Soubory cookie v Nizozemsku: souhlas, analytika a online reklama

V Nizozemsku můžete umístit nebo číst soubory cookie na zařízení návštěvníka pouze po jasné informaci a předchozím souhlasu, pokud není soubor cookie nezbytně nezbytný pro službu, o kterou návštěvník požádal. Toto pravidlo je uvedeno v článku 11.7a zákona o telekomunikacích (Telecommunicatiewet, Tw), který provádí směrnici EU o soukromí a elektronických komunikacích; jedna úzká výjimka se týká analytických nástrojů s žádným nebo jen malým dopadem na soukromí. V případech, kdy soubory cookie zpracovávají osobní údaje, se na ně vztahuje GDPR, které vymáhá nizozemský Úřad pro ochranu osobních údajů ( Autoriteit Persoonsgegevens , AP).

Požadavek souhlasu platí bez ohledu na to, zda uložené informace představují osobní údaje, či nikoli. GDPR dále přidává pravidla týkající se kvality souhlasu a toho, co můžete s daty následně dělat. Tato stránka vysvětluje, které soubory cookie vyžadují souhlas, jak vypadá banner splňující požadavky, jak do něj zapadá analytika a reklama a kdo pravidla vymáhá.

Které soubory cookie vyžadují souhlas?

Všechny soubory cookie a podobné techniky vyžadují souhlas podle článku 11.7a(1) Tw, s výjimkou těch, které jsou uvedeny v článku 11.7a(3) Tw. Toto pravidlo se vztahuje na jakékoli ukládání informací nebo přístup k informacím na zařízení uživatele, takže se vztahuje i na sledovací pixely, lokální úložiště a otisky prstů zařízení, stejně jako na klasické soubory cookie.

Které soubory cookie jsou vyňaty?

Článek 11.7a(3) Tw vyjímá ukládání nebo přístup, které se používá pouze k provádění komunikace po síti nebo které je nezbytně nutné k poskytování služby, kterou si uživatel požádal. Typickými příklady jsou soubory cookie pro nákupní košík, přihlašovací relaci, vyvažování zátěže a zabezpečení.

Stejný odstavec vyjímá soubory cookie používané k získávání informací o kvalitě nebo efektivitě služby, za předpokladu, že nemají žádné nebo jen malé důsledky pro soukromí uživatele. Jedná se o výjimku pro analytiku, která je popsána níže. I u vyňatých souborů cookie musíte ve svých zásadách používání souborů cookie vysvětlit, k čemu slouží.

Kdy jsou soubory cookie osobními údaji?

Podle článku 11.7a(4) Tw se u souborů cookie používaných ke shromažďování, kombinování nebo analýze údajů o používání různých online služeb uživatelem, aby s uživatelem mohlo být zacházeno odlišně, předpokládá, že zahrnují zpracování osobních údajů. V praxi se to týká téměř všech sledovacích a reklamních souborů cookie.

Jakmile se jedná o osobní údaje, potřebujete také právní základ podle GDPR, oznámení o ochraně osobních údajů, smlouvu o zpracování se zpracovateli a záznamy o vámi získaném souhlasu.

Co činí souhlas platným?

Souhlas musí být svobodně udělený, konkrétní, informovaný a jednoznačný, učiněný jasným aktivním krokem a stejně snadno odvolatelný. Předem zaškrtnutá políčka, mlčení a pokračování v prohlížení se nepočítají.

Článek 11.7a(1)(a) Tw vyžaduje jasné a úplné informace v souladu s GDPR, v každém případě o účelech, pro které jsou informace použity. Sdělte návštěvníkovi, jaké kategorie souborů cookie používáte, které třetí strany přijímají data a jak dlouho soubory cookie zůstávají v zařízení.

Jak vypadá banner splňující požadavky na soubory cookie?

AP zastává názor, že odmítnutí musí být stejně snadné jako přijetí. „Přijmout“ a „odmítnout“ patří na stejnou vrstvu se stejnou důležitostí; možnost odmítnutí skrytá za „nastavením“ nebo druhou stránkou je častým důvodem pro vynucování.

