Na základě kontrolního plánu pro rok 2019 provedl Úřad kontrolu, jejímž předmětem bylo zpracování osobních údajů při používání cookies pro měření návštěvnosti internetových stránek.
Kontrolující zjistili, že služba poskytovaná kontrolovanou osobou umožňuje provozovatelům internetových stránek sledovat statistiky návštěvnosti jejich internetových stránek a porovnávat je s návštěvností jiných internetových stránek (sledovaných kontrolovanou osobou). Základní měřenou veličinou v rámci této služby je počet návštěv dané webové stránky. Za návštěvu je považováno zobrazení stránky v prohlížeči (rozlišené pomocí IP adresy a cookie). Opakovaná návštěva dané internetové stránky z téhož zařízení před uplynutím 30 minut se pak považuje za pouhé zhlédnutí a nikoli za novou návštěvu. K technickému rozlišení návštěvy od zhlédnutí kontrolovaná osoba používá cookie, které se na straně návštěvníka měřené internetové stránky ukládá do prohlížeče s platností 30 dní, na straně serveru pak s platností 30 minut od posledního požadavku.
Kontrolující dospěli k závěru, že kontrolovaná osoba zpracovává osobní údaje ve smyslu čl. 4 bodu 1) a 2) nařízení (EU) 2016/679. S ohledem na to, že službu měření návštěvnosti (jejíž nedílnou součástí je i zpracování osobních údajů návštěvníků webových stránek) poskytuje provozovatelům internetových stránek pouze po jejich registraci, bylo konstatováno, že tito provozovatelé jsou v postavení správce osobních údajů, zatímco kontrolovaná osoba je v postavení zpracovatele.
V rámci kontroly byla dále posouzena opatření přijatá kontrolovanou osobou k zajištění bezpečnosti zpracovávaných osobních údajů, s tím závěrem, že požadavky čl. 32 nařízení (EU) 2016/679 byly dodrženy. Také záznamy o činnostech zpracování vyhovují dle hodnocení kontrolujících požadavkům podle čl. 30 nařízení (EU) 2016/679.
Úřad v souvislosti s předmětným zpracováním osobních údajů nezjistil porušení nařízení (EU) 2016/679.
Kontrolu řídila inspektorka Mgr. et Mgr. Božena Čajková.
Doporučení:
Také využívání cookies, které je především upraveno zákonem č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), může představovat zpracování osobních údajů. V takovém případě musejí být současně dodrženy také povinnosti vyplývající z nařízení (EU) 2016/679.
