Už prakticky není web, na kterém byste se při první návštěvě nepotkali s výzvou o zpracování vašich osobních dat, kterou můžete přijmout, upravit, či úplně odmítnout. Uživatelé často hovoří o otravných tlačítkách, která co nejrychleji odklikávají a ani příliš nepřemýšlejí nad tím, s čím vlastně souhlasí či nesouhlasí. To je ale na jinou debatu. Důležité je, že provozovatelé webů tyto výzvy předkládají proto, že kvůli lepšímu online marketingu chtějí o svých návštěvnících vědět co nejvíce, ale nemohou je sledovat bez jejich souhlasu. Zákony a nařízení se přitom v tomto ohledu dál zpřísňují.

Spolu se známým Obecným nařízením o ochraně osobních údajů (GDPR) mělo původně v roce 2016 vstoupit v platnost také nové nařízení zvané ePrivacy, které je o ochraně soukromí online. Legislativní proces se ovšem zasekl a na příchod nového nařízení, které by nahradilo zastaralé směrnice v této oblasti, stále čekáme. Konečná verze metodiky by měla vyjít letos v létě a bedlivě ji sleduje mnoho internetových hráčů.

Proč? Nařízení ePrivacy se totiž věnuje ochraně soukromého života a osobních údajů v elektronických komunikacích, přičemž upravuje tři hlavní oblasti: zasílání elektronického marketingu, ochranu důvěrnosti elektronických komunikací a ochranu koncových zařízení uživatelů při používání cookies a podobných technologií.

Online marketing přitom velmi často cílí na konkrétní adresáty. Často je k tomu nutný souhlas uživatele. Nová metodika evropských úřadů pro ochranu dat chce nutnost získávat souhlas ještě více rozšířit. Co přesně může přinést a jaký je současný stav i vývoj ochrany osobních údajů v rámci digitální analytiky a marketingu?

Jak a proč nás reklamní platformy měří

Reklamní platformy sledují uživatele ze dvou hlavních důvodů. Jsou jimi lepší cílení reklamy a doložení její návratnosti. Online marketing je totiž postaven na myšlence absolutní doměřitelnosti. Jako kontrast ke klasickým médiím byl internet vždy představován jako místo, kde jsme schopni změřit cestu zákazníka od zobrazení reklamy přes návštěvu webové stránky až po finální nákup.

Reklamní platforma (Google, Meta a podobně) tak na jedné straně potřebuje mechanismus, díky kterému bude schopna spárovat zobrazení reklamy a prodej produktu konkrétnímu uživateli. Na druhé straně sleduje celkové chování uživatele, aby znala jeho zájmy, životní situaci i nákupní preference, a byla tak schopna svou reklamu dobře cílit.

Monitorování či profilování konkrétních lidí a sledování účinnosti zobrazení reklamy nejsou oddělenými nádobami. Naopak, reklamní platformy využívají ke zpřesnění uživatelova profilu informace ze stránek, které na základě dříve zobrazených reklam navštívil. A často využívají i informace, co na těchto stránkách dělal, na co kliknul, co si koupil.

Aby to fungovalo, reklamní platformy potřebují zajistit párování konkrétního uživatele v rámci reklamní platformy i jeho chování mimo ni – na stránkách inzerenta.

Cookies jsou základ

Nejběžnější technologie, díky které to celé funguje, jsou cookies. Uživatel přijde na stránku a do počítače se mu uloží cookies. Jsou to textové soubory, do kterých se nahrávají informace o jeho chování na dané stránce. Ty mocnější, cookies třetích stran, umožňují „sledovat“ uživatele nejen na jedné stránce, ale napříč internetem. Může je totiž vytvářet a upravovat jiná doména, než na které se uživatel nachází (typicky je vytváří právě reklamní platforma).

Cookies třetích stran představují největší zásah do soukromí. Jelikož právní úprava mezi cookies prvních a třetích stran nerozlišuje, přebírají aktivitu některé prohlížeče (z velkých je to Firefox, Safari, ke konci 2024 by se měl přidat i Chrome) a některá zařízení (Apple ITP). Cookies třetích stran tyto prohlížeče či zařízení buď kompletně blokují, či výrazně omezují.

Proto se reklamní platformy snaží párování uživatelů řešit jiným způsobem. Dnešním trendem je snaha o přenesení odpovědnosti za sběr dat z reklamní platformy na inzerenta.

Jak nahradit cookies třetích stran?