• žádný nepodstatný soubor cookie ani skript se nespustí dříve, než návštěvník provede volbu;
• samostatné možnosti pro každou kategorii, například analytika a reklama;
• všechny volitelné kategorie jsou ve výchozím nastavení vypnuty;
• odkaz na zásady používání souborů cookie a trvalý odkaz „nastavení souborů cookie“ pro změnu nebo odvolání souhlasu;
• protokol souhlasů s uvedením, kdy byl souhlas udělen, k čemu a na základě které verze banneru.

Můžete použít cookie wall?

Pro webové stránky veřejnoprávních subjektů článek 11.7a(5) Tw zakazuje podmínit přístup souhlasem. U soukromých webových stránek se AP domnívá, že soubor cookie nucený návštěvníky přijímat sledovací soubory cookie nepředstavuje svobodný souhlas, a proto je třeba nabídnout přístup bez sledování.

Jak dlouho může jeden soubor cookie vydržet?

Ani směrnice o soukromí a elektronických komunikacích, ani zákon Tw nestanovují maximální dobu trvání. Principy GDPR týkající se omezení účelu a omezení ukládání vyžadují, aby doba trvání byla úměrná účelu, a musíte ji uvést ve svých informacích o souborech cookie před udělením souhlasu.

Vyžadují analytické soubory cookie souhlas?

Obvykle ano. Výjimka pro analytické účely v článku 11.7a(3)(b) Tw se uplatní pouze tehdy, pokud se soubory cookie používají výhradně k měření kvality nebo efektivity vaší vlastní služby a dopad na soukromí je nulový nebo nepatrný.

AP to uplatňuje úzce. V praxi musí konfigurace zajistit, aby poskytovatel analytických služeb nepoužíval data pro vlastní účely, aby IP adresy byly zkráceny nebo jinak maskovány, aby data nebyla kombinována s jinými službami ani použita pro reklamu a aby byla uzavřena smlouva o zpracování dat. Standardní instalace komerčního analytického balíčku tyto podmínky zřídka splňuje, a proto většina nizozemských webových stránek požaduje souhlas s analytickými službami.

Pokud návštěvníci odmítnou, vaše analytické nástroje se nesmí načíst. Zabudujte to do správce tagů, nejen do textu banneru.

Co platí pro reklamní soubory cookie a sledovací nástroje?

Reklama, retargeting a sledování sociálních médií vždy vyžadují předchozí souhlas podle článku 11.7a(1) Tw a předpokládá se, že zahrnují osobní údaje podle článku 11.7a(4) Tw. To platí jak pro soubory cookie první strany, tak pro soubory cookie třetích stran a pro pixely, konverzní tagy a podobné techniky.

Zůstáváte zodpovědní za to, co umožňujete třetím stranám umisťovat prostřednictvím vašich webových stránek. Zkontrolujte si své smlouvy s reklamními sítěmi a platformami: v mnoha případech jste vy a platforma společnými správci, což vyžaduje dohodu o odpovědnosti každé strany podle GDPR. Profilování na základě zvláštních kategorií údajů, jako je zdraví nebo politické názory, vyžaduje výslovný souhlas.

Co musí obsahovat vaše zásady používání souborů cookie a zásady ochrany osobních údajů?

Vaše zásady ochrany osobních údajů a zásady používání souborů cookie musí společně poskytovat informace, které vyžaduje článek 11.7a(1)(a) Tw a GDPR. Uveďte každý soubor cookie nebo kategorii, jeho účel, dobu jeho životnosti, zda se jedná o soubor cookie první nebo třetí strany a kteří příjemci data dostávají.

Nejasné účely, jako například „zlepšení vaší zkušenosti“, nestačí. Aktualizujte zásady vždy, když přidáte štítky nebo změníte nástroje, a v případě změny účelů si vyžádejte nový souhlas.

Kdo vymáhá pravidla pro soubory cookie a jaké jsou sankce?

Nařízení Tw i GDPR mají každý svého vlastního dozorce. Podle článku 15.1(3) Tw dohlíží na ustanovení Tw, která nejsou převedena na jiné osoby, včetně článku 11.7a, Úřad pro spotřebitele a trhy (ACM); podle článku 15.4(2) Tw může uložit pokutu až do výše 900 000 EUR, nebo pokud je pokuta vyšší, 1 % obratu.

