Which EU Countries Take Cookie Compliance Most Seriously?

GDPR je jedna regulácia. Jeden text. Priamo uplatniteľný v každom členskom štáte EÚ bez potreby národnej transpozície (na rozdiel od smernice ePrivacy, ktorá transpozíciu vyžaduje, čo pridáva ďalšiu vrstvu odlišností). Teoreticky čelí webová stránka v Maďarsku rovnakým právnym povinnostiam ako webová stránka v Nemecku. V praxi je priepasť medzi teóriou a realitou obrovská.

Keď sme preskenovali 97 304 webových stránok v 25 členských štátoch EÚ, zistili sme, že podiel vysoko rizikových stránok sa pohybuje od 20,9 % v Rakúsku po 58,8 % v Maďarsku -- takmer trojnásobný pomer. Rovnaká regulácia, rovnaká metodológia skenovania, rovnaké klasifikačné kritériá, citeľne odlišné výsledky. Dáta naznačujú, že dodržiavanie predpisov menej koreluje s tým, čo zákon hovorí, než s tým, ako aktívne je vymáhaný.

Kompletné poradie

Tabuľka nižšie zobrazuje každú krajinu v našej štúdii, zoradenú podľa percenta preskenovaných webových stránok klasifikovaných ako vysoko rizikové. Vysoko rizikové znamená, že stránka vykazovala významné porušenia súhlasu: sledovanie pred súhlasom, zlyhania pri odmietnutí, chýbajúce mechanizmy súhlasu spolu s aktívnym sledovaním alebo ich kombinácie. Uvádzame tiež priemerné rizikové skóre (spojitá metrika 0-100) a mieru detekcie bannerov -- percento preskenovaných stránok, kde náš systém identifikoval banner súhlasu.

(Miery detekcie bannerov sú zobrazené tam, kde boli dostupné v našom datasete. „--" znamená, že dáta neboli pre danú krajinu rozčlenené.)

Priemerné rizikové skóre poskytuje diferencovanejší pohľad než binárna klasifikácia vysokého rizika. Všimnite si, že Holandsko má relatívne miernu mieru vysokého rizika (43,5 %), ale pomerne vysoké priemerné rizikové skóre (53,1), čo naznačuje, že hoci menej holandských stránok prekračuje hranicu vysokého rizika, tie, ktoré ju prekročia, bývajú závažnejšie nesúladné. Švédsko vykazuje podobný vzorec opačným smerom: nižšia miera vysokého rizika (33,4 %), ale relatívne vysoké priemerné skóre (49,0), čo naznačuje široké rozšírenie stredne závažných porušení.

Úroveň 1: Lídri -- Nemecko a Rakúsko

Nemecko (23,7 % vysoké riziko) a Rakúsko (20,9 % vysoké riziko) sú jasnými odľahlými hodnotami. Ich webové stránky majú zhruba polovičnú pravdepodobnosť klasifikácie ako vysoko rizikové v porovnaní s celoeurópskym priemerom 41 %. Pochopenie prečo si vyžaduje pohľad na ekosystém vynucovania v oboch krajinách.

Nemecko: hĺbka a šírka vynucovania

Prostredie ochrany údajov v Nemecku je v Európe jedinečné. Okrem federálneho BfDI (Bundesbeauftragter für den Datenschutz und die Informationsfreiheit) má každá zo šestnástich spolkových krajín vlastný nezávislý úrad na ochranu údajov. To znamená, že Nemecko má celkovo sedemnásť dozorných úradov, z ktorých niekoľko patrí medzi najaktívnejšie v Európe v oblasti vynucovania súhlasu.