Různé přístupy si můžeme demonstrovat na příkladu Facebook Ads, které byly dříve na cookies třetích stran také závislé. Facebook Pixel, který se používá pro vyhodnocování cílené reklamy Facebook Ads a který dříve fungoval s cookies třetích stran, nyní můžeme spouštět i s cookies prvních stran. S facebookovým profilem se cookies propojí díky unikátnímu uživatelskému identifikátoru, Facebook click id (fbclid), které Facebook generuje do odkazu v momentě zobrazení reklamy.

Faktickým omezením využitelnosti cookies je jejich navázanost na jedno zařízení, respektive prohlížeč či profil v rámci prohlížeče. Jelikož lidé často přistupují k internetu z více zařízení (pracovní počítač, soukromý tablet, mobilní telefon), jsou možnosti vyhodnocení jejich chování a spotřebitelských zvyklostí čistě na úrovni cookies limitované.

Proto Facebook umožňuje inzerentům kromě Facebook Pixelu využívat své Conversion API. Díky němu může inzerent posílat informace o pohybu uživatele bez využití cookies přímo „server to server“, tedy bez nutnosti ukládat cokoliv do počítače uživatele.

V momentě, kdy uživatel přijde na web inzerenta, vloží zboží do košíku, dokončí objednávku nebo udělá jakoukoliv jinou pro inzerenta hodnotnou akci, může inzerent přes Facebook Conversion API poslat informaci o této události. A aby Facebook tuto událost spároval s uživatelem, kterému zobrazil reklamu, inzerent přes Facebook API posílá například jméno, adresu, datum narození, telefonní číslo či e-mail uživatele.

Pokud je u něj uživatel registrovaný, může tato data posílat od prvního zobrazení stránky. U neregistrovaných uživatelů je inzerent většinou má až ke konci nákupu a obohacuje tak o ně až události z objednávkového procesu.

Fingerprint: otisk prstu nebo otisk počítače?

Další z metod sledování, které nevyžadují ukládání čehokoliv do zařízení koncového uživatele (a kterou například zmíněný Facebook nepodporuje), je fingerprinting. Snaha získat a analyzovat kombinaci různých dat týkajících se konkrétního uživatele, například informace o poloze, zařízení, výrobci a modelu, operačním systému, prohlížeči a jeho rozšířeních, nastavení displeje, hardwaru.

Kombinace těchto dat je do slušné míry schopna identifikovat jednotlivce, respektive odlišit od sebe různé uživatele. Proti využívání fingerprintingu se prohlížeče i zařízení snaží aktivně zasahovat. Přestože existují reklamní nástroje, které fingerprinting aktivně využívají, výraznější trend vidíme v přenášení právní odpovědnosti za sběr informací na inzerenty.

Hlavní právní předpisy pro online marketing

Při adresném online marketingu, včetně využívání reklamních platforem, je nutno brát v potaz dvě hlavní regulace:

• ePrivacy směrnici, která mj. řeší ochranu soukromí při poskytování či využívání služeb elektronických komunikací; do českého práva ji převádí (transponuje) především zákon č. 127/2005 Sb., o elektronických komunikacích
• Obecné nařízení o ochraně osobních údajů (GDPR), které nastavuje pravidla pro další využití (zpracování) získaných dat (osobních údajů); nařízení je přímo účinné a závazné

V čem se liší zaměření těchto předpisů?

Směrnice ePrivacy a příslušné části českého zákona o elektronických komunikacích chrání soukromí a související práva uživatelů v online světě.

Obecné nařízení o ochraně osobních údajů (GDPR) je, jak ostatně napovídá jeho název, obecným právním předpisem. To znamená, že se, až na drobné výjimky, uplatní na každé zpracování osobních údajů. To ovšem neplatí, pokud určitý druh zpracování nebo některý jeho aspekt upravuje sektorová regulace, například v oblasti zdravotnictví, školství, finančního sektoru a tak dále. Nebo při online marketingu, jak to dělá ePrivacy směrnice, respektive zákon o elektronických komunikacích.

Co všechno je v online prostředí osobním údajem?

GDPR pojmy osobní údaj a zpracování údajů definuje velmi široce.

Osobním údajem se rozumí každá informace, která se týká identifikované nebo přímo či nepřímo identifikovatelné osoby, i když ji třeba ten, kdo tyto informace využívá, sám identifikovat nedokáže. Stačí, když tuto osobu dokáže odlišit od ostatních uživatelů, návštěvníků webu, například vlastním ID či analýzou jeho prohlížeče a zařízení (fingerprint). Zpracováním je pak takřka každá operace s osobními údaji, kterou si lze představit.

Co to znamená v praxi?

