← Zpět na blog Dark Patterns

422 stížností na soubory cookie od společnosti noyb: Co musí prodejci CMP opravit nyní

· 6 min čtení
cookie consent CMP vendors noyb GDPR enforcement dark patterns

Automatizované podávání stížností jako nástroj k posílení účinku regulace

V květnu 2023 nasadila organizace noyb speciálně vyvinutou skenovací infrastrukturu k identifikaci porušení souhlasu s cookies na stovkách evropských webových stránek a podala 422 koordinovaných stížností u orgánů na ochranu osobních údajů v celé EU. Nejedná se o konvenční kampaň občanské společnosti – je to záměrný pokus o industrializaci mechanismů podávání stížností podle čl. 77 GDPR, který nutí orgány na ochranu osobních údajů reagovat na porušení souhlasu v rozsahu, jakého by ruční vymáhání nikdy nemohlo dosáhnout. Strategickým důsledkem pro dodavatele platforem pro správu souhlasů (CMP) – Cookiebot (Usercentrics), OneTrust a samostatný Usercentrics – je to, že jejich výchozí konfigurace a vzory uživatelského rozhraní jsou nyní fakticky předmětem regulačního přezkumu současně ve 27 jurisdikcích.

Stížnosti se opírají o čl. 5 odst. 1 písm. a), čl. 6 odst. 1 a čl. 7 GDPR v kombinaci s vnitrostátními prováděcími opatřeními k směrnici o soukromí a elektronických komunikacích podle čl. 5 odst. 3 této směrnice. Hlavní tvrzení: bannery pro soubory cookie jsou navrženy tak, aby bylo odmítnutí obtížnější než přijetí, což porušuje požadavek, aby souhlas byl svobodně udělen, konkrétní, informovaný a jednoznačný (čl. 4 odst. 11 GDPR). Skener organizace noyb konkrétně označil vzory, u nichž se tlačítko Accept All se tlačítko objevuje na vizuálně dominantním místě nebo v dominantní barvě, zatímco Reject All je nutné přejít na sekundární vrstvu — strukturální temný vzor zdokumentovaný v pokynech EDPB 03/2022 o temných vzorech (přijatých v březnu 2023).

Co skener společnosti noyb skutečně detekuje

Porozumění technické metodice detekce je důležité pro týmy zajišťující dodržování předpisů. Nástroje noyb provádějí prohledávání pomocí headless prohlížeče a zkoumají vykreslený DOM na přítomnost komponent uživatelského rozhraní pro souhlas vložených CMP. Mezi konkrétní detekční kritéria patří:

  • Asymetrická hierarchie tlačítek: Primární CTA (Accept All) vykreslené s větší vizuální váhou (barva pozadí, tloušťka písma, z-index) oproti ekvivalentu v podobě prostého textu nebo „ghost-button“ Reject .
  • Předem zaškrtnutá políčka: Účely souhlasu inicializované checked=true v HTML před interakcí uživatele — což přímo porušuje čl. 7 odst. 2 GDPR a bod 32 odůvodnění.
  • Umístění souborů cookie před interakcí: hlavičky HTTP odpovědí nebo následné volání JavaScriptu nastavující nepodstatné soubory cookie (zjistitelné prostřednictvím Set-Cookie hlaviček odpovědí a document.cookie zápisů) předtím, než banner se souhlasem obdrží jakoukoli reakci uživatele.
  • Předvolba na základě oprávněného zájmu: Účely dodavatelů IAB TCF 2–10 jsou ve výchozím nastavení aktivovány na základě legitimate interest právního základu, z něhož se uživatelé musí aktivně odhlásit — konfigurace, kterou stanovisko EDPB k TCF (stanovisko 7/2023) výslovně zpochybnilo.

Dodavatelé CMP dodávají tyto konfigurace jako výchozí. 422 stížností implicitně činí provozovatele webových stránek odpovědnými podle čl. 83 odst. 4–5 GDPR, ale základní volby designu pocházejí od CMP. To vytváří řetězec odpovědnosti, který orgány pro ochranu osobních údajů (DPA) provozovatelů začínají sledovat směrem nahoru.

Vzory vymáhání specifické pro jednotlivé jurisdikce

Vzhledem k tomu, že organizace noyb podala stížnosti současně ve více jurisdikcích, kampaň využívá strukturální slabinu mechanismu „one-stop-shop“ GDPR (čl. 60 GDPR): v případě porušení pravidel týkajících se souborů cookie přísluší pravomoc obvykle orgánu pro ochranu osobních údajů členského státu uživatele, nikoli vedoucímu dozorovému orgánu správce. To znamená, že německý provozovatel webových stránek může čelit stížnostem, které současně zpracovává rakouský DSB, francouzská CNIL a španělská AEPD. CNIL byla v minulosti nejagresivnější, přičemž její vlna vymáhání práva v roce 2022 vygenerovala pokuty související s cookies ve výši přes 210 milionů EUR proti společnostem Google, Facebook a Microsoft. Rozhodnutí belgického úřadu pro ochranu osobních údajů z roku 2022 proti IAB Europe (případ IE/2020/0024) stanovilo, že rámec TCF sám o sobě představuje společné správcovství – precedens s přímým významem pro CMP, které působí jako zpracovatelé údajů nebo společní správci podle čl. 26 GDPR.

Odpovědnost dodavatele CMP: zpracovatel nebo společný správce?

