Rozsudek Soudního dvora ve věci C-673/17 – Cookies

Soudní dvůr Evropské unie rozhodl (tisková zpráva) ve věci C-673/17: Ukládání souborů cookies vyžaduje aktivní souhlas internetových uživatelů. Informace, které musí poskytovatel služeb poskytnout uživateli, zahrnují dobu funkčnosti souborů cookies, jakož i možnost, aby k těmto souborům cookies měly přístup třetí osoby.

2.10.2019 05:55 | Ladislav Hagara | Zajímavý článek

Komentáře

[_ _ _]

A kde přesně se ptá ábíčko na souhlas pro ty jejich trackovací cookies? Kam se to dá naprášit?

[j]

Tak abc porusuje gdpr dlouhodobe, viz guugli captcha = aniz bys s tim souhlasil, posilaji tvoje osobni udaje guuglu. A nejen pri ty captche, ze ...

Pricemz nejsou pochopitelne zdaleka sami. Vubec nejvic legracni je totiz to, ze prakticky nikdo jeste nepochopil, ze ten souhlas neplati, pokud je vyzadovan (takovy ty kecy jako ze browsanim souhlasis) a ze i bez toho souhlasu jsou ti povini umoznit pouzivat naprosto cokoli, co muzou ti co souhlas daji. Dokonce ze nesouhlas musi byt vychozi volbou.

[Omaha]

Ja dodnes nechapu na co jim ty cookiny jsou, kazdeho jenom otravuji, ja bych je zakazal. Je 10 jinych zpusobu jak fingerprintovat uzivatele, tak proc nas serou ukladanim cookies ?

[franta]

Ostatní způsoby finger printování uživatelů budou taktéž porušovat GDPR. Pokud lze údaje použít k identifikaci konkrétní osoby, tak se jedná o osobní údaj a je třeba souhlasu. Samozřejmě by souhlas měl býť doplněn i informační povinností - tedy informovat uživatele o tom jaká má práva a kde se jich může domáhat. Pokud děláte návrh systémů, tak si prostě GDPR přečtěte, když se přeskočí preambule, tak se nejedná o moc dlouhý dokument.

Jedná se tedy jen o určité použití cookie.

[xkucf03]

Přílohy:

• cookies - souhlas.png (33083 bytů)
• cookies - abclinuxu.cz.png (128878 bytů)

Mně se ten dotaz na uložení cookies zobrazuje. Třeba máš jen špatný prohlížeč.

[Jacob]

[⧠ A = 0]

+1

[Qaxi]

Borec!!!

[Harvie.CZ]

Popravde jsem silne presvedceny, ze by povolovani/zakazovani cookies mel resit prohlizec a ne web. Duvody:

1.) Je to hrozne otravny, na strane prohlizece se to da udelat min otravny (prohlizec ma vetsi UX team nez prumernej web) a hlavne sjednoceny napric ruznejma strankama.

2.) Web muze kecat, rekne ze je zakaze, ale pak je stejne posle. Navic je muze poslat jen cilene. Takze napriklad budou chodit jen cilovy skupine zakazniku, ale ip adresam soudu zadny cookies neprijdou.

[Käyttäjä 11133]

ale ip adresam soudu zadny cookies neprijdou.

Dukazni prostredky pro civilni rizeni ale neobstarava soud, ten je pouze analyzuje a vyklada...

[Harvie.CZ]

To byl zjednodusenej priklad. Proste muzu u 1% uzivatelu cookies posilat i kdyz zakliknou ze si je neprejou a bude trvat docela dlouho nez si to nekdo vsimne.

Kdysi jsem delal podobnej experiment. Dal jsem do fora s memy odkaz na php skript. 9/10 uzivatelu to vratilo vtipny obrazek, ktery dostaval lajky. 1/10 uzivatelu to zobrazovalo nejakou extremne odpornou NSFW vec. At dislajkovali sebevic, nemeli sanci prehlasovat zbytek.

[Harvie.CZ]

(slo o nejaky modulo ip adresy, nebo tak neco...)

[j]

Az na ten detail, ze v tomhle pripade je dukazni bremeno na tobe, takze naopak ty musis dokazovat, ze nic takovyho nedelas.

[xkucf03]

Vždyť ony to prohlížeče dřív taky běžně řešily… Souhlas.

[M. Ponkrác]

Dnešní webový prohlížeč je trojský kůň v počítači, který je možné ovládat vzdáleným serverem.