Bavorský úrad na ochranu údajov (BayLDA) uskutočnil v rokoch 2020-2021 sektorový audit súhlasu s cookies na webových stránkach, pričom stovkám spoločností zaslal formálne dotazníky a následne pristúpil k vynucovacím opatreniam. Hamburský úrad na ochranu údajov vydal podrobné usmernenia k Google Analytics a požiadavkám na súhlas. Viaceré krajinské úrady uskutočnili koordinované vynucovacie kampane zamerané na konkrétne porušenia -- sledovanie pred súhlasom, chýbajúce možnosti odmietnutia a nesúladné cookie bannery.

Táto hustota vynucovania vytvára pre nemeckých prevádzkovateľov webových stránok iný výpočet rizika. Keď vaši kolegovia z odvetvia dostali formálne otázky od úradu na ochranu údajov a keď sú usmernenia vynucovania dostatočne konkrétne na to, aby vám presne povedali, čo je a čo nie je prijateľné, náklady nesúladu sa stávajú konkrétnymi, nie teoretickými.

Existuje aj kultúrny rozmer. Povedomie o ochrane údajov v Nemecku siaha hlbšie než GDPR. Rozhodnutie Spolkového ústavného súdu z roku 1983 o Volkszählung (sčítanie obyvateľov) ustanovilo informačné sebaurčenie ako ústavné právo desaťročia pred vznikom GDPR. To vytvorilo spoločenské očakávanie ohľadom ochrany údajov, ktoré ovplyvňuje správanie firiem aj očakávania spotrebiteľov spôsobmi, ktoré sa ťažšie kvantifikujú, ale jasne sa odrážajú v dátach.

Rakúsko: skoré vynucovanie po Schrems II

Rakúsky DSB (Datenschutzbehörde) získal medzinárodnú pozornosť vydaním jedného z prvých rozhodnutí o vynucovaní v období po Schrems II, keď konštatoval, že používanie Google Analytics na webovej stránke porušovalo GDPR, pretože prenosy údajov do USA nemali primerané záruky. Toto rozhodnutie -- neskôr zopakované francúzskym CNIL a talianskym Garante -- vyslalo rakúskym prevádzkovateľom webových stránok jasný signál, že súhlas a sledovanie sú aktívnymi prioritami vynucovania.

Miera vysokého rizika 20,9 % v Rakúsku, najnižšia v našej štúdii, naznačuje, že tento signál bol prijatý. Keď dozorný úrad prostredníctvom konkrétnych, medializovaných rozhodnutí preukáže, že porušenia súhlasu budú stíhané, miera dodržiavania reaguje. Rakúsko je jedným z najjasnejších príkladov v našich dátach korelácie medzi vynucovaním a merateľnou zmenou správania, hoci iné faktory -- štruktúra trhu, kultúrne postoje -- pravdepodobne tiež prispievajú.

Úroveň 2: Severský stredný základ -- Švédsko, Fínsko, Dánsko

Švédsko (33,4 %), Fínsko (40,3 %) a Dánsko (42,1 %) zaberajú stredné pásmo, ktoré je lepšie ako priemer EÚ, ale výrazne za nemecko-rakúskymi lídrami.

Severské krajiny zdieľajú silné kultúrne hodnoty v oblasti súkromia a inštitucionálnej dôvery, ale ich dozorné úrady zaujali vo všeobecnosti menej agresívny postoj pri vynucovaní konkrétne v oblasti súhlasu. Švédsky IMY (Integritetsskyddsmyndigheten) vydal významné rozhodnutia -- vrátane výraznej pokuty pre Google za zlyhania pri práve na zabudnutie -- ale jeho vynucovanie špecifické pre súhlas bolo obmedzenejšie. Fínsky tietosuojavaltuutettu a dánsky Datatilsynet sa podobne sústredili na oznamovanie porušení ochrany údajov a sektorové usmernenia, nie na plošné kampane ohľadom súhlasu s cookies.

Miera vysokého rizika 33,4 % v Švédsku je napriek tomu výrazne lepšia ako západoeurópsky priemer, čo naznačuje, že kultúrne postoje k súkromiu môžu čiastočne kompenzovať menej časté vynucovanie. Severskí používatelia internetu sú vo všeobecnosti viac orientovaní na súkromie, čo môže vytvárať trhový tlak na lepšie implementácie súhlasu aj pri absencii regulačného tlaku.

