Sľub „banner netreba“

Analytické nástroje zamerané na súkromie sa často prezentujú ako nástroje bez cookies a niektoré idú ďalej a naznačujú, že consent banner už nepotrebujete. Pre vydavateľa so štíhlym stackom je to lákavá myšlienka. Realita je jemnejšia. To, či je súhlas potrebný, závisí od toho, čo nástroj v zariadení skutočne robí, aké údaje spracúva, kde sú vaši používatelia a čo ešte beží na vašich stránkach.

Tento článok vysvetľuje otázky, ktoré si položiť, skôr než analytiku odstránite z nastavenia súhlasu. Ide o všeobecné usmernenie, nie o právne poradenstvo.

Cookies nie sú jediným spúšťačom

V EÚ pravidlo o súhlase pre zariadenia vychádza z článku 5 ods. 3 smernice ePrivacy. Pokrýva ukladanie informácií v zariadení používateľa alebo prístup k nim — nielen cookies. Pod ňu môže spadať lokálne úložisko, úložisko relácie, pixely, ktoré spôsobia čítanie informácií, a techniky odvodzujúce identifikátory z vlastností zariadenia. Európsky zbor pre ochranu údajov tento široký výklad stanovil v Usmerneniach 2/2023 o technickom rozsahu článku 5 ods. 3.

Preto „nenastavujeme cookies“ je začiatok analýzy, nie jej koniec. Musíte vedieť, či nástroj v zariadení vôbec niečo ukladá alebo číta.

Štyri otázky, ktoré treba položiť o každom analytickom nástroji

1. Ukladá alebo číta niečo v zariadení?

Po načítaní stránky skontrolujte panely úložiska prehliadača: cookies, lokálne úložisko, úložisko relácie, IndexedDB. Skontrolujte, či skript neobsahuje kód, ktorý zbiera vlastnosti zariadenia na vytvorenie identifikátora. Ak sa na analytické účely niečo ukladá alebo číta, pravidlo ePrivacy sa uplatní, pokiaľ sa nevzťahuje výnimka.

2. Spracúva osobné údaje?

Aj bez ukladania v zariadení analytika zvyčajne spracúva IP adresy, user agentov a URL stránok. Podľa GDPR to môžu byť osobné údaje. To vyžaduje právny základ — ktorým môže byť oprávnený záujem, nie súhlas — plus transparentnosť v oznámení o ochrane súkromia, minimalizáciu údajov a primeranú dobu uchovávania. „Žiadny banner“ nikdy neznamená „žiadne povinnosti“.

3. Platí výnimka v krajinách vašich používateľov?

Niektorí regulátori uznávajú, že obmedzené meranie publika môže byť vyňaté zo súhlasu, ak sú splnené prísne podmienky. Francúzsky CNIL zverejnil podmienky na výnimku pre sledovače merania publika a vedie program identifikujúci nástroje, ktoré možno nakonfigurovať tak, aby ich spĺňali. Podmienky zvyčajne zahŕňajú výlučne použitie prvej strany, len agregované štatistiky, žiadne sledovanie medzi webmi a obmedzené uchovávanie. Britský zákon Data (Use and Access) Act 2025 zaviedol nové výnimky z požiadavky PECR na súhlas, vrátane určitých štatistických účelov, podliehajúce podmienkam, ako jasné informácie a spôsob namietania. Nie každá krajina zastáva rovnaký názor, preto si overte situáciu na každom trhu, ktorý obsluhujete, a ktoré ustanovenia sú účinné.

4. Zdieľajú sa údaje s niekým ďalším?

Ak nástroj posiela údaje dodávateľovi, ktorý ich používa na vlastné účely alebo ich kombinuje naprieč zákazníkmi, výnimky vo všeobecnosti odpadajú. Prečítajte si podmienky spracúvania, nielen marketingovú stránku.

Čo zvyčajne stále vyžaduje súhlas

• Reklamné tagy. Vydavatelia financovaní reklamou potrebujú súhlas pre personalizovanú reklamu a pre ukladanie v zariadení reklamnými dodávateľmi, nech ich analytický nástroj robí čokoľvek.
• Nástroje s identifikátormi naprieč reláciami. Trvalé ID návštevníkov, aj prvej strany, zvyčajne vyvedú nástroj z väčšiny výnimiek.
• Záznam relácií a heatmapy. Zachytávajú podrobné správanie a len zriedka sa považujú za vyňaté meranie.
• Vložený obsah a sociálne widgety. Nastavujú vlastné cookies a identifikátory.
• Konverzné a remarketingové pixely. Existujú na prepojenie správania s reklamou.

Pre väčšinu webov financovaných reklamou je banner potrebný pre reklamný stack tak či tak. Skutočnou otázkou je, či má byť analytika jednou z podmienených kategórií, alebo môže bežať nezávisle na základe úzkej výnimky.

Praktický spôsob rozhodnutia

1. Vypíšte každý analytický skript a čo ukladá, číta a odosiela.
2. Určte krajiny, v ktorých je väčšina vašich používateľov.
3. Pri každom nástroji skontrolujte, či jeho konfigurácia spĺňa výnimku uznanú v týchto krajinách.
4. Nakonfigurujte nástroj na najprísnejšiu potrebnú verziu: skrátenie IP, žiadne trvalé ID, krátke uchovávanie, žiadne zdieľanie údajov.
5. Zdokumentujte zdôvodnenie a nechajte analytický nástroj uvedený v zásadách cookies a oznámení o ochrane súkromia tak či tak.
6. Skontrolujte znova, keď dodávateľ zmení produkt alebo sa zmenia vaše trhy.

Prevádzka vyňatej analytiky popri CMP

Ak sa rozhodnete, že nástroj spĺňa podmienky, uveďte ho v CMP ako nevyhnutný alebo vyňatý, aby bol zverejnený, ale nepodmienený, a zabezpečte, aby konfigurácia zostala v rámci výnimky. Mnohí vydavatelia si tiež ponechávajú analytické nastavenie závislé od súhlasu pre bohatšie meranie a pomocou Google Consent Mode v2 alebo podobných signálov ho upravujú podľa voľby používateľa. FlexyConsent podporuje Google Consent Mode v2 popri IAB TCF 2.4 a IAB GPP v1.1.

Kľúčové poznatky

• „Bez cookies“ automaticky neznamená „súhlas netreba“; článok 5 ods. 3 pokrýva akékoľvek ukladanie v zariadení alebo prístup k nemu.
• Analytika bez ukladania v zariadení môže stále spracúvať osobné údaje a potrebuje právny základ a transparentnosť.
• Výnimky pre meranie publika existujú v niektorých krajinách, ale s prísnymi podmienkami.
• Reklama, záznam relácií a remarketingové tagy stále potrebujú súhlas.
• Zdokumentujte, prečo sa nástroj považuje za vyňatý, a pravidelne to znova skontrolujte.