Co mě překvapuje, že dříve měly webové prohléžeče poměrně detailní nastavení, co webové stránky smí a co nesmí. A jak se postupně zdokonalovaly webové prohlížeče a uměly toho více a více, tak překvapivě tato bezpečnostní nastavení mizela.

Můj závěr je jednoduchý. Počítač, na kterém je webový browser je nebezpečný sám o sobě. Bezpečný počítač s moderním webovým browserem je oxymoron.

[k3dAR]

nejsem si jistej, ale myslim ze v minulem stoleti sem toho v prohlizeci u nastaveni pro webovou stranku mel mene nez mam ted

[jiwopene]

Příloha:

• umatrix.png (44098 bytů)

To je ale spíš tím, že přibyly nové „API“ (kamera, MIDI, audio vstup, USB, …). Například Firefox to má také. Podívejte se na SeaMonkey nebo Konqueror, kde jsou detailnější nastavení (blokování skriptů, obrázků, nešifrovaného spojení, …). Dnes to musím (u Firefoxu) lovit v about:config. Na druhou stranu dnes existují rozšíření pro podrobnější blokování (pro síť se dá použít uMatrix).

[cezz]

V zasade by som s tebou suhlasil, ale problem je ze to neriesi podstatu veci. Cookies same o sebe nie su problem a pokial ich nepouzivas na identifikaciu pouzivatela, tak nemusis ziadat o ziadne povolenie. Napriklad duckduckgo.com tak moze ulozit nastavenia typu vzhlad alebo preferovane jednotky,.. a pritom nemusi ziadat ziadne povolenie. e-shop moze ukladat obsah kosika a tak dalej.

O co v skutocnosti ziadas je povolenie pouzivatela sledovat. Aj to sa prehliadace snazili riesit pomocou DNT hlavicky, ale bohuzial to je dost zle implementovane, kedze je to browser-wide a nie per-site. Nejaka alternativa tej hlavicky ktora by bola per-site by urcite bola lepsim riesenim, ale obavam sa, ze by to vacsina stranok aj tak ignorovala a implementovali si nieco vlastne, lebo tam mozu pouzit prave tie dark patterns, co ludom tak lezu na nervy.

Dobry priklad su notifikacie, kedy stranky casto ziadaju o suhlas najskor pomocou ich in-site UI a az ked pouzivatel suhlasi, tak zobrazia to realne browser-based povolenie. Dovod je jednoduchy, cez prehliadac si to vie clovek jednoducho zakazat, ale ked mu tam najskor zobrazia svoj dialog, tak mozu to odmietnutie trochu skryt, zobrazit dialog viac cez zvysok obsahu, aby mal clovek instinkt to "odkliknut" a hlavne mozu po negativnej odpovedi skusit to iste o nejaku dobu znova.

TL/DR: Pre pouzivatela by browser-side povolenie urcite bolo lepsie, ale vacsina webstranok by aj tak pouziva nejaku javascript sialenost, lebo tak maju viac moznosti ako pouzivatela prinutit ten suhlas dat.

[M. Ponkrác]

Já bych daleko více ocenil, kdyby současné browsery měli velice bohaté a detailní nastavení, co generálně všechny stránky, a pak jednotlivé weby smějí a nesmějí.

Zatím to vypadá tak, že browsery nedovolují nastavit a omezit prakticky vůbec nic. Browser je zřejmě myšlen jako jenom trojský kůň, a uživatel jej zřejmě nemá mít moc ovládat.

[k3dAR]

viz

[j]

No vidis, a presne proto vzniklo gdpr, protoze presne to co pises delat nesmis, a pokud delat budes, muzes za to dostat 4% celosvetovyho obratu flastr.

Dokonce se da z GDPR dovodit, ze pokud nekdo tu DNT hlavicku posila, ses povinen ji respektovat bez dalsiho (tzn i za dotaz muzes dostat flastr). Jednoduse proto, ze ten dotycnej zcela zjevne svoji vuli (nastavenim prohlizece) projevil.

Tvle ja du delat byrokrata co vybira tyhle flastry, za mesic vyberu statni rozpocet na pristich 100 let.

[M. Ponkrác]

Já bych dával flastry výrobcům browserů, co posílají hlavičku DNT, a pak ukládají poctivě všechny cookies a další věci, co jim web pošle. Za to bych dával velké flastry. Myslím, že Mozilla a Google by zkrachovali jako první.