Pokud chce kdokoliv získávat informace o činnosti uživatele v online prostředí, například prostřednictvím cookies, musí splňovat podmínky ePrivacy směrnice a českého zákona o elektronických komunikacích. Jestliže získané informace splňují definici osobních údajů a organizace je chce dále využívat, musí k tomu plnit i povinnosti podle GDPR.

Zní to komplikovaně? Buďme ještě konkrétnější.

Pro přístup k datům, která uživatel má ve svém internetovém prohlížeči, nebo pro uložení dalších dat do jeho prohlížeče za účelem marketingu, analytiky, měření návštěvnosti webu a tak dále je podle ePrivacy směrnice, a od roku 2022 i podle českého zákona o elektronických komunikacích, nezbytný předchozí souhlas uživatele.

Tyto předpisy neznají – jindy tak oblíbený – oprávněný zájem. Takže marketingové či analytické cookies lze získávat vždy jen se souhlasem uživatele, bez ohledu na to, jestli se jedná o cookies první nebo třetí strany.

Pokud ovšem z cookies o uživateli získáte další informace nebo je naopak spojíte s daty, která už máte, například o jím využívaných produktech či službách, zařazení do určitého segmentu a tak dále, a tuto datovou sadu dále využíváte například pro vylepšení svých procesů pro obsluhu klientů nebo pro ochranu před podvodníky, jste v režimu GDPR. A pro navazující zpracování v některých případech lze použít oprávněný zájem, na druhé straně je nutné plnit další povinnosti, které GDPR pro každé zpracování osobních údajů ukládá.

Opt-in pro cookies? Možná i pro IP adresy či data z internetu věcí

Evropský sbor pro ochranu osobních údajů, orgán sdružující dozorové úřady pro ochranu dat z celé EU, v listopadu 2024 vydal návrh metodiky k rozsahu záběru ePrivacy směrnice. Dozorové úřady se snaží upřesnit, co všechno představuje onen zásah do soukromí v online prostředí, na které musíme uplatnit odlišná, a v něčem přísnější, pravidla.

Co přesně říká příslušný čl. 5 odst. 3 ePrivacy směrnice?

Členské státy zajistí, aby uchovávání informací nebo získávání přístupu k již uchovávaným informacím bylo v koncovém zařízení účastníka nebo uživatele povoleno pouze pod podmínkou, že dotčený účastník či uživatel poskytl svůj souhlas poté, co mu byly poskytnuty jasné a úplné informace v souladu se směrnicí 95/46/ES (nyní v souladu s GDPR), mimo jiné o účelu zpracování. To nebrání technickému ukládání nebo takovému přístupu, jehož jediným účelem je provedení přenosu sdělení prostřednictvím sítě elektronických komunikací, nebo je-li to nezbytně nutné k tomu, aby mohl poskytovatel služeb informační společnosti poskytovat služby, které si účastník nebo uživatel výslovně vyžádal.

Česká republika to provádí prostřednictvím § 89 odst. 3 zákona o elektronických komunikacích takto:

Každý, kdo hodlá používat nebo používá sítě elektronických komunikací k ukládání údajů nebo k získávání přístupu k údajům uloženým v koncových zařízeních účastníků nebo uživatelů, získá od těchto účastníků nebo uživatelů předem prokazatelný souhlas s rozsahem a účelem jejich zpracování. Tato povinnost neplatí pro technické ukládání nebo přístup výhradně pro potřeby přenosu zprávy prostřednictvím sítě elektronických komunikací nebo je-li to nezbytné pro potřeby poskytování služby informační společnosti, která je výslovně vyžádána účastníkem nebo uživatelem.

Pro určení rozsahu informací, na které se tyto předpisy vztahují, jsou důležité právě ty vytučněné pojmy: Ukládání nebo získávání přístupu k informacím uloženým v koncovém zařízení. Tyto dva druhy zásahu do soukromí uživatelů odrážejí zájmy, které regulace chrání: Důvěrnost komunikací a ochrana integrity koncového zařízení uživatele.

A právě na příkladu cookies si můžeme ukázat, jak to regulace myslí.

Uživatel se připojí na webovou stránku. Její provozovatel v tom okamžiku přistupuje do jeho prohlížeče a zkoumá, jaké informace o uživateli může z uložených cookies získat. Google ID, Seznam ID, informace o tom, že se jedná o již známého (zalogovaného) uživatele, jaké jsou jeho preference rozlišení či zobrazení webu, odkud na web přišel a tak dále.

A v průběhu připojení také nějaké informace, cookies, do prohlížeče ukládá. Například o aktivitě uživatele na jeho webu, parametrech jeho připojení, o tom, jaké zboží či služby si prohlížel a tak dále.

