$ audit --gdpr https://vas-web.cz
Zkontrolujeme Váš web dřív, než to udělá ÚOOÚ
Úřad pro ochranu osobních údajů kontroluje webové stránky a při zjištění porušení může jejich provozovatelům uložit finanční postih.
Audit projde web, provede kontrolu a upozorní na problémy dřív — máte tak možnost je napravit.
Standardně audit prochází do 15 stránek, což ve většině případů stačí.
Nechcete číst podrobnosti?
Chci GDPR audit webu ↓Rozsah auditu
Audit probíhá z pohledu návštěvníka webu, tedy „zvenku“. Nezjišťujeme, jaký nástroj nebo řešení máte nasazené, ale ověřujeme, jak se Váš web skutečně chová v prohlížeči návštěvníka. Kontrolujeme, jaké údaje ukládá a s jakými službami třetích stran komunikuje ještě předtím, než návštěvník provede jakoukoli volbu, a zda toto chování odpovídá požadavkům § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích.
Samostatně kontrolujeme také nastavení cookie lišty, protože právě v této oblasti se v praxi objevují častá pochybení. Ověřujeme zejména, zda lze souhlas odmítnout stejně snadno jako udělit, zda nejsou jednotlivé možnosti předem zaškrtnuté, zda vzhled nebo uspořádání lišty nevede uživatele k určité volbě a zda lze již udělený souhlas následně snadno odvolat.
Pozornost věnujeme rovněž komunikaci se službami třetích stran. Web totiž může načítat externí skripty nebo předávat údaje třetím stranám ještě předtím, než návštěvník udělí příslušný souhlas.
Výsledky auditu obdržíte v přehledném PDF reportu, zpravidla do jednoho týdne od podání žádosti.
Co na to zákon
Níže uvádíme nejčastější prohřešky.
Cookies neřeší v první řadě GDPR
Používání cookies upravuje § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích. Od 1. ledna 2022 platí, že ukládání údajů do zařízení uživatele nebo přístup k údajům, které jsou v něm již uloženy, je až na zákonem stanovené výjimky možné pouze s jeho předchozím prokazatelným souhlasem. Tato povinnost se vztahuje i na údaje, které nejsou osobními údaji. Argument, že web prostřednictvím cookies žádné osobní údaje nezpracovává, proto sám o sobě neznamená, že souhlas uživatele není vyžadován.
„Schválením novely zákona o elektronických komunikacích byly s účinností k 1. lednu 2022 odstraněny jakékoli nejasnosti, a provozovatelé internetových platforem mohou shromažďovat osobní údaje od návštěvníků pouze na základě jejich prokazatelného souhlasu, podle principu opt-in.“
Jinými slovy: Od 1. ledna 2022 mohou provozovatelé webů shromažďovat osobní údaje návštěvníků pouze s jejich prokazatelným souhlasem.
Výjimka je užší, než se čeká
Bez souhlasu lze používat pouze cookies, které jsou nezbytné pro přenos zprávy prostřednictvím sítě elektronických komunikací nebo pro poskytnutí služby, kterou si uživatel výslovně vyžádal. Typicky jde například o cookies nezbytné pro fungování nákupního košíku nebo přihlášení uživatele. Cookies používané pro měření návštěvnosti, marketing nebo sledování chování uživatelů do těchto výjimek zpravidla nespadají.
„Výjimku představují pouze tzv. technické cookies, které jsou nezbytné pro správnou funkci internetových aplikací.“
„Nejednalo se tedy o technickou cookie, která je nutná k samotnému fungování webové stránky a kterou je v rámci zákonné úpravy možné používat nezávisle na vůli návštěvníka webových stránek.“
Pokuty z důvodu zanedbání
Ukládání netechnických cookies bez předchozího souhlasu uživatele může představovat porušení povinností při zpracování osobních údajů, včetně zásady zákonnosti podle čl. 5 odst. 1 písm. a) GDPR. Porušení základních zásad zpracování může být sankcionováno podle čl. 83 odst. 5 GDPR, který stanoví horní hranici správní pokuty ve výši 20 milionů eur, nebo v případě podniku až 4 % jeho celkového celosvětového ročního obratu za předchozí finanční rok, podle toho, která hodnota je vyšší. (Jde o maximální zákonnou hranici pro porušení uvedených zásad GDPR; konkrétní výše sankce závisí na okolnostech jednotlivého případu.) V praxi přitom může být takové pochybení důsledkem nedostatečné kontroly nastavení a fungování webových stránek.