Otázka zpracovatele versus společného správce je pro dodavatele CMP z obchodního hlediska existenční. Podle čl. 28 GDPR jedná zpracovatel pouze na základě zdokumentovaných pokynů správce. Pokud však dodavatel CMP dodá výchozí konfiguraci, která předem vybírá účely souhlasu nebo načítá seznamy třetích stran (IAB TCF Global Vendor List) nezávisle na pokynech správce, vykonává nezávislé rozhodování o zpracování osobních údajů – což je definice společného správcovství podle rozsudků Fashion ID (CJEU C-40/17) a Wirtschaftsakademie (CJEU C-210/16).

V praxi to znamená, že pokud výchozí šablona Cookiebotu inicializuje Google Analytics jako předem schváleného dodavatele dříve, než provozovatel tuto konfiguraci zkontroluje nebo schválí, učinil dodavatel nezávislé rozhodnutí o prostředcích a účelech. Rozhodnutí belgického úřadu pro ochranu osobních údajů ve věci IAB Europe (částečně potvrzené bruselským odvolacím soudem v roce 2023) stanoví vzor pro tuto analýzu. Poskytovatelé CMP, kteří tvrdí, že jsou pouhými zpracovateli, mají podle této judikatury slabé argumenty.

Okamžité kroky pro dodavatele CMP a jejich klienty

Pro dodavatele CMP (Cookiebot, OneTrust, Usercentrics)

  1. Provést audit výchozích šablon podle pokynů EDPB 03/2022: Každá výchozí konfigurace dodaná novým zákazníkům musí generovat bannery, kde Accept All a Reject All jsou vizuálně ekvivalentní – stejný styl tlačítek, stejná hloubka interakce, stejná hierarchie vrstev.
  2. Odstraňte předem zaškrtnuté stavy na úrovni SDK: Objekt consent objekt musí inicializovat všechny nepodstatné účely jako false. Prosazujte to v SDK, nikoli jako doporučení v dokumentaci, které mohou provozovatelé přepsat.
  3. Zablokujte aktivaci souborů cookie do doby udělení výslovného souhlasu: CMP musí zachytit document.cookie zápisy a navigator.sendBeacon volání z datových nákladů správce tagů (GTM, Tealium), dokud není vyřešen stav souhlasu. To vyžaduje, aby byla funkce blokování tagů ve výchozím nastavení zapnutá, nikoli volitelná.
  4. Přehodnoťte smlouvy o zpracování údajů: Pokud se domáháte statusu zpracovatele, musí vaše smlouva o zpracování údajů podle čl. 28 odst. 3 GDPR výslovně zakazovat CMP, aby samostatně rozhodovalo o aktivaci dodavatelů. Jakákoli odchylka činí status společného správce správnou právní klasifikací.

Pro provozovatele webových stránek používající CMP

  1. Nepřijímejte výchozí nastavení CMP jako právně vyhovující: Vaše povinnosti správce podle čl. 5 odst. 2 GDPR (odpovědnost) vyžadují, abyste ověřili konfiguraci CMP, a ne přenechali dodržování předpisů dodavateli. Zaznamenejte svou kontrolu konfigurace do ROPA (čl. 30 GDPR).
  2. Technicky otestujte svůj banner: Použijte kartu Síť v nástrojích pro vývojáře prohlížeče k ověření, zda neobsahuje žádné Set-Cookie hlaviček obsahujících nepodstatné identifikátory (např. _ga, _fbp, IDE) nedorazí před interakcí související se souhlasem. Skener noyb přesně toto dělá.
  3. Spusťte na svém webu vlastní detekční kritéria společnosti noyb: Nástroj NOYB Consent Banner Checker (dostupný prostřednictvím nástrojů noyb.eu) replikuje základní logiku skeneru. Spouštějte jej měsíčně. Integrujte jej do svého CI/CD pipeline, pokud je vaše uživatelské rozhraní pro souhlas vykreslováno dynamicky.

Systémová změna: Prosazování jako infrastruktura

Kampaň s 422 stížnostmi představuje přechod od reaktivního k systematickému vymáhání GDPR. Když může jediná organizace podat stovky právně podložených stížností pomocí automatizovaných nástrojů, efektivní vymáhací kapacita ekosystému GDPR se znásobí, aniž by bylo nutné proporcionálně zvyšovat zdroje úřadů pro ochranu osobních údajů. Předsedkyně EDPB Anu Talus v roce 2024 uznala, že koordinované vymáhací akce podle čl. 62 GDPR představují strategickou prioritu – kampaň noyb je občanskou společností, která jde ruku v ruce s tímto institucionálním směrem.

Pro dodavatele CMP se výpočet dodržování předpisů trvale změnil. Dodávání výchozích nastavení, která nejsou v souladu s předpisy, již není obchodním rozhodnutím s nízkým rizikem, které je tlumeno pomalými procesy orgánů pro ochranu osobních údajů. Jedná se o systémovou odpovědnost, která nyní spouští koordinované, automatizované generování stížností ve všech jurisdikcích, kde je jejich platforma nasazena. Otázkou již není, zda budou jejich výchozí nastavení podrobena přezkumu – jde o to, který úřad pro ochranu osobních údajů vydá první precedenční rozhodnutí, v němž bude poskytovatel CMP označen za společného správce, a jak bude vypadat maximální výše pokuty podle čl. 83 odst. 5 ve výši 4 % celosvětového ročního obratu v případě platformy nasazené na statisících webových stránkách.

Související články