Miery detekcie bannerov sú tu poučné. Dánsko vykazuje 57,0 % mieru detekcie bannerov -- najvyššiu pre akúkoľvek krajinu, kde máme tento údaj -- a Fínsko vykazuje 54,6 %. To znamená, že severské stránky s väčšou pravdepodobnosťou nasadia banner súhlasu, aj keď implementácia za týmto bannerom nie je vždy plne súladná. Naznačuje to povedomie o povinnosti aj tam, kde vykonanie zaostáva.

Úroveň 3: Západná Európa -- Francúzsko, Holandsko, Belgicko, Španielsko, Taliansko

Päť západoeurópskych krajín sa tesne zhluknuje medzi 42,1 % a 44,6 % vysokého rizika: Belgicko (42,1 %), Holandsko (43,5 %), Francúzsko (44,1 %), Španielsko (44,1 %) a Taliansko (44,6 %). Tento zhluk sa nachádza blízko celoeurópskeho priemeru 41 % a môže predstavovať základnú líniu dodržiavania -- úroveň, ktorú dostanete, keď vynucovanie existuje, ale nie je dostatočne časté alebo cielené na to, aby výrazne pohol ihlou.

Francúzsko: paradox vysokoprofilového vynucovania

Francúzsko je pozoruhodné, pretože CNIL je pravdepodobne najviditeľnejším dozorným úradom v Európe na medzinárodnej úrovni. Udelil rekordné pokuty Googlu (150 miliónov eur za porušenia súhlasu v roku 2022), Amazonu (35 miliónov eur) a Microsoftu (60 miliónov eur). V roku 2020 zverejnil podrobné usmernenia k cookies a súhlasu a dal francúzskym webovým stránkam šesťmesačnú lehotu na dosiahnutie súladu. Uskutočnil koordinované vlny vynucovania zamerané na stránky, ktoré nezaviedli možnosti odmietnutia.

Napriek tomu Francúzsko sedí na 44,1 % vysokého rizika -- presne na priemere Západnej Európy. Ako môže najaktívnejší vynucovateľ produkovať len priemerný súlad?

Odpoveď pravdepodobne spočíva v štruktúre francúzskeho webu. Francúzsko má veľkú, rôznorodú digitálnu ekonomiku so stovkami tisíc webových stránok prevádzkovaných malými a strednými podnikmi, miestnymi samosprávnymi orgánmi a organizáciami, ktoré nemusia pozorne sledovať správy o vynucovaní CNIL. Vysokoprofilové akcie CNIL proti technologickým gigantom generujú medzinárodné titulky, ale nemusia meniť správanie tisícov stránok malých firiem používajúcich predvolené inštalácie WordPress s nenakonfigurovanými pluginmi súhlasu. Vynucovanie, ktoré sa zameriava na hlavu distribúcie, nemusí nutne hýbať s chvostom.

Toto je dôležitý postreh pre všetky dozorné úrady: titulkové pokuty odstrašujú veľké spoločnosti, ale nemusia posunúť celkovú mieru dodržiavania, ktorú dominuje dlhý chvost malých a stredných stránok. Široká zmena správania si vyžaduje buď masové vynucovanie (nepraktické s aktuálnymi zdrojmi dozorných úradov) alebo nástroje, ktoré urobia súlad predvoleným stavom, nie výnimkou.