„Vzhledem k tomu, že výše uvedený jeden soubor cookie instalovala obviněná do koncových zařízení subjektů údajů bez jejich souhlasu, porušila tím § 89 odst. 3 zákona č. 127/2005 Sb. a tedy – ve vztahu k osobním údajům, které byly prostřednictvím tohoto souboru cookie získány – zásadu zákonnosti ve smyslu čl. 5 odst. 1 písm. a) nařízení (EU) 2016/679. Porušením zásady zákonnosti jakožto jedné ze základních zásad zpracování osobních údajů se obviněná dopustila přestupku podle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb.“
Netechnické cookies se nesmí uložit dřív, než návštěvník zvolí
Nejdřív souhlas, až potom netechnické cookies. Jedním z nejčastějších pochybení je situace, kdy je cookie lišta na webové stránce sice zobrazena, avšak analytické a marketingové cookies jsou ukládány již při jejím načtení, tedy ještě předtím, než uživatel učiní jakoukoli volbu. V takovém případě cookie lišta neplní svůj účel, neboť případný souhlas udělený až po uložení cookies nemůže představovat předchozí souhlas uživatele.
„před odsouhlasením/neodsouhlasením cookie lišty byly nastaveny netechnické cookies, včetně marketingových a analytických;“
Odmítnout musí být stejně snadné jako přijmout
Požadavky na platný souhlas vycházejí zejména z čl. 4 bodu 11 a čl. 7 GDPR. Mezi problematická nastavení cookie lišty patří například absence rovnocenné možnosti souhlas odmítnout ve stejné vrstvě, předem zaškrtnuté či jinak předvolené možnosti nebo skrytí odmítnutí za tlačítko „Nastavení“. Problematické může být také takové grafické provedení lišty, které možnost odmítnutí oproti udělení souhlasu nepřiměřeně potlačuje. Udělený souhlas musí mít uživatel zároveň možnost kdykoli odvolat, přičemž jeho odvolání musí být stejně snadné jako jeho udělení.
„Aby měl subjekt údajů možnost svobodné volby, musí být odmítnutí souhlasu stejně jednoduché jako jeho udělení, čehož je dosaženo umístěním tlačítka pro udělení souhlasu a pro nesouhlas s netechnickými cookies do stejné vrstvy cookie lišty.“
Jinými slovy: Odmítnutí souhlasu musí být stejně jednoduché jako jeho udělení, čehož lze dosáhnout umístěním tlačítek pro udělení a odmítnutí souhlasu s netechnickými cookies do stejné vrstvy cookie lišty.
„Předem zaškrtnutá políčka nelze považovat za souhlas v souladu s obecným nařízením. Ke stejnému závěru dospěl i Soudní dvůr EU ve svém rozhodnutí ve věci Planet49 GmbH (C 673/17).“
„Umístění možnosti volby pro „souhlas“ a „nesouhlas“ se zpravováním osobních údajů prostřednictvím souborů cookies do různých vrstev v rámci cookies lišt, kterým je návštěvník cíleně ovlivňován, aby souhlas udělil (tzv. DDP – Deceptive Design Pattern / Klamavý designový vzor);“
„Nemožnost (či výrazné zkomplikování možnosti) odvolat souhlas se zpracováním osobních údajů prostřednictvím cookies souborů;“
Zavření lišty není souhlas a vstup na web se nesmí souhlasem podmiňovat
Pouhé zavření cookie lišty křížkem ani pokračování v používání webu nelze považovat za udělení souhlasu. Souhlas musí být výsledkem aktivního a jednoznačného jednání uživatele. Problematické je rovněž podmiňovat přístup k webu udělením souhlasu s používáním netechnických cookies (tzv. „cookie wall“), protože takto získaný souhlas nemusí splňovat požadavek svobodného udělení.