[Käyttäjä 11133]

RFC nic takoveho pro User Agenta nenarizuje.

[M. Ponkrác]

RFC nenařizuje ani GDPR a spousty dalších věcí. RFC dokonce nenařizuje ani podobu HTML.

[Käyttäjä 11133]

DNT je ale definovano v RFC, nikoli v GDPR. GDPR user-agentum take nic nenarizuje, narizuje zpracovatelum udaju; ty se bud maji dohodnout s user-agenty, nebo se zaridit jinak.

[Käyttäjä 11133]

No minimalne UOOU na GDPR masivne kasle i kdyz si explicitne ztezujes; musel jsem se odvolavat aby spolecnost ktera zjevne GDPR porusila dostala alespon "nejaky" flastr, predpokladam ze ten minimalni...

[j]

Proto je lepsi si stezovat v cizine, je to evropska legislativa, takze flastr muze doputovat klidne odkudkoli z EU. Cesky socialistiky byrokrati resej jen to, kde se muzou sami nakapsovat. Trebas kdyz jim nekdo vyplaci premie podle vyse nezakonne zabaveny castky, a pak jeste tvrdi, ze se to nedeje a nedeje, a ze to pravda neni a neni.

Ostatne, fizlocajti taky dostavaj podle vybranych pokut, proto stojej zcela vzdy na miste, kde naprosto zadny riziko nehrozi (a tudiz de fakto ani de jure nejde o prestupek) ale dobre se tam vybira. Pred nakou blbou skolou nikoho nestopnou, ze ... jo a kdyz si te stopne jen tak v civilnim aute, to to prej taky neni ani prestupek, bude pouze pokaran (= "ty debile, proc ses nechal natocit").

[Jendа]

To je nějaká kachna, za to přece nemůže EU, ta okýnka (vyžadující javascript a cookies(!)) přece vyžaduje Google.

[j]

Zeby dalsi z tech, co to vubec nepochopil?

Tu vopicarnu totiz opravdu chce akorat guugl. Ta vopicarna je totiz v rozporu s unijni legislativou, za coz guugl zaplati par miliard, a pak mu to dojde.

Cookies jako technologie vubec problem nejsou, a pokud je nepouzivas jakozto identifikatory osob, tak se na ne nikoho ptat nemusis. Presne tohle chce ale guugl, pokud ty chces na svym webu jeho reklamni system, kterej tam ale mit nesmis, pokud s tim navstevnik nesouhlasi - prave proto, ze guugl se snazi identifikovat konkretni osoby. A ten souhlas musi byt explicitni. Pricemz ani pri nesouhlasu nesmis navstevnikovi branit browsat dal(a zadny udaje o nem ukladat nesmis, natoz je posilat tretim stranam - trebas prave tomu guuglu).

Jinak receno, pokud napriklad pouzijes cookie jako uloziste pro obsah kosiku ... je to OK, a na nic se ptat nemusis. Je to technicky aspekt pouzivani toho webu, jehoz vyuziti aktivoval uzivatel svoji cinnosti. Pokud ale hned po nacteni mainpage ukladas cookie s UID, tak to nesmis vubec, protoze nejdriv si musis vyzadat !INFORMOVANY! souhlas, coz znamena, ze musis uzivatele infomovat jak s tou infomaci nakladas, komu ji pripadne predavas, a taky ho musis informovat o tom, ze souhlasit nemusi, a kam se ma pripadne obratit, pokud bude chtit svuj souhlas odvolat. Souhlas pak nesmi byt ani bydefault volbou.

A pozor, musis mu umoznit to vse resit stejnym kanalem, kterym ziskavas souhlas, takze pindy ze musis nekam poslat notarsky overenou zadost automaticky znamenaji, ze zadny souhlas nemas.

Pricemz tohle vse se pochopitelne tyce vsech aspektu, nikoli jen cookie (html store dtto, ale i logy serveru atd). Protoze ... stejny soud mimo jine jednoznacne rozhodl, ze IP je nadevsi pochybnost a zcela vzdy osobnim udajem.

A zase, plati, ze pokud se k nejakym udajum (IP) dostavas z principu fungovani, tak nemusis zadat souhlas, ale ty udaje nesmis naprosto nijak krome prave a pouze tech technikalii (navazani spojeni a komunikace) vyuzivat. Natoz abys je predaval tretim stranam (kazdy hosting je v souladu s GDPR zpracovatelem osobnich udaju, a kazdy provozovatel webu by mel mit na to tema s hostingem smlouvu - to pro pripad, ze hostingu nekde utecou trebas prave ty logy, proto ze je v souladu se zakonem nezabezpecil).

