Piškotki na spletni strani: kaj zahteva ZEKom-2 in kje strani najpogosteje kršijo

Spletna stran sme brez vaše privolitve v brskalnik obiskovalca shraniti samo piškotke, ki so nujni za delovanje storitve, ki jo je obiskovalec sam zahteval: košarico, prijavo, obrazec. Vse ostalo, tudi Google Analytics in Meta Pixel, sme začeti delovati šele, ko obiskovalec klikne »Sprejmi«. Tako določa 225. člen Zakona o elektronskih komunikacijah (ZEKom-2), pogoje za veljavno privolitev pa postavlja Splošna uredba o varstvu podatkov (GDPR). V praksi veliko slovenskih strani pasico sicer ima, a merilne kode naložijo še pred klikom, gumb za zavrnitev pa skrijejo ali ga sploh ni. V nadaljevanju pojasnjujemo, kaj zakon zahteva, kje strani najpogosteje kršijo in kako stanje na svoji strani preverite sami v desetih minutah.

Kaj določa 225. člen ZEKom-2

Zakon o elektronskih komunikacijah (ZEKom-2, Uradni list RS, št. 130/22) v 225. členu določa, da je shranjevanje podatkov v terminalski opremi uporabnika in dostop do teh podatkov dovoljeno samo, če je uporabnik v to privolil, potem ko je bil jasno in izčrpno obveščen o upravljavcu in namenih obdelave. Pravilo ne velja samo za piškotke, ampak za vsako shranjevanje ali branje podatkov v napravi obiskovalca, torej tudi za lokalno shrambo brskalnika (localStorage) in podobne tehnologije.

Zakon pozna dve izjemi. Privolitev ni potrebna za tehnično shranjevanje ali dostop, ki je namenjen izključno prenosu sporočila po elektronskem komunikacijskem omrežju, in za shranjevanje, ki je nujno potrebno za zagotovitev storitve, ki jo je uporabnik izrecno zahteval. Nadzor nad izvajanjem člena izvaja Informacijski pooblaščenec (IP RS).

Kaj pomeni veljavna privolitev, zakon ne opredeljuje sam, ampak napotuje na predpise o varstvu osebnih podatkov. Po GDPR mora biti privolitev prostovoljna, konkretna, informirana in nedvoumna, dana z izjavo ali jasnim pritrdilnim dejanjem, upravljavec pa jo mora znati dokazati. Informacijski pooblaščenec je pravila za piškotke podrobno razložil v Smernicah o uporabi piškotkov in podobnih sledilnih tehnologij (december 2023). Iz njih povzemamo večino tega članka.

Kateri piškotki so nujni in kateri ne

Smernice IP RS nujne piškotke razlagajo ozko: nujni so le tisti, brez katerih storitve, ki jo je obiskovalec zahteval, ni mogoče zagotoviti. Nujnost se presoja z vidika uporabnika, ne z vidika lastnika strani. Da lastnik nekaj potrebuje za svoje poslovanje, na primer oglaševanje ali merjenje obiska, piškotka ne naredi nujnega.

Pri analitiki so smernice nedvoumne: analitični piškotki nikoli niso nujni, zato morajo upravljavci zanje vedno pridobiti predhodno privolitev. To velja tudi za analitiko, ki jo izvaja strežnik spletne strani sam, in tudi, ko je merjenje obiska za podjetje pomembno.

Smernice zahtevajo tudi, da obiskovalec ve, kateri konkretni piškotki se uporabljajo, s kakšnim namenom in kako dolgo trajajo. Seznam samo po kategorijah (nujni, analitični, oglaševalski) ne zadošča.