„Uživatel musí svůj souhlas jednoznačně vyjádřit. Je-li možnost lištu zavřít, aniž by uživatel vyjádřil, zda souhlas uděluje, nelze její zavření a následné setrvání na internetových stránkách považovat za souhlas.“
„V bodě 39 Pokynů EDPB č. 05/2020 je v souvislosti s požadavkem na svobodný souhlas uvedeno, že přístup ke službám a funkcím nesmí být podmíněn souhlasem uživatele s uchováváním informací nebo získáním přístupu k již uloženým informacím v koncovém zařízení uživatele (tzv. cookie walls).“
Celé dokumenty ÚOOÚ, ze kterých citujeme, ke stažení:
Co Vás může potkat
Výše uvádíme několik základních pravidel, která by měl každý web splňovat. Pokud si chcete ověřit, jak je na tom právě ten Váš, rádi Vám provedeme audit. Stačí vyplnit formulář níže.
120+
písemných upozornění, která ÚOOÚ rozeslal provozovatelům webů, než začal pokutovat.
4 443 000 Kč
v pokutách za cookies, o kterých úřad informoval v srpnu 2023.
898 000 Kč
nejvyšší jednotlivá pokuta — za marketingové cookies nahrané bez souhlasu návštěvníka.
Použití nástroje pro cookie lištu samo o sobě nezaručuje soulad se zákonem
V rozhodnutí č. j. UOOU-02808/22-7 měl provozovatel webu nasazený nástroj Cookiebot pro správu souhlasů. Jeho samotné použití však nezajistilo správné nastavení webu: netechnické cookies byly ukládány ještě před volbou uživatele, marketingová cookie byla zařazena mezi technické a některé cookies měly nastavenu dobu platnosti na dva roky. Samotné nasazení externího nástroje tak provozovatele nezbavilo odpovědnosti za skutečné fungování webu.
Náš audit proto neověřuje pouze to, zda máte cookie lištu nebo jaký nástroj používáte. Měříme, co Váš web skutečně dělá v prohlížeči návštěvníka, a to nezávisle na použitém řešení pro správu souhlasů.
Co dostanete
Report v PDF
Nálezy seřazené podle závažnosti, u každého s uvedením příslušného ustanovení právních předpisů.
Rozdělené na prokázané a k ověření
Jasně rozlišujeme, co jsme prokazatelně změřili a co je třeba ověřit dodatečně. Například skutečnou nezbytnost konkrétní cookie nelze vždy posoudit pouze zvenku — její účel může záviset na interním fungování a implementaci webu.
Bez závazku a bez podmínek
Audit až 15 stránek Vašeho webu je zcela zdarma a bez jakýchkoli navazujících závazků. Výsledky Vám předáme spolu s přehledem zjištění a případných možností nápravy. Je jen na Vás, zda a jak s nimi dále naložíte. Pokud se rozhodnete zjištěné nedostatky řešit, rádi Vám s tím pomůžeme.
Co audit neumí
Audit posuzuje web z pohledu jeho návštěvníka. Vidí tedy pouze to, co lze zjistit v prohlížeči — nezkoumá kód běžící na serveru, interní systémy ani to, jak dále nakládáte například s údaji získanými prostřednictvím formulářů.
Audit zároveň není právním stanoviskem. Popisuje, co jsme při kontrole webu zjistili, a uvádí právní ustanovení, kterých se dané zjištění může týkat. Konečné právní posouzení konkrétní situace může vyžadovat další informace, které samotným měřením webu nelze získat.
Chci audit webu
Vyplňte formulář, ozveme se Vám.