Holandsko: nízka miera bannerov, stredné riziko

Holandsko vykazuje zaujímavý vzorec: 43,5 % miera vysokého rizika (stredná), ale len 40,3 % miera detekcie bannerov -- najnižšia medzi krajinami, kde máme tieto údaje. To znamená, že holandské stránky nasadzujú banner súhlasu menej často, ale medzi tými, ktoré ho nasadia, môže byť kvalita implementácie o niečo lepšia. Môže to tiež odrážať holandský webový ekosystém, ktorý zahŕňa mnohé stránky s minimálnym sledovaním (banner nie je potrebný) vedľa stránok, ktoré intenzívne sledujú bez toho, aby sa obťažovali bannerom.

Holandský AP (Autoriteit Persoonsgegevens) bol aktívny vo vynucovaní GDPR vo všeobecnosti, ale vydal menej rozhodnutí špecifických pre súhlas v porovnaní s nemeckými dozornými úradmi alebo CNIL. Priority vynucovania AP sa sústredili na spracovanie údajov štátom, zdravotnícke údaje a rozsiahly dohľad, pričom porušenia súhlasu dostávali relatívne menej pozornosti.

Úroveň 4: Východná a Južná Európa -- Grécko, Poľsko, Rumunsko, Česko, Maďarsko

Dolnú časť rebríčka dominujú krajiny strednej a východnej Európy s mierami vysokého rizika od 52,5 % (Grécko) po 58,8 % (Maďarsko). V týchto krajinách vykazuje viac ako polovica preskenovaných webových stránok vysoko rizikový profil dodržiavania.

Spoločným menovateľom nie je nedostatok právnej povinnosti -- GDPR platí rovnako -- ale vzorec nedostatočne financovaných dozorných úradov s menším počtom vynucovacích akcií zameraných konkrétne na súhlas. Maďarský NAIH, poľský UODO, rumunský ANSPDCP a český UOOU sústredili svoje obmedzené rozpočty na vynucovanie do oblastí ako oznamovanie porušení ochrany údajov, žiadosti o prístup subjektov a vysokoprofilové sťažnosti, nie na proaktívne audity súhlasu s cookies.

Toto je racionálne správanie pre nedostatočne financovaných regulátorov. Keď máte malý tím a veľkú ekonomiku na dohľad, uprednostňujete sťažnosti pred proaktívnym vynucovaním a sťažnosti na súhlas s cookies sú relatívne zriedkavé v porovnaní so sťažnosťami na porušenia ochrany údajov alebo odmietnutia prístupu subjektu. Výsledkom je, že porušenia súhlasu zostávajú do veľkej miery nekontrolované a prevádzkovatelia webových stránok nečelia žiadnemu zmysluplnému riziku vynucovania.

Tieto dáta neodrážajú kompetentnosť ani oddanosť týchto dozorných úradov. Viaceré stredoeurópske a východoeurópske dozorné úrady fungujú s pomermi pracovníkov k populácii, ktoré sú zlomkom toho, čo majú k dispozícii nemecké krajinské dozorné úrady. Maďarský NAIH napríklad dohliada na krajinu s 10 miliónmi obyvateľov. Bavorský BayLDA, dohliadajúci na populáciu podobnej veľkosti v rámci jednej nemeckej spolkovej krajiny, mal historicky viac zdrojov a cielenejší mandát.

Záver je štrukturálny: jednotná regulácia bez jednotného vynucovania produkuje nejednotný súlad. Toto je dôležité zistenie v dátach na úrovni krajín.

Korelácia vynucovania

Ak vykreslíte intenzitu vynucovania dozorných úradov oproti mierám dodržiavania (naratívne, pretože tu neuverejňujeme graf), vzťah je viditeľný. Krajiny s najväčším počtom vynucovacích akcií zameraných konkrétne na súhlas -- Nemecko, Rakúsko -- majú najnižšie miery vysokého rizika. Krajiny s titulkovým, ale koncentrovaným vynucovaním (Francúzsko) vykazujú priemerný súlad. Krajiny s minimálnym vynucovaním špecifickým pre súhlas vykazujú najvyššie miery porušení.