Pokud soubory cookie zahrnují osobní údaje, jejichž sledování předpokládá článek 11.7a(4) Tw, AP vymáhá GDPR. Pokuty GDPR jsou vázány na celosvětový roční obrat a mohou být mnohem vyšší než pokuty Tw. Oba orgány dohledu mohou také uložit příkaz s pokutou (last onder dwangsom), který v praxi vynucuje rychlou změnu banneru.

Chystá se nová legislativa EU o souborech cookie?

Navrhované nařízení EU o soukromí a elektronických komunikacích, které má nahradit směrnici o soukromí a elektronických komunikacích, nebylo přijato. Článek 11.7a Tw proto v Nizozemsku zůstává platným pravidlem; předtím, než na základě něj budete jednat, ověřte jakékoli tvrzení o nových pravidlech pro soubory cookie v porovnání s aktuálním legislativním spisem.

Kdy potřebujete posouzení vlivu na ochranu osobních údajů (DPIA)?

GDPR vyžaduje posouzení vlivu na ochranu osobních údajů (DPIA) před zpracováním, které pravděpodobně povede k vysokému riziku pro jednotlivce, jako je rozsáhlé profilování nebo kombinování sledovacích údajů z několika zdrojů. Zaznamenejte účely, právní základ, rizika a zmírňující opatření, jako je pseudonymizace a krátké doby uchovávání.

Pokud posouzení vlivu na ochranu osobních údajů (DPIA) ukazuje vysoké riziko, které nemůžete zmírnit, musíte se před zahájením zpracování poradit s AP.

Co byste si měli jako majitel webových stránek ověřit?

• Spusťte kontrolu souborů cookie v čistém profilu prohlížeče: co se spustí předtím, než návštěvník provede volbu?
• Jsou možnosti „přijmout“ a „odmítnout“ v první vrstvě zobrazeny stejně výrazně a jsou volitelné kategorie ve výchozím nastavení vypnuty?
• Splňuje vaše konfigurace analytických nástrojů skutečně podmínky výjimky v článku 11.7a(3)(b) Tw, nebo potřebujete souhlas?
• Máte se svými analytickými a reklamními partnery smlouvy o zpracování nebo společné správě údajů?
• Mohou návštěvníci kdykoli odvolat souhlas prostřednictvím trvalého odkazu a je každý souhlas zaznamenán?
• Odpovídají vaše zásady používání souborů cookie souborům, které se skutečně načítají?

Ve většině auditů není mezerou text zásad, ale správce tagů: skript, který se načítá při zobrazení stránky bez ohledu na volbu návštěvníka. Nejprve opravte pořadí načítání a poté formulaci.

Co pro vás můžeme udělat s cookies a online reklamou?

V rámci naší práce právníka pro ochranu osobních údajů radíme firmám v Nizozemsku ohledně dodržování předpisů týkajících se souborů cookie.

• Váš banner s cookies a proces získání souhlasu kontrolujeme podle článku 11.7a Tw a pokynů AP.
• Vypracujeme nebo aktualizujeme vaše zásady používání souborů cookie a zásady ochrany osobních údajů.
• S analytickými a reklamními partnery prověřujeme a vyjednáváme dohody o zpracování a společné správě údajů.
• Provádíme nebo kontrolujeme posouzení vlivu na ochranu osobních údajů (DPIA) pro nové nástroje pro sledování nebo profilování.
• Odpovídáme vaším jménem na dotazy, vyšetřování nebo návrhy rozhodnutí AP nebo ACM.

Shrnutí

• Podle článku 11.7a Tw vyžadují soubory cookie a podobné techniky předchozí informace a souhlas, pokud nejsou nezbytně nutné nebo se nepoužívají pro analýzy s nízkým dopadem.
• U sledovacích souborů cookie se předpokládá, že zpracovávají osobní údaje, takže se na ně vztahuje i GDPR.
• Odmítnutí musí být stejně snadné jako přijetí; předem zaškrtnutá políčka a pokračování v prohlížení se nepovažují za souhlas.
• Většina předpřipravených analytických systémů vyžaduje souhlas; reklamní soubory cookie a pixely ho vždycky potřebují.
• ACM vymáhá článek 11.7a Tw (pokuty až do výše 900 000 EUR nebo 1 % obratu); AP vymáhá GDPR.

Často kladené otázky