Návrh metodiky Evropského sboru pro ochranu osobních údajů se ovšem snaží tento záběr výrazně rozšířit. V příkladech sledovacích technik, které by podle jejich názoru měly také být v režimu ePrivacy směrnice, totiž uvádí i ty, které technicky neznamenají ani přístup k informacím uloženým v koncovém zařízení uživatele, ani ukládá žádných dalších dat.

Jedná se například o sledování (trackování) aktivit uživatele prostřednictvím jeho IP adresy, využívání unikátních URL adres, monitorování informací (dat), které o sobě samy šíří některé věci připojené k internetu, získávání fingerprintu a tak dále.

Právě na všechny tyto situace by se podle názoru Evropského sboru měla vztahovat ePrivacy směrnice, respektive její národní transpozice. Pro využití těchto dat k jiným než technicky nezbytným účelům by tak byl potřeba předchozí souhlas uživatele. Souhlas aktivní, informovaný a svobodný.

Kdy bude metodika závazná?

Evropský sbor loni předložil návrh metodiky k veřejné konzultaci, připomínky mohl kdokoliv zaslat až do 18. ledna 2024. Podle dosavadních zkušeností lze očekávat, že sbor obdržel řadu připomínek a komentářů, některé z nich asi i zohlední a konečnou verzi metodiky vydá letos v létě.

Věřme, že takto extenzivní výklad, který navíc zřejmě postrádá jednoznačnou oporu v právu, v konečném znění nebude. Třeba proto, že Evropský sbor sezná, že se ve svém výkladu nechal opravdu tak trochu unést nad rámec právních předpisů.

Co se ovšem stane, když Evropský sbor na svém výkladu setrvá?

Z právního hlediska to bude poměrně zajímavá situace. Český zákon o elektronických komunikacích se uplatní jen na situace, kdy je přistupováno k informacím v koncovém zařízení uživatele nebo jsou do něj další informace ukládány. A zákon má větší sílu než právně nezávazné metodické doporučení.

Jsou tu dvě ale: Úřad pro ochranu osobních údajů, který dodržování této části zákona o elektronických komunikacích kontroluje, může mít tendenci svůj výklad přibližovat výkladu Evropského sboru. A tím fakticky posouvat, respektive rozšiřovat hranice působnosti zákona. Dosavadní zkušenosti sice podle názoru autorů tuto obavu spíše nepotvrzují, ale tlak na jednotnost výkladu GDPR a souvisejících předpisů roste.

Druhá obava je ryze praktická a zřejmě reálnější: Pokud by na tento výklad přistoupili velcí hráči v oblasti online analytiky a marketingu a uzpůsobili by mu podmínky využívání svých produktů a nástrojů, metodika by fakticky ovlivnila každého, kdo by chtěl tyto nástroje nadále využívat. Pod tlakem jejich poskytovatelů by tak musel například získávat souhlasy uživatelů, ačkoliv by tak podle lokálních předpisů zřejmě vždy dělat nemusel.

Dopad nové metodiky na digitální analytiku a online marketing celkově

Pro většinu firem se z hlediska digitální analytiky nic dramaticky nezmění – nástroje typu Google Analytics fungují na principu cookies prvních stran, tedy již nyní k jejich používání potřebujeme uživatelův souhlas.

Zasáhlo by to firmy, které více využívají fingerprinting. Ten se ale v praxi složitě dokazuje. Technicky je daleko jednodušší jeho omezení ze strany prohlížečů či koncových zařízení než vymahatelnost ze strany dozorového úřadu. Trend bránit tomuto způsobu identifikace uživatelů tu ze strany prohlížečů a dalších hráčů už je, přijetí tohoto výkladu by jej zřejmě jen posílilo.

Na co by nová úprava určitě měla vliv, je předávání informací o uživateli a jeho online aktivitě reklamním platformám nad rámec využití cookies. Což je právě příklad Facebook Conversion API či Google Enhanced Conversions. Ty nyní teoreticky mohou inzerenti posílat bez souhlasu uživatele, pokud si dokáží obhájit oprávněný zájem ve smyslu GDPR.

Pokud by ovšem nový výklad rozšířil záběr ePrivacy směrnice, která oprávněný zájem jako právní důvod ke sdílení dat nezná, tato možnost by zcela odpadla. Na straně reklamních platforem i digitální analytiky navíc stále sílí trend modelovaných dat. Způsob modelování se liší, ale často je založený na práci s trendem a sbírání anonymních dat (tedy dat nespojených a nespojitelých s konkrétním uživatelem). Právě díky nim můžeme v kombinaci s naměřenými daty obarvit slepá místa.