Táto korelácia nedokazuje príčinnú súvislosť -- kultúrne faktory, štruktúra trhu a vyspelosť miestneho technologického sektora hrajú svoju rolu. Ale sila vzorca naprieč 25 krajinami sa ťažko vysvetľuje bez vynucovania ako primárneho hybateľa.

Niektoré pozoruhodné vynucovacie akcie, ktoré zjavne pohnuli ihlou:

• Nemecko (2020-2022): Viaceré krajinské dozorné úrady uskutočnili koordinované audity súhlasu s cookies a zaslali formálne listy stovkám webových stránok. BayLDA zverejnil FAQ o súhlase, ktorý sa stal de facto štandardom dodržiavania.
• Rakúsko (2022): Rozhodnutie DSB o Google Analytics bolo široko pokryté v rakúskych technických a obchodných médiách, čo vyvolalo viditeľnú vlnu migrácií z GA na Matomo.
• Francúzsko (2021-2022): Vlna vynucovania cookies CNIL sa zamerala na 100+ webových stránok pre nesúladné implementácie súhlasu, hoci dopad sa zdá byť koncentrovaný medzi väčšími prevádzkovateľmi.
• Taliansko (2022): Garante vydal aktualizované usmernenia k cookies, ktoré podnietili aktivity dodržiavania medzi väčšími talianskymi webovými stránkami, hoci miera vysokého rizika 44,6 % naznačuje, že efekt sa nerozšíril naširoko.

Miery detekcie bannerov podľa krajiny

Miera detekcie bannerov -- percento stránok, kde náš skener identifikoval mechanizmus súhlasu -- sa výrazne líši naprieč krajinami:

Dánsko vedie so 57,0 %, čo naznačuje, že dánske webové stránky najčastejšie nasadzujú nejakú formu mechanizmu súhlasu, aj keď ich celková kvalita dodržiavania (42,1 % vysoké riziko) je priemerná. Nemeckých 46,1 % je nižších, než by sa dalo očakávať vzhľadom na nízku mieru porušení, ale je to konzistentné: nemecké stránky, ktoré sledujú, to s väčšou pravdepodobnosťou robia so správnym súhlasom, zatiaľ čo nemecké stránky, ktoré nesledujú, môžu oprávnene fungovať bez bannera.

Holandských 40,3 % je najnižší údaj, ktorý máme, čo je v súlade s holandským vzorcom uvedeným vyššie: menej bannerov celkovo, ale nie nevyhnutne horší súlad medzi tými, ktoré ich nasadia.

Tieto miery odrážajú aj metodologickú realitu. Stránka, ktorá nenastavuje žiadne nepodstatné cookies a nekontaktuje žiadne sledovacie domény tretích strán, skutočne nepotrebuje banner súhlasu podľa výnimky ePrivacy pre nevyhnutne potrebné cookies. Určitá variácia v mierach bannerov je preto očakávaná a oprávnená.

Čo to znamená pre cezhraničné podniky

Ak prevádzkujete webovú stránku alebo digitálnu službu, ktorá obsluhuje používateľov vo viacerých krajinách EÚ, tieto dáta majú priame praktické dôsledky.