Jinak receno cely GDPR je naprosto primitivne jednoduchy, jen ho proste firmy dodrzovat nechteji, protoze s udaji uzivatelu se dobre obchoduje a proto, ze by musely dodrzovat aspon naprosto minimalni bezpecnostni pravidla (coze? Heslo, no dobre, 1 pismeno staci ne?).

Pokud totiz eshop chce nekomu neco dodat, potrebuje na to adresu (uz nikoli email nebo telefon), a tu adresu tudiz muze, po omezenou dobu danou prave dorucovacim procesem, zpracovavat. Na tohle zadny extra souhlas netreba. Samozrejme, pokud zakaznik chce byt informovat trebas na email, tak mu nic nebrani jej predat, ale nesmi to byt vyzadovano jako poviny udaj. V okamziku kdy je dorucovani ukonceno, dodavatel zadne udaje jiz nepotrebuje, a je tutiz povinen je obratem zlikvidovat.

Pochopitelne je tu stale moznost (se souhlasem) si ty udaje nechat. Cimz si ale provozovatel sere do vlastniho, protoze pak prave musi zajistit bezpecnost tech dat, a ma spoustu dalsich povinosti.

A pozor, i nick nebo nejaky ID je osobni udaj. Tim je defakto naprosto cokoli, co muze identifikovat. A je uplne jedno, ze to neumi drzitel tech dat. Protoze z RC taky nikdo od pohledu nevi, ci je, ale da se to zjistit. Opet, rozhodnuti stejnyho soudu (na zaklade tohodle rozhod o ty IP adrese). Aneb, pokud existuje libovolny zpusob (klidne za pomoci policie a soudu) jak z nejakych udaju urcit osobu, jde zcela vzdy o osobni udaje.

Fak sem zvedav, jak budou vsichni obhajovat to, ze ty fonty vazne musej nacitat z guuglich serveru, scripty od microsoftu a stylopisy vibuh odkud ... ;D, protoze nemaj ani nejmensi sanci. Protoze na tomhle budou ubiti hned 2x. Poprvy tim, ze to samo osobe je nebezpecny a tudiz nezajistuji bezpecnost v souladu s pozadavky, a zadruhy na tom, ze predavaji osobni udaje tretim stranam.

[j]

Apropos, jeste vic sem zvedav, jak bude provozovatel (trebas abicko) resit pozadavek na informaci o zpracovavanych osobnich udajich (jak to vypaci z toho guuglu) a jeste radostnejsi to bude s jejich odstranovanim, coz je prave ten duvod, proc se na to uzaviraji pisemne smlouvy.

Za to vse odpovida prave provozovatel te primarni stranky. Mam tu na to tema nekolik smluv s korporacema ... vsude je ze vsechny udaje musi byt ihned po zpracovani zakazky likvidovany ... ;D.

[M. Ponkrác]

Musím tvrdě protestovat!

Měl by se zobrazovat souhlas nejen s cookies, ale také by měl uživatel odosuhlasit předání IP adresy serveru, použití HTTP protokolu, použití TCP a IP protokolů. Dále by měl uživatel odsouhlasit JavaScript, CSS, HTML.

A hlavně by měl uživatel odsouhlasit reklamy: "Budou se vám zobrazovat reklamy? Souhlasíte ANO/NE?"

[Harvie.CZ]

To jsou technikalie. Ale co kdyz prohlizec pak nebohymu uzivateli bez souhlasu zobrazi nazory se kterejma nesouhlasi... To by ho mohlo trvale poznamenat a nikdo to neresi.

[M. Ponkrác]

V Číně už to mají vyřešeno. EU a OSN na řešení zatím intenzivně pracuje.

[j]

Ale jo, resi, to sou prece ty fakenews, takze jejich siritele, jako trebas CT nebo Cro nejvic krici, ze je treba je honem zakazat, teda samo ty, ktery sirej opak nez tihle ....

Zrovna tuhle blabol maxim ... Cro ... ze prej henten prechod na DVB-T2 je nutny proto, aby slo vysilat hento HD ...

