Zvýšená pozornost byla v posledních dnech věnována rozsudku Soudního dvora EU ve výše uvedené věci ze dne 1/10/2019, který se věnoval problematice ukládání cookies. V tomto právním oběžníku tak pro internetové obchodníky shrnujeme závěry, ke kterým soud v rámci tohoto rozhodnutí došel.
Provedený výklad čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích bude mít v České republice v tuto chvíli spíše omezenější význam, a to vzhledem k současné chybné implementaci v českém právu. Konkrétně se jedná o ustanovení § 89 odst. 3 zákona o elektronických komunikacích (zákon č. 127/2005 Sb., ve znění pozdějších předpisů), v rámci kterého nebyla prozatím zohledněna změna předmětné směrnice, ke které došlo již v roce 2009. Zatímco zmiňovaný čl. 5 odst. 3 směrnice je tak v současné době založen na principu opt-in, zůstává ustanovení § 89 odst. 3 zákona o elektronických komunikacích stále koncipováno na principu opt-out.
V souvislosti s problematikou využívání cookies raději pro úplnost připomínáme, že v případě, kdy jsou v rámci cookies ukládány informace, které jsou osobními údaji, bude na takové zpracování v plném rozsahu dopadat také regulace GDPR . Osobními údaji jsou informace, které umožňují identifikovat konkrétní fyzickou osobu nebo se týkají již identifikované fyzické osoby. Přestože regulace v oblasti ochrany osobních údajů a regulace v oblasti soukromí elektronické komunikace jsou ovládány některými společnými zásadami a jejich vnímání také často splývá, a to nejen u laické veřejnosti, je vhodné mezi nimi rozlišovat. Využívání cookies totiž nemusí být vždy také zpracováním osobních údajů.
K jakým závěrům tedy soud v této věci došel? Ve vztahu k souhlasu pro využívání cookies dle ustanovení čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích soud uvedl, že takový souhlas není „právoplatně udělen, pokud je ukládání informací nebo přístup k již uloženým informacím v koncovém zařízení uživatele internetových stránek prostřednictvím souborů cookies povoleno předem zaškrtnutým políčkem, jehož zaškrtnutí musí tento uživatel k odmítnutí svého souhlasu zrušit.“ To znamená, že pro tyto účely nelze považovat za souhlas uživatele s využíváním cookies, pokud je příslušný check-box na webové stránce předem zaškrtnut (pasivita uživatele není dostatečným projevem souhlasu). Dále soud poměrně logicky dovodil, že tuto otázku „nelze vykládat odlišně v závislosti na tom, zda informace uložené nebo prohlížené v koncovém zařízení uživatele internetových stránek jsou nebo nejsou osobními údaji.“ To znamená, že ve vztahu k souhlasu s využíváním cookies, není rozhodné, zdali jsou v rámci cookies ukládány osobní údaje či nikoliv. Požadavky na takový souhlas by měly být vždy shodné.
Poslední závěr, ke kterému SDEU v rámci diskutovaného rozsudku došel, se týkal rozsahu informační povinnosti osoby, která má v úmyslu cookies využívat. Konkrétně soud k této otázce uvedl, že „informace, které musí poskytovatel služeb poskytnout uživateli internetových stránek, zahrnují dobu funkčnosti souborů cookies, a zdali k těmto souborům cookies budou mít přístup třetí osoby.“
Josef Aujezdský, advokát
Tento text byl advokátní kanceláří Mašek, Kočí, Aujezdský původně vyhotoven ve spolupráci se spolkem Asociace pro elektronickou komerci (APEK) jako právní oběžník č. 9/2019 určený členům tohoto spolku.