Vaše riziko dodržiavania je určené vaším trhom s najvyšším vynucovaním. Ak vaša stránka obsluhuje nemeckých používateľov, latka je efektívne nastavená očakávaniami nemeckých dozorných úradov, bez ohľadu na to, kde má vaša spoločnosť sídlo. V rámci mechanizmu jednotného kontaktného miesta GDPR môže byť váš vedúci dozorný orgán vo vašej domovskej krajine, ale akýkoľvek dozorný úrad môže konať na základe sťažností od svojich vlastných rezidentov. Maďarská webová stránka obsluhujúca nemeckých návštevníkov môže čeliť kontrole nemeckých dozorných úradov. Porovnávanie s priemerom vašej vlastnej krajiny je nedostatočné. Ak ste poľský prevádzkovateľ webovej stránky a 53,3 % vašich kolegov je vysoko rizikových, byť „priemerný" stále znamená, že nie ste v súlade s literou GDPR. Regulácia neupravuje svoje požiadavky podľa krajiny. Líši sa len pravdepodobnosť vynucovania -- a trendy vynucovania sa pohybujú jedným smerom. Dozorné úrady, ktoré ešte neprioritizovali súhlas, to pravdepodobne urobia, keď sa zvýši koordinácia na európskej úrovni. EDPB tlačí na konvergenciu. Usmernenia Európskeho výboru pre ochranu údajov špecifické pre cookies, aktivity pracovných skupín a stanoviská konzistentnosti sú navrhnuté tak, aby znížili priepasť vo vynucovaní medzi členskými štátmi. Správa pracovnej skupiny EDPB pre bannery súhlasu z roku 2023 identifikovala bežné porušenia a vyzvala na koordinované vynucovanie a viaceré predtým menej aktívne dozorné úrady signalizovali zvýšenú pozornosť venovanú súhlasu v reakcii na to. Nízke vynucovanie na akomkoľvek trhu pravdepodobne nezostane status quo na neurčito.

Problém harmonizácie GDPR

Dáta na úrovni krajín v tejto štúdii sú v istom zmysle výzvou pre cieľ harmonizácie GDPR. Regulácia mala vytvoriť jednotný štandard naprieč EÚ, nahrádzajúc mozaiku národných zákonov o ochrane údajov. Z hľadiska právneho textu sa to podarilo. Z hľadiska reality dodržiavania zatiaľ nie.

Webová stránka v Rakúsku má trikrát nižšiu pravdepodobnosť, že bude vysoko riziková, než webová stránka v Maďarsku. Francúzsky používateľ klikajúci na „Odmietnuť" čelí rovnakej 80,4 % miere zlyhania ako poľský používateľ. Banner súhlasu sa s väčšou pravdepodobnosťou objaví v Dánsku než v Holandsku. Žiadny z týchto rozdielov nemá právny základ -- všetky sú dôsledkami rozdielneho vynucovania.

To vyvoláva ťažkú otázku: môže regulačný rámec, ktorý závisí od národných dozorných orgánov s výrazne odlišnými zdrojmi a prioritami, poskytnúť jednotnú ochranu? Dáta naznačujú, že odpoveď je momentálne nie. Priepasť medzi Nemeckom/Rakúskom a Maďarskom/Českom sa nezmenšuje -- a nezmenší sa bez výrazného vyrovnania zdrojov dozorných úradov alebo prechodu na vynucovanie na úrovni EÚ pre bežné, technicky merateľné porušenia ako sledovanie pred súhlasom.

Súhlas s cookies je paradoxne jednou z najľahšie overiteľných povinností GDPR vo veľkom meradle. Na rozdiel od posudzovania zákonnosti spracovania údajov alebo primeranosti posúdenia vplyvu na súkromie, kontrola, či webová stránka nastavuje sledovacie cookies pred súhlasom, je objektívne, automatizovateľné meranie. Ak EÚ nemôže dosiahnuť konvergenciu vynucovania pri tomto najmerateľnejšom z porušení, vyhliadky na konvergenciu pri ťažších otázkach sú nepriaznivé.

Poznámka k metodológii

Výber webových stránok bol čerpaný zo zoznamu Tranco Top 1M, filtrovaný podľa príslušnosti ku krajine. Priradenie krajiny používalo národné doménové kódy ako primárny signál, doplnené o registračné a hostingové údaje, kde boli domény nejednoznačné (napr. domény `.com`). Stránky s nejasnou príslušnosťou ku krajine boli vylúčené z analýzy na úrovni krajín, ale zahrnuté do celoeurópskych súhrnných údajov.

Každá stránka bola preskenovaná s použitím identických kritérií: správanie pred súhlasom, detekcia bannerov, testovanie toku odmietnutia