektywy odwiedzającego, czyli „z zewnątrz“. Nie ustalamy, jakie narzędzie lub rozwiązanie masz wdrożone, lecz sprawdzamy, jak Twoja strona faktycznie zachowuje się w przeglądarce odwiedzającego. Kontrolujemy, jakie dane zapisuje i z jakimi usługami podmiotów trzecich się komunikuje, zanim odwiedzający dokona jakiegokolwiek wyboru, oraz czy to zachowanie odpowiada wymogom § 89 ust. 3 czeskiej ustawy nr 127/2005 Sb., o łączności elektronicznej.
Osobno sprawdzamy także ustawienia belki cookie, bo właśnie w tym obszarze w praktyce pojawiają się częste uchybienia. Weryfikujemy zwłaszcza, czy zgodę można odmówić równie łatwo, jak jej udzielić, czy poszczególne opcje nie są wstępnie zaznaczone, czy wygląd lub układ belki nie prowadzi użytkownika do określonego wyboru oraz czy udzieloną zgodę można później łatwo cofnąć.
Uwagę poświęcamy również komunikacji z usługami podmiotów trzecich. Strona może bowiem wczytywać zewnętrzne skrypty lub przekazywać dane podmiotom trzecim, zanim odwiedzający udzieli odpowiedniej zgody.
Wyniki audytu otrzymasz w przejrzystym raporcie PDF, zwykle w ciągu tygodnia od zgłoszenia.
Co na to przepisy
Poniżej najczęstsze uchybienia.
Plików cookie nie reguluje w pierwszej kolejności RODO
Używanie plików cookie reguluje § 89 ust. 3 czeskiej ustawy nr 127/2005 Sb., o łączności elektronicznej. Od 1 stycznia 2022 r. zapisywanie danych w urządzeniu użytkownika albo dostęp do danych już w nim zapisanych jest, poza wyjątkami przewidzianymi ustawą, możliwe wyłącznie za jego uprzednią, wykazywalną zgodą. Obowiązek ten obejmuje także dane, które nie są danymi osobowymi. Argument, że strona nie przetwarza przez cookies żadnych danych osobowych, sam w sobie nie oznacza więc, że zgoda użytkownika nie jest wymagana.
„Schválením novely zákona o elektronických komunikacích byly s účinností k 1. lednu 2022 odstraněny jakékoli nejasnosti, a provozovatelé internetových platforem mohou shromažďovat osobní údaje od návštěvníků pouze na základě jejich prokazatelného souhlasu, podle principu opt-in.“
Wyjątek jest węższy, niż się sądzi
Bez zgody można używać tylko plików cookie niezbędnych do przesłania komunikatu w sieci łączności elektronicznej albo do świadczenia usługi, o którą użytkownik wyraźnie poprosił. Typowo chodzi na przykład o cookies potrzebne do działania koszyka lub logowania użytkownika. Pliki cookie używane do pomiaru odwiedzin, marketingu lub śledzenia zachowań użytkowników z reguły pod te wyjątki nie podpadają.
„Výjimku představují pouze tzv. technické cookies, které jsou nezbytné pro správnou funkci internetových aplikací.“
„Nejednalo se tedy o technickou cookie, která je nutná k samotnému fungování webové stránky a kterou je v rámci zákonné úpravy možné používat nezávisle na vůli návštěvníka webových stránek.“
Kary za zaniedbanie
Zapisywanie nietechnicznych plików cookie bez uprzedniej zgody użytkownika może stanowić naruszenie obowiązków przy przetwarzaniu danych osobowych, w tym zasady zgodności z prawem z art. 5 ust. 1 lit. a) RODO. Naruszenie podstawowych zasad przetwarzania może być karane według art. 83 ust. 5 RODO, który ustala górną granicę administracyjnej kary pieniężnej na 20 milionów euro, a w przypadku przedsiębiorstwa do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa. (To ustawowa górna granica za naruszenie wymienionych zasad RODO; konkretna wysokość kary zależy od okoliczności danego przypadku.) W praktyce takie uchybienie może być skutkiem niedostatecznej kontroli nad ustawieniami i działaniem strony.