Coz je jednoznacna sprosta lez. Navic hned nekolikanasobna, protoze jednak to neni pravda technicky, druhak se snazi (opet lzive) presdvedcit obecenstvo (tech 80% retardu), ze za ty miliardy ktery utratej za vymenu a nakup krabek, neco navic dostanou.

[j]

Viz vejs ponkrac, kdybys zvladnul precist tech mozna 10 odstavcu textu, protoze GDPR delsi nebude, tak bys to vedel.

[M. Ponkrác]

Hele, abyses j ještě hodně nedivil:

1) Úchylné a nelogické věci zavádí stát.

2) Mnohem úchylnější a nelogičtější věci zavádí Evropská unie.

3) Úchylnější, horší věci a svinstva, tisíckrát horší než ad 1) a ad 2), zavádí korporace.

4) A ty nejúchylnější věci na světě pak zavádějí aktivisté a neziskovky.

Nikdy neříkej nikdy, protože žádná blbost není dostatečně blbá, aby jí nějaká korporace nezavedla. Když je to blbé málo, může jí zavést EU nebo stát.

[Conscript89]

Ja teda zatim ty nejuchylnejsi veci videl v tedle diskusi :/

[M. Ponkrác]

Tak to raději ani nechoď ven, nebo se strachy potentuješ, co tam uvidíš.

[8===D]

jn, samej zloděj a podvodník, co pomocí lží a pseudovědy okrádá lidi

[_]

Já si myslím, že každá webová stránka by měla povinně informovat o zvyšující se uhlíkové stopě, a nutnosti snižování uhlíkové stopy.

[Gilhad]

To vyresis jednoduse - napis o tom traktat na A3 (samozrejme bezuhlikovou tuzkou) a prilep si ho prez cely monitor (samozrejme bezuhlikovym lepidlem) - a vsichni budou spokojeni

[_]

To by nevyřešilo zbytečné pálení fosilních paliv ostatními lidmi.

[Gilhad]

Nekde se zacit musi a tohle by vyresilo hned nekolik veci naraz - kdykoli bys pohlednul na monitor, tak bys to varovani videl - ani bys ho kvyuli tomu nemusel zapinat, cimz bys usetril spoustu energie vytvarene spalovanim fosilnich paliv - ani bys mebohl psat kraviny na net, cimz bys usetril spoustu casu ostatnim lidem Prote sama pozitiva a socialni jistoty.

[_]

Je potřeba vzdělávat druhé, jinak půjde klima do háje. Já už pro klima dělám maximum, ale ostatní je třeba poučovat. Sám to nezachráním. Máme posledních 12 let!

[Gilhad]

ostatne jeko vzdycky.

[tomvec]

Posledních 12 let na co? Než tobě a ostatním Greténům skončí mamahotel a budeš se muset živit na vlastní pěst a zjistíš, že nějaká ekologie fakt není problém na prvním místě?

[Peter Golis]

On si niekto v európskom súdnom dvore všimol že v európskom práve nefunguje pasívny súhlas?

Gratulki, toto bol ten humorný dôvod prečo bola tá smernica takmer všetkým stránkam na smiech. Zvyšné stránky jednoducho zobrazili plachtu cez celú obrazovku, a človek bez jej odkliknutia na nej nič nevidel. A buď súhlasil, alebo z tej stránky odišiel.

[msk]

Ja by som naopak vsetkych tych potratov v EU dal za tie cookies popravit. V jednom kuse na mna zo vsetkych webov vyskakuju picoviny ktore ma absolutne nezaujimaju a ja namiesto toho aby som sa venoval obsahu stranky musim furt klikat po nezmyselnych akceptaciach a kravinach. Pokial nechcem aby ma (cez cookies) niekdo sledoval, zapnem porno mod. Vo vacsine pripadov je mi to ale tazko u prdele.

[Peter Golis]

Oni to tie weby schválne implementovali inak, ako nariaďovala daná smernica. Tá umožňuje uchovávať a zdieľať sušienky len ak s tým užívateľ/konzument súhlasí. A nariaďuje aby bol ten web prístupný aj bez tých sledovacích sušienok. Tú druhú časť weby schválne neimplementovali aby ľudia nadávali na byrokraciu a nie na weby ktoré to nariadenie porušujú.

Spinka sa pýta: Mysleli ste Inkognito mód?

PS: Jedno je pravda, byrokracia zlyhala. Nie však vydaním daného nariadenia. Byrokracia zlyhala tým, že nerieši sankcie za nedodržiavanie daného nariadenia v plnej miere.