Kaj šteje za veljavno privolitev

Smernice IP RS in evropska praksa se strinjajo v naslednjih točkah:

• Privolitev mora biti predhodna. Upravljavec jo mora pridobiti, preden namesti piškotek. Rešitve, pri katerih se piškotki namestijo ob obisku, uporabnik pa jih lahko le naknadno zavrne (opt-out), po smernicah niso ustrezne.
• Nadaljnje brskanje ni privolitev. Pasica z besedilom »z nadaljnjo uporabo strani se strinjate s piškotki« uporabniku ne da izbire. Če obiskovalec ne izbere ničesar, smete namestiti le nujne piškotke.
• Vnaprej označena polja niso privolitev. Tako je odločilo tudi Sodišče EU v zadevi C-673/17 (Planet49).
• Zavrnitev mora biti na voljo. Smernice zahtevajo, da pasica vsebuje gumb »Ne strinjam se« ali drug podoben način, s katerim obiskovalec zavrne nenujne piškotke. Gumb »Sprejmi samo nujne« ima enak učinek.
• Brez zavajajočega oblikovanja. Če je gumb za sprejem večji, bolj poudarjen ali lažje dosegljiv od gumba za zavrnitev, je izbira lahko dejansko odvzeta. Evropski odbor za varstvo podatkov je v poročilu delovne skupine za pasice piškotkov (januar 2023) zapisal stališča nadzornih organov o odsotnosti zavrnitve na prvi ravni pasice in o zavajajočih barvah in kontrastu gumbov.
• Izbira po namenih. Obiskovalec mora imeti možnost, da privoli ločeno vsaj po vrstah piškotkov, na primer v analitiko, ne pa v oglaševanje.
• Preklic enako enostaven kot privolitev. Na strani mora biti stalno dosegljiva povezava ali ikona, s katero obiskovalec svojo izbiro spremeni. Po preklicu mora upravljavec nenujne piškotke izbrisati, če je to tehnično izvedljivo, ali obiskovalcu natančno razložiti, kako jih izbriše sam.
• Brez zidu iz piškotkov. Pogojevanje dostopa do strani s privolitvijo v vse piškotke praviloma ni dovoljeno.

Kaj mora vsebovati pasica in kaj politika piškotkov

Smernice ločijo informacije, ki jih mora obiskovalec dobiti takoj, od tistih, ki so lahko na povezavi. Že v pasici, preden obiskovalec privoli, mora izvedeti najmanj, da stran uporablja piškotke, kakšne piškotke, s kakšnim namenom in kdo je upravljavec. Ostale informacije so lahko na enostavno dostopni povezavi, praviloma v politiki piškotkov ali politiki zasebnosti, in obsegajo med drugim:

• identiteto in kontaktne podatke upravljavca ter kontakt pooblaščene osebe za varstvo podatkov,
• namene obdelave in pravno podlago,
• uporabnike podatkov, na primer ponudnike analitike in oglaševanja,
• morebiten prenos podatkov v tretje države in podlago zanj,
• obdobje hrambe oziroma rok trajanja piškotkov,
• pravice obiskovalca, možnost preklica privolitve in pravico do pritožbe pri nadzornem organu.

Smernice svetujejo, da politika piškotkov našteje vse piškotke posamično, z namenom in rokom trajanja vsakega. Glede trajanja zapišejo, da naj bo rok omejen na čas, potreben za namen piškotka, nujni piškotki pa naj bodo v večini primerov sejni.

Kje slovenske strani najpogosteje kršijo

Pri pregledih spletnih strani najpogosteje naletimo na iste napake. Večina ni posledica slabega namena, ampak tehnične nastavitve, ki je nihče ni preveril v čistem brskalniku.

1. Merilne kode se naložijo pred klikom

Pasica je na strani, a koda Google Analytics, Google Tag Manager z oglaševalskimi oznakami ali Meta Pixel se naloži že ob prvem obisku. V brskalniku nastanejo piškotki, kot sta _ga in _fbp, še preden obiskovalec karkoli izbere. Pogost vzrok je koda, vstavljena neposredno v predlogo teme ali prek vtičnika, ki ne čaka na odločitev v pasici.

2. Na prvi ravni pasice ni gumba za zavrnitev

Pasica ponuja »Sprejmi vse« in »Nastavitve«, zavrnitev pa je skrita na drugi ravni ali pa je ni. Obiskovalec, ki ne želi piškotkov, mora opraviti več korakov kot tisti, ki jih sprejme.

3. Pasica se ne prikaže zaradi predpomnjenja ali CSS

Vtičniki za hitrost združujejo in zgoščujejo CSS in JavaScript. Če med optimizacijo izgine slog ali skripta pasice, se pasica obiskovalcem ne prikaže, lastnik pa tega pogosto ne opazi, ker je sam izbiro že shranil. Na svoji strani smo naleteli na prav ta primer in ga odpravili tako, da smo slog pasice izvzeli iz združevanja.

4. Seznam piškotkov ne ustreza stanju

Politika piškotkov našteva piškotke iz časa, ko je bila stran objavljena. Medtem so prišli novi vtičniki, piksli in vdelave, ki jih seznam ne omenja, ali pa so piškotki napačno uvrščeni med nujne.

5. Zavrnitev ali preklic nimata učinka

Obiskovalec klikne »Zavrni«, merilne kode pa se ob naslednjem nalaganju strani vseeno naložijo. Ali pa po privolitvi ni nikjer povezave, s katero bi izbiro spremenil.

6. Vdelave, ki nastavijo piškotke ob nalaganju

Videoposnetki YouTube, Googlov zemljevid ali vtičnik Facebook strani v standardni obliki nastavijo piškotke tretjih oseb že ob nalaganju strani, ne šele ob kliku.

Kako stanje preverite sami

Za osnovni pregled ne potrebujete posebnega orodja, le brskalnik Chrome ali Firefox:

1. Odprite zasebno okno (v Chromu Ctrl+Shift+N oziroma Cmd+Shift+N). V njem ni shranjenih piškotkov in ne prejšnje izbire v pasici.
2. Odprite orodja za razvijalce (F12 ali Cmd+Option+I) in izberite zavihek Application (v Firefoxu Storage), nato Cookies.
3. Naložite svojo stran in ne klikajte ničesar. Poglejte, kateri piškotki so nastali. Če vidite _ga, _gid, _fbp, _gcl_au ali podobne, se merilne kode naložijo pred privolitvijo.
4. Preverite zavihek Network. V iskalno polje vpišite collect, facebook ali gtag in osvežite stran. Zahteve k Googlu ali Meti pred klikom kažejo isto težavo.
5. Kliknite »Zavrni«, osvežite stran in ponovite koraka 3 in 4. Po zavrnitvi nenujnih piškotkov ne sme biti.
6. Preverite preklic. V novem zasebnem oknu kliknite »Sprejmi«, nato poiščite povezavo ali ikono za spremembo izbire. Če je ni, obiskovalec privolitve ne more preklicati.
7. Primerjajte seznam. Piškotke, ki ste jih videli po sprejemu, primerjajte s seznamom v politiki piškotkov.

Pregled ponovite po vsaki namestitvi novega vtičnika, piksla ali vdelave in po spremembi nastavitev predpomnjenja.

Kaj upoštevati pri novi strani ali prenovi

Piškotke je najlažje urediti, ko se stran gradi. Pri izdelavi spletne strani naj bo vsaka merilna in oglaševalska koda vezana na kategorijo v pasici, tako da se naloži šele po privolitvi, vdelave tretjih oseb pa naj se, kjer je mogoče, naložijo šele ob kliku. Zgornji pregled v čistem brskalniku naj bo del preverjanja pred objavo, ne pa nekaj, kar opravite, ko pride pritožba. Če vas poleg piškotkov zanima, kako vašo stran razumejo Google in AI iskalniki, začnite z brezplačnim SEO, GEO in AEO pregledom.

Članek povzema veljavne predpise in smernice Informacijskega pooblaščenca na dan objave in ni pravni nasvet. Dokončno presojo posameznega primera opravi Informacijski pooblaščenec.

Če načrtujete novo spletno stran ali prenovo in želite, da so piškotki od začetka nastavljeni pravilno, nam predstavite projekt.