„Vzhledem k tomu, že výše uvedený jeden soubor cookie instalovala obviněná do koncových zařízení subjektů údajů bez jejich souhlasu, porušila tím § 89 odst. 3 zákona č. 127/2005 Sb. a tedy – ve vztahu k osobním údajům, které byly prostřednictvím tohoto souboru cookie získány – zásadu zákonnosti ve smyslu čl. 5 odst. 1 písm. a) nařízení (EU) 2016/679. Porušením zásady zákonnosti jakožto jedné ze základních zásad zpracování osobních údajů se obviněná dopustila přestupku podle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb.“
Nietechnicznych plików cookie nie wolno zapisać, zanim odwiedzający wybierze
Najpierw zgoda, dopiero potem nietechniczne pliki cookie. Jednym z najczęstszych uchybień jest sytuacja, w której belka cookie jest na stronie wyświetlana, ale analityczne i marketingowe pliki cookie są zapisywane już przy jej wczytaniu, czyli zanim użytkownik dokona jakiegokolwiek wyboru. Belka nie spełnia wtedy swojej roli, bo zgoda udzielona dopiero po zapisaniu cookies nie może być uprzednią zgodą użytkownika.
„před odsouhlasením/neodsouhlasením cookie lišty byly nastaveny netechnické cookies, včetně marketingových a analytických;“
Odmowa musi być równie łatwa jak akceptacja
Wymogi dotyczące ważnej zgody wynikają przede wszystkim z art. 4 pkt 11 i art. 7 RODO. Do problematycznych ustawień belki cookie należy na przykład brak równorzędnej możliwości odmowy zgody w tej samej warstwie, wstępnie zaznaczone lub w inny sposób domyślnie wybrane opcje albo ukrycie odmowy za przyciskiem „Ustawienia“. Problematyczna może być również taka szata graficzna belki, która możliwość odmowy nieproporcjonalnie tłumi w porównaniu z udzieleniem zgody. Użytkownik musi też mieć możliwość cofnięcia udzielonej zgody w każdej chwili, a jej cofnięcie musi być równie łatwe jak udzielenie.
„Aby měl subjekt údajů možnost svobodné volby, musí být odmítnutí souhlasu stejně jednoduché jako jeho udělení, čehož je dosaženo umístěním tlačítka pro udělení souhlasu a pro nesouhlas s netechnickými cookies do stejné vrstvy cookie lišty.“
„Předem zaškrtnutá políčka nelze považovat za souhlas v souladu s obecným nařízením. Ke stejnému závěru dospěl i Soudní dvůr EU ve svém rozhodnutí ve věci Planet49 GmbH (C 673/17).“
„Umístění možnosti volby pro „souhlas“ a „nesouhlas“ se zpravováním osobních údajů prostřednictvím souborů cookies do různých vrstev v rámci cookies lišt, kterým je návštěvník cíleně ovlivňován, aby souhlas udělil (tzv. DDP – Deceptive Design Pattern / Klamavý designový vzor);“
„Nemožnost (či výrazné zkomplikování možnosti) odvolat souhlas se zpracováním osobních údajů prostřednictvím cookies souborů;“
Zamknięcie belki to nie zgoda, a wejścia na stronę nie wolno od niej uzależniać
Samego zamknięcia belki cookie krzyżykiem ani dalszego korzystania ze strony nie można uznać za udzielenie zgody. Zgoda musi być wynikiem aktywnego i jednoznacznego działania użytkownika. Problematyczne jest również uzależnianie dostępu do strony od zgody na nietechniczne pliki cookie (tzw. „cookie wall“), bo tak uzyskana zgoda może nie spełniać wymogu dobrowolności.
„Uživatel musí svůj souhlas jednoznačně vyjádřit. Je-li možnost lištu zavřít, aniž by uživatel vyjádřil, zda souhlas uděluje, nelze její zavření a následné setrvání na internetových stránkách považovat za souhlas.“
„V bodě 39 Pokynů EDPB č. 05/2020 je v souvislosti s požadavkem na svobodný souhlas uvedeno, že přístup ke službám a funkcím nesmí být podmíněn souhlasem uživatele s uchováváním informací nebo získáním přístupu k již uloženým informacím v koncovém zařízení uživatele (tzv. cookie walls).“
Pełne dokumenty ÚOOÚ, z których cytujemy (po czesku):
Co może Cię spotkać
Powyżej podajemy kilka podstawowych zasad, które powinna spełniać każda strona. Jeśli chcesz sprawdzić, jak wygląda to u Ciebie, chętnie przeprowadzimy audyt. Wystarczy wypełnić formularz poniżej.
120+
pisemnych ostrzeżeń, które ÚOOÚ rozesłał operatorom stron, zanim zaczął karać.
4 443 000 CZK
w karach za pliki cookie, o których urząd poinformował w sierpniu 2023 r.
898 000 CZK
najwyższa pojedyncza kara — za marketingowe pliki cookie wgrane bez zgody odwiedzającego.
Użycie narzędzia do belki cookie samo w sobie nie gwarantuje zgodności z prawem
W decyzji o sygn. UOOU-02808/22-7 operator strony miał wdrożone narzędzie Cookiebot do zarządzania zgodami. Samo jego użycie nie zapewniło jednak prawidłowego ustawienia strony: nietechniczne pliki cookie były zapisywane jeszcze przed wyborem użytkownika, marketingowy plik cookie został zaliczony do technicznych, a niektóre pliki cookie miały ustawiony okres ważności na dwa lata. Samo wdrożenie zewnętrznego narzędzia nie zwolniło więc operatora z odpowiedzialności za rzeczywiste działanie strony.
Nasz audyt nie sprawdza więc tylko tego, czy masz belkę cookie ani jakiego narzędzia używasz. Mierzymy, co Twoja strona faktycznie robi w przeglądarce odwiedzającego, niezależnie od zastosowanego rozwiązania do zarządzania zgodami.
Co dostaniesz
Raport w PDF
Ustalenia uszeregowane według wagi, przy każdym ze wskazaniem właściwego przepisu.
Podzielone na wykazane i do zweryfikowania
Wyraźnie rozróżniamy, co wykazaliśmy pomiarem, a co trzeba zweryfikować dodatkowo. Na przykład rzeczywistej niezbędności konkretnego pliku cookie nie zawsze da się ocenić wyłącznie z zewnątrz — jego cel może zależeć od wewnętrznego działania i implementacji strony.
Bez zobowiązań i bez warunków
Audyt do 15 podstron Twojej strony jest całkowicie bezpłatny i nie wiąże się z żadnymi dalszymi zobowiązaniami. Wyniki przekażemy Ci wraz z przeglądem ustaleń i ewentualnych możliwości naprawy. To wyłącznie Twoja decyzja, czy i jak z nich skorzystasz. Jeśli zdecydujesz się usunąć stwierdzone uchybienia, chętnie Ci w tym pomożemy.
Czego audyt nie potrafi
Audyt ocenia stronę z perspektywy jej odwiedzającego. Widzi więc tylko to, co da się ustalić w przeglądarce — nie bada kodu działającego na serwerze, systemów wewnętrznych ani tego, jak dalej postępujesz na przykład z danymi zebranymi przez formularze.
Audyt nie jest też opinią prawną. Opisuje, co stwierdziliśmy podczas kontroli strony, i wskazuje przepisy, których dane ustalenie może dotyczyć. Ostateczna ocena prawna konkretnej sytuacji może wymagać dalszych informacji, których samym pomiarem strony nie da się uzyskać.
Chcę audyt strony
Wypełnij formularz, odezwiemy się.