ePrivacy vs. GDPR: v čem se liší

GDPR^?Nařízení EU č. 2016/679, které reguluje zpracování osobních údajů fyzických osob na území EU. Platí pro každého, kdo zpracovává data jako jméno, e-mail, IP adresa nebo…Více ve slovníku → a ePrivacy^?Směrnice EU implementovaná v ČR zákonem o elektronických komunikacích, která reguluje ukládání informací do zařízení uživatele, tedy cookies, local storage a podobné mechanismy.…Více ve slovníku → se ve veřejné debatě zaměňují tak často, že z toho vznikají špatná rozhodnutí: bannery nasazené bez jasného důvodu a chybějící ochrana tam, kde by být měla.

ePrivacy: zákon o cookies

Směrnice ePrivacy (v ČR implementovaná zákonem o elektronických komunikacích) se vztahuje na ukládání informací do koncového zařízení uživatele i na získávání přístupu k informacím, které jsou v něm uložené. Nejde tedy jen o cookies, local storage nebo nový zápis do prohlížeče. Základem je předchozí souhlas^?Svobodný, konkrétní, informovaný a jednoznačný projev vůle návštěvníka, jímž souhlasí se zpracováním svých údajů pro daný účel. Vyžaduje ho ePrivacy pro cookies a GDPR pro…Více ve slovníku →; výjimky se týkají přenosu komunikace a operací nezbytných pro službu výslovně požadovanou uživatelem. Jejich použití se posuzuje podle konkrétního případu.

GDPR: zákon o osobních údajích

GDPR řeší zpracování osobních údajů - jméno, e-mail, IP adresa, identifikátor zařízení. Platí vždy, když zpracováváte data, která lze přiřadit konkrétní osobě nebo ji identifikovat. Má ale více právních základů: souhlas je jen jeden z nich.

Kde se obě normy míjejí

Cookieless analytika^?Způsob měření návštěvnosti a výkonu webu, který nevyžaduje vlastní analytické cookies v prohlížeči návštěvníka. U čistě serverového nasazení mohou data vznikat přímo ze…Více ve slovníku → nepoužívá vlastní analytické cookies, ale samotná absence cookies neurčuje, zda je potřeba souhlas podle ePrivacy. Podle výkladu EDPB může do jeho působnosti patřit i využití IP adresy nebo údajů z HTTP hlaviček pro sledování; případnou výjimku je nutné posoudit pro konkrétní nasazení. GDPR platí pro pseudonymní údaje dál: Trackless ukládá do reportních analytických dat hash IP adresy, nikoli její původní podobu. Oddělené provozní a bezpečnostní logy ale mohou IP adresu obsahovat. Stanovení právního základu a splnění informační povinnosti za celý web zůstává na provozovateli, který musí zohlednit také další nástroje na webu.

Mohlo by Vás zajímat: Co je Google Privacy Sandbox a proč ho cookieless řeší jinak · GDPR a analytika: co lze často měřit bez cookie souhlasu