Z marketingového pohledu je cookies lišta obvykle první kontakt webu s návštěvníkem. Hlavním cílem je zajistit vysokou míru proklikovosti, nízký “bounce rate”, soulad textace i grafiky s brandem a přitom být v souladu s právní úpravou. 

Textace

Textace sice obsahuje z hlediska práva povinné body (cookies / účely / tlačítka / odkaz na další informace), ty ale můžete popsat různě, pokud bude výsledek srozumitelný a naopak nebude zavádějící. V žádosti můžete vsadit na minimalismus, nebo se naopak rozpovídat. Pro některé stránky může fungovat třeba úvodní “Rádi máme přehled. To platí i pro náš web. (…)”. Stejně tak můžete různě formulovat textaci (ne)souhlasu.

Grafická úprava

Marketingové cíle plní samozřejmě také grafická úprava. Základním právním omezením je, že vyjádřit nesouhlas má být stejně jednoduché (co do kliků a stráveného času), jako jej neudělit. Určitě je možné tlačítka i samotnou lištu mít v různých barevných kombinacích (myslete ale na přístupnost!). Stejně tak je možné v rámci lišty využít grafiky sušenky nebo přímo do tlačítek vložit odpovídající emotikony. Častou otázkou je, jestli je možné barevně zvýraznit tlačítko souhlasu. Zatímco některé dozorové úřady přísně doporučují stejnou barvu a tón, další spíše zmiňují, že design nemá být zavádějící (např. tím, že tlačítko nesouhlasu je šedé a nepůsobí na první pohled “klikatelně”) a některé dokonce zvýraznění používají na svých stránkách. Český Úřad tlačítko souhlasím sám zvýrazňuje a ve svém FAQ doplňuje, že by tlačítko souhlasu “např. nemělo být výrazně větší či výrazně barevnější než tlačítko odmítám”, je tedy zvýraznění nakloněn více, než úřady jiné. Obecně tedy zvýraznění pro lepší pochopení a odlišení voleb (ale ne pro vnucení souhlasu) je v pořádku. 

Nabízet hned v první vrstvě možnost dát souhlas s konkrétními kategoriemi cookies není z pohledu práva nutné, graficky je to také příliš komplikované. 

Křížek v liště?

Za zbytečné považujeme přidávat do lišty křížek. Pokud je v liště pouze tlačítko “souhlas” (a křížek je tedy jedinou možností, jak dát nesouhlas), nesplňuje tento návrh podmínku, že možnosti mají být na stejné úrovni a formátu. Pokud křížek funguje jen jako doplněk k tlačítkům souhlas-nesouhlas, dáváte tím, aniž byste museli, uživateli jednoduchou cestu, jak souhlas neudělit, případně jak volbu odložit. 

Z interního testování a výzkumů plyne, že lišta nebo rámeček v dolní části přináší vyšší proklikovost, než horní umístění. Stejně tak je běžné, že tlačítko vlevo znamená odmítnutí nebo “jít zpět”, tlačítko vpravo přijetí nebo “jít dál”. Tento grafický vzor dává smysl dodržet i při návrhu cookie lišty.

Ano. Úprava dopadá na ukládání údajů nebo získávání přístupu k údajům, s tím že uložení a přístup nemusí být vedeny jedinou stranou. Dovozuje se, že fingerprinting zařízení skrze přístup např. k MAC adrese nebo údajům uloženým výrobcem pod úpravu spadá, byť nic (cookie) ze strany webu uloženo na zařízení nebylo. Souhlas je tedy v těchto případech vyžadován stejně jako u cookies a totéž platí pro výjimky z této povinnosti. 

Věcně se může úprava vztáhnout též např. na mobilní aplikace, smart TV a další zařízení.

Přestože je pop-up okno široce používáno a jako jednu z možností jej zmiňují i některé dozorové úřady, tato možnost je právně problematická a pro návštěvníky obtěžující. Právně žádost o souhlas nemá zbytečně narušit využívání služby, s tím že nabízí využít méně rušivé možnosti lišty oproti pop-upu. Z hlediska UX využívání pop-upů zvyšuje bounce rate, byť může být v některých případech odůvodnitelné. Pokud se rozhodnete pop-up využívat, je doporučováno umožnit návštěvníkům klikem mimo okno pokračovat v prohlížení. Zároveň svůj postoj k pop-upům může v budoucnu, po vzoru jiných zemí, upřesnit Úřad pro ochranu osobních údajů.

Při využití cookies mohou uživatelé, stejně jako dozorové úřady jednoduše využít automatizovaného sběru ukládaných cookies a lišt pro odhalení zjevných porušení. Takto se i český Úřad v roce 2015 zapojil do koordinovaného průzkumu webových stránek v EU, které využívalo v prvním kroce průzkumu automatický nástroj (toho času poskytnutý britským úřadem). Současně též budí pozornost iniciativa organizace noyb v čele s Maxem Schremsem, která svůj polo-automatický systém WeComply plánuje využít pro hromadné upozornění a následné podání stížností. A konečně, poučený uživatel může sám přímo z prohlížeče zkontrolovat, jaké cookies jsou či nejsou ukládány. Zkrátka, i přes množství existujících webových stránek se kontrola cookies ze strany třetích stran stává jednodušší a nedodržení právní úpravy o to rizikovější. Přestože je možnost kontrol cookies jednoduchá, Úřad přihlíží k celkovému kontextu a alespoň snaze o dodržení úpravy.

Bylo a i současná právní úprava tomu v principu nebrání (český Úřad proto “tuto možnost nevylučuje”). Problémem je, že nemáme jednotný standard nastavení cookies v prohlížečích, který by splňoval vyžadované náležitosti souhlasu. Zejména je obvykle nastavení skryto v různých podzáložkách menu, v základním nastavení prohlížeč dává s uložením cookies souhlas a obecně řečeno prohlížeč také nemůže technicky ovlivnit využití těch technik, které se obejdou bez ukládání souborů do zařízení (device fingerprinting). Prozatím tedy nelze spoléhat na nastavení prohlížeče, přestože se tato možnost může změnit. 

Pokud byl souhlas získán v souladu se všemi současnými podmínkami, zůstává v platnosti. 

Prvně je třeba vzít v potaz, že definice osobních údajů je velmi široká a posoudit, zdali se skutečně o zpracování osobních údajů nejedná. Následně, i když se na danou stránku vztahuje pouze úprava cookies (a ne úprava ochrany osobních údajů), podoba a “kvalita” získaného souhlasu je stále určena skrze odkaz na GDPR. Jinak řečeno, těžiště povinností – získat souhlas splňující výše uvedené nároky – se nijak nemění, jak potvrdila též judikatura Soudního dvora. 

Na první pohled je inspirace z jiných zemí EU dobrý nápad, když “opt-in” režim byl v Česku zaveden s desetiletým zpožděním. Dle výzkumů ovšem velké množství stránek i v jiných zemích v různých aspektech porušuje právní úpravu. Nadto je nutné mít na paměti možný rozdíl v přístupu dozorových úřadů. Vhodnou inspirací může být řešení dostupné na webových stránkách evropských institucí a dozorových úřadů, byť překvapivě i u nich byly v minulosti  zaznamenány případy porušení této úpravy. 

Ano, zákazník musí mít možnost souhlas odvolat a ta má být stejně jednoduchá, jako bylo souhlas dát. Ideální je tedy mít možnost přes patičku dostat se k podrobnějším informacím a nastavení a zde umožnit vyvolání lišty. Po odvolání souhlasu je třeba upravit preference daného návštěvníka a dále nepoužívat odpovídající cookies. Odvolání souhlasu ale nijak nemění zákonnost předchozího zpracování. 

Zatímco některé consent management platformy rozlišují více než desítku různých kategorií dle účelů nebo umožnují přidat si účel vlastní, nejčastější je rozdělení do následujících čtyř kategorií: 

• Nezbytné cookies (nutné pro fungování stránky);
• Preferenční cookies (umožňující zapamatovat si úpravu stránky);
• Analytické cookies (sledující a analyzující chování návštěvníka);
• Marketingové cookies (vč. cookies umožňujících doručování cílené reklamy).