← Zpět na blog Dark Patterns

Manipulace s kategoriemi: Jak CMP mění kategorii Google Analytics na "nezbytnou

· 6 min čtení
CMP Google Analytics §25 TDDDG Consent Manipulation Tracker Detection

Problém nesprávného zařazení je systematický, nikoli náhodný

Na tisících prověřených webových stránek se objevuje opakující se vzorec: Google Analytics – služba pro analýzu chování třetích stran provozovaná z infrastruktury v USA – se v platformách pro správu souhlasů (CMP) objevuje v kategorii „Základní“ nebo „Nezbytně nutné“. Nejedná se o náhodu v konfiguraci. Jedná se o záměrné obcházení požadavku na souhlas stanoveného v § 25(2) TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz), německé implementaci čl. 5(3) směrnice o elektronické komunikaci. Právní a technické argumenty proti této praxi jsou jednoznačné – vymáhání však zůstává nejednotné, což vytváří konkurenční tlak na provozovatele, kteří dodržují předpisy, aby se přidali.

Co § 25 odst. 2 TDDDG ve skutečnosti vyžaduje

§ 25 odst. 2 TDDDG vyjímaje ukládání nebo přístup k informacím na zařízeních koncových uživatelů z povinnosti získat souhlas pouze v případě, že jsou splněny dvě kumulativní podmínky: (1) jediným účelem je provedení přenosu komunikace přes veřejnou síť, nebo (2) ukládání nebo přístup je nezbytně nutné k poskytnutí telemediální služby výslovně požadované uživatelem. To odráží výklad Soudního dvora Evropské unie ve věci C-673/17 (Planet49), který potvrdil, že výjimku z nutnosti podle směrnice o soukromí a elektronických komunikacích je třeba vykládat úzce. Pokyny EDPB 05/2020 o souhlasu (v1.1, přijaté 4. května 2020) dále upřesňují, že analytické soubory cookie „nejsou nezbytně nutné“, protože služba může být poskytována i bez nich.

Klíčový test: Přestala by služba požadovaná uživatelem fungovat, kdyby tento soubor cookie/přístup k úložišti neexistoval? V případě Google Analytics: ne. Integrita relace, ověřování a nákupní košíky tento test splňují. Behaviorální analytika nikoli.

Stanovisko EDPB 5/2019 o vzájemném působení směrnice o soukromí a elektronických komunikacích a GDPR zdůrazňuje, že právním základem pro analytické sledovací nástroje musí být souhlas podle čl. 6 odst. 1 písm. a) GDPR, nikoli oprávněný zájem a rozhodně ne výjimka z důvodu nezbytnosti podle směrnice o soukromí a elektronických komunikacích. Klasifikace _ga, _gidnebo _ga_XXXXXXXX cookie za nezbytné je proto dvojnásobným porušením: obchází § 25 odst. 2 TDDDG a zpracovává osobní údaje bez platného právního základu podle GDPR.

Jak CMP technicky provádějí tuto manipulaci

Nesprávná kategorizace se obvykle projevuje v jedné ze tří technických forem:

  1. Statické přiřazení kategorie v konfiguraci CMP: Tag dodavatele CMP (např. Cookiebot, OneTrust, Usercentrics) ukládá definice souborů cookie v konfiguračním datovém bloku JSON. Provozovatel nebo agentura jednoduše přesune _ga záznam o souboru cookie z "statistics" do "necessary" v řídicím panelu CMP. Vrstva souhlasu pak nikdy nevysílá signál souhlasu pro tento soubor cookie a analytický skript se načte bezpodmínečně.
  2. Vložení skriptu před vyřešením souhlasu: Úryvek Google Analytics gtag.js nebo analytics.js je umístěn přímo <head> mimo jakýkoli kontejner správce tagů řízený CMP, což způsobí jeho spuštění před vyřešením zpětného volání souhlasu CMP. Uživatelské rozhraní CMP stále zobrazuje GA jako „nezbytné“, aby ospravedlnilo načtení před udělením souhlasu.
  3. Manipulace se spouštěčem Tag Manageru: V Google Tag Manageru je spouštěč konfiguračního tagu GA4 nastaven na All Pages namísto spouštěče vlastní události řízené souhlasem. Integrace CMP existuje pouze na úrovni uživatelského rozhraní vrstvy souhlasu, přičemž do GTM nedochází žádný skutečný blokovací signál.

Automatická detekce: technický manuál

Ruční auditování není škálovatelné. Následující automatizovaný přístup spolehlivě detekuje nesprávnou kategorizaci GA v produkčním prostředí:

1. Zachycení souhlasu v bezhlavém prohlížeči

Pomocí Playwrightu nebo Puppeteeru načtěte stránku bez interakce s CMP (simulace uživatele, který ještě neudělil souhlas). Zachyťte všechny odchozí síťové požadavky prostřednictvím API prohlížeče page.on('request') API. Označte všechny požadavky na *.google-analytics.com, analytics.google.comnebo obsahující cestu /g/collect (koncový bod měřicího protokolu GA4), který se spustí před jakoukoli interakcí týkající se souhlasu. Pozitivní zásah je silným důkazem sledování před udělením souhlasu.

2. Analýza cookie jar po odmítnutí

Simulujte výslovné odmítnutí souhlasu (kliknutím na „Odmítnout vše“) pomocí automatické detekce tlačítka CMP a poté vyprázdněte úložiště souborů cookie prohlížeče. Přítomnost _ga, _gidnebo _ga_* cookie po odmítnutí — nebo jejich absence v seznamu cookie deklarovaném CMP — naznačuje nesprávnou kategorizaci. Porovnejte detekované cookie s koncovým bodem deklarace cookie zveřejněným CMP (např. Cookiebot to zveřejňuje na https://consent.cookiebot.com/{CBID}/cc.js).

3. Kontrola hlavičky HTTP odpovědi

Analyzujte Set-Cookie hlavičky odpovědi během počátečního načtení stránky (před interakcí ohledně souhlasu). Analytické soubory cookie nastavené prostřednictvím HTTP odpovědi (implementace GA na straně serveru nebo tagování na straně serveru) zcela obcházejí blokování CMP na straně klienta. Zkontrolujte přítomnost SameSite a Secure příznaky jako sekundární signály záměru sledování třetí stranou. Set-Cookie: _ga=...; domain=.example.com; expires=... Záhlaví při počátečním načtení, před vyřešením souhlasu, je jasným porušením §25(2).

4. Identifikace sledovacích nástrojů na úrovni DNS

Zachyťte všechny DNS dotazy během načítání stránky (pomocí lokálního DNS proxy nebo protokolování DNS-over-HTTPS v prohlížeči). Porovnejte dotazované názvy hostitelů s blokovacím seznamem odvozeným ze seznamů ochrany proti sledování EasyPrivacy a Disconnect.me. Přiřaďte DNS dotazy k jejich kategorii deklarované CMP. Dotazy na www.google-analytics.com (CNAME: analytics.google.com, záznam A směřující na ASN 15169 společnosti Google) před udělením souhlasu představují sledování bez souhlasu bez ohledu na stav uživatelského rozhraní CMP.

Důkazní standardy pro stížnosti týkající se vymáhání

Německé orgány pro ochranu osobních údajů (zejména Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) a Datenschutzkonferenz (DSK)) zveřejnily strukturované pokyny k vymáhání práva v případě porušení pravidel týkajících se souborů cookie. Aby byla stížnost úspěšná, je třeba jako minimální důkazní balíček zdokumentovat následující:

  • Soubor HAR (HTTP Archive) zachycující celou sekvenci požadavků s časovými značkami, dokazující, že požadavky GA předcházely udělení souhlasu
  • Snímek obrazovky nebo videozáznam uživatelského rozhraní CMP zobrazující kategorizaci „Essential“
  • Datová náplň konfigurace JavaScriptu CMP (lze extrahovat z karty Síť v nástroji DevTools prohlížeče, filtrováním podle konfiguračního koncového bodu dodavatele CMP) zobrazující přiřazení kategorie
  • Údaje WHOIS/ASN potvrzující, že analytický koncový bod provozuje společnost Google LLC (třetí strana), což vyvrací jakýkoli argument o výjimce „první strany“

Odpovědnost a riziko provozovatele

Podle § 25 TDDDG ve spojení s § 28 TDDDG jsou porušení klasifikována jako správní delikty (Ordnungswidrigkeit) trestané pokutami až do výše 300 000 EUR za každé porušení. Současně se na základní zpracování dat vztahuje ustanovení čl. 83 odst. 5 GDPR s pokutami až do výše 20 milionů EUR nebo 4 % celosvětového ročního obratu. „Handreichung Telemedien“ (leden 2022) vydaná DSK výslovně uvádí analytiku jako případ použití závislý na souhlasu, což provozovatelům neponechává žádnou věrohodnou právní obranu v případě nesprávné klasifikace do kategorie nezbytných údajů.

Dodavatelé CMP, kteří nabízejí předkonfigurované šablony, které analytiku nesprávně zařazují, nesou společnou odpovědnost jako společní správci nebo zpracovatelé, v závislosti na jejich smluvní roli – tento aspekt odpovědnosti stále častěji využívají právnické firmy zaměřené na ochranu soukromí, které podávají koordinované stížnosti.

Doporučení k realizaci

  • Provádějte čtvrtletní audit konfigurace CMP pomocí výše uvedené metody bezhlavého prohlížeče; exportujte a porovnávejte konfigurační JSON datové nálože mezi audity, abyste odhalili skryté překlasifikace ze strany dodavatelů CMP nebo agentur.
  • Implementujte hlavičky Content Security Policy (CSP) s connect-src směrnicí, která *.google-analytics.com ve výchozím nastavení a uvolňuje omezení až po potvrzeném signálu souhlasu – to poskytuje technickou vrstvu vynucování nezávislou na CMP.
  • Rozdělte kontejnery GTM na kontejner s kontrolou souhlasu (analytika, marketing) a funkční kontejner (sledování chyb, monitorování výkonu skutečně nezbytné pro poskytování služeb), načítané prostřednictvím odlišných skriptových tagů s různými podmínkami spuštění.
  • Zaznamenejte své posouzení nezbytnosti pro každý soubor cookie v příloze Posouzení dopadu na ochranu osobních údajů a výslovně použijte dvojí test podle § 25(2). Tato dokumentace je vaší primární obranou při auditech DPA.
  • Pokud používáte tagování na straně serveru (sGTM), ujistěte se, že váš klient GA4 na straně serveru zkontroluje platný signál souhlasu v příchozím požadavku před jeho předáním do sběrného koncového bodu GA4 – architektura na straně serveru vás nezbavuje povinnosti získat souhlas.

Související články