GDPR a cookies na webu: co musí mít malá firma

Krátká odpověď: malý web potřebuje hlavně dvě věci. Zaprvé zásady ochrany osobních údajů, pokud sbírá jakékoli osobní údaje (třeba přes formulář). Zadruhé souhlas s cookies, pokud používá cookies nebo podobné technologie, které nejsou nezbytné, typicky reklamní a analytické nástroje. Měření návštěvnosti bez cookies a bez ukládání čehokoli do zařízení návštěvníka souhlas zpravidla nepotřebuje.

Tento článek je obecný přehled pro orientaci, nikoli právní rada.

Jaké předpisy se webu týkají?

• GDPR (obecné nařízení o ochraně osobních údajů, EU 2016/679) – pravidla pro zpracování osobních údajů.
• Zákon o zpracování osobních údajů (č. 110/2019 Sb.) – český zákon, který GDPR doplňuje.
• Zákon o elektronických komunikacích (č. 127/2005 Sb.) – mimo jiné pravidla pro ukládání a čtení informací v zařízení uživatele, tedy i cookies. Od roku 2022 platí v Česku pro nezbytně nepotřebné cookies princip předchozího souhlasu (opt-in).

Co je osobní údaj na webu?

Jakákoli informace, podle které lze člověka přímo nebo nepřímo identifikovat. Na webu typicky:

• jméno, e-mail a telefon z kontaktního formuláře,
• údaje z registrace nebo objednávky,
• IP adresa a online identifikátory, pokud se ukládají,
• údaje z cookies, které slouží ke sledování konkrétního návštěvníka.

Co mají obsahovat zásady ochrany osobních údajů?

1. Kdo údaje zpracovává (jméno nebo firma, IČO, kontakt).
2. Jaké údaje a proč (např. odpověď na poptávku).
3. Na jakém právním základě (např. plnění smlouvy, oprávněný zájem, souhlas).
4. Jak dlouho je uchováváte.
5. Komu je předáváte (hosting, e-mailová služba, účetní).
6. Jaká má člověk práva (přístup, oprava, výmaz, námitka, stížnost u ÚOOÚ).

Zásady pište srozumitelně a odkažte na ně z patičky a u každého formuláře.

Kdy potřebuju souhlas s cookies?

Pokud souhlas potřebujete, musí být předchozí (nástroje se spustí až po souhlasu), dobrovolný (odmítnutí stejně snadné jako přijetí) a odvolatelný. Předem zaškrtnutá políčka nebo „pokračováním souhlasíte“ nestačí.

Měření návštěvnosti bez cookies

Existují nástroje, které měří návštěvnost bez cookies a bez ukládání čehokoli do zařízení návštěvníka. Místo sledování konkrétního člověka počítají anonymní souhrny (kolik lidí přišlo, odkud, na které stránky). Protože do zařízení nic neukládají, nevztahuje se na ně povinnost souhlasu podle zákona o elektronických komunikacích. Pokud ale zpracovávají údaje jako IP adresu, i jen krátce, je dobré to uvést v zásadách ochrany osobních údajů, typicky s právním základem oprávněného zájmu.

Kontaktní formulář a GDPR

• Ptejte se jen na údaje, které opravdu potřebujete (minimalizace).
• U formuláře uveďte odkaz na zásady ochrany osobních údajů.
• Pokud zpracováváte údaje kvůli odpovědi na dotaz, souhlas obvykle nepotřebujete. Stačí informovat.
• Pokud chcete posílat newsletter, potřebujete samostatný souhlas (nezaškrtnutý předem).
• Údaje neuchovávejte déle, než je potřeba.

Časté chyby

• Cookie lišta, která nástroje spustí ještě před souhlasem.
• Chybějící tlačítko „Odmítnout“ na první úrovni lišty.
• Zásady zkopírované z cizího webu, které neodpovídají vašemu zpracování.
• Formulář bez odkazu na zásady.
• Vložené prvky třetích stran (videa, mapy, sociální sítě), které nastavují cookies bez souhlasu. Řešením je načíst je až po souhlasu nebo použít variantu bez cookies.

Jak mohou vypadat zásady pro malý web

Pro kadeřnictví s kontaktním formulářem může být osnova zásad zhruba takováto:

1. Kdo jsme: „Správcem osobních údajů je Jana Nováková, IČO …, adresa …, e-mail …“
2. Jaké údaje zpracováváme: jméno, telefon a e-mail, které vyplníte ve formuláři, a obsah zprávy.
3. Proč: abychom vám mohli odpovědět a domluvit termín.
4. Právní základ: jednání o smlouvě na vaši žádost, případně oprávněný zájem.
5. Jak dlouho: po dobu nutnou k vyřízení dotazu a dále po dobu stanovenou zákonem nebo nezbytnou pro ochranu našich práv.
6. Komu údaje předáváme: poskytovateli webhostingu a e-mailu, případně účetní.
7. Statistiky návštěvnosti: jaký nástroj používáte a jestli s cookies, nebo bez nich.
8. Vaše práva: přístup, oprava, výmaz, omezení, námitka, přenositelnost, stížnost u Úřadu pro ochranu osobních údajů.

Je to jen orientační osnova. Obsah musí odpovídat tomu, co na webu skutečně děláte.

Co dělat, když někdo požádá o výmaz nebo výpis údajů?

• Odpovězte bez zbytečného odkladu, nejpozději do jednoho měsíce. Ve složitějších případech lze lhůtu prodloužit, ale musíte to dotyčnému oznámit.
• Ověřte totožnost, abyste údaje nevydali nebo nesmazali někomu jinému.
• Najděte údaje všude, kde mohou být: e-mail, tabulky, rezervační systém, zálohy.
• Údaje, které musíte uchovávat ze zákona (například účetní doklady), smazat nemusíte. Vysvětlete to.
• Zapište si, co jste udělali a kdy. Hodí se to při případné kontrole.

Kontrolní seznam

• Vím, jaké osobní údaje můj web sbírá a proč?
• Mám srozumitelné zásady ochrany osobních údajů a odkaz na ně v patičce a u formulářů?
• Používám jen nezbytné cookies, nebo mám správně nastavený předchozí souhlas?
• Jde souhlas stejně snadno odmítnout jako přijmout a později odvolat?
• Spouští se analytické a reklamní nástroje až po souhlasu?
• Je na webu uvedeno, kdo za ním stojí, včetně kontaktu?

Shrnutí

Pro malý web platí: buďte transparentní, sbírejte jen nutné údaje a nespouštějte sledovací nástroje bez souhlasu. Weby vytvořené ve Foxli mají statistiky návštěvnosti bez cookies, takže kvůli nim cookie lištu nepotřebujete. Zásady ochrany osobních údajů ke svému webu ale doplňte podle toho, jaké údaje sbíráte. Související téma: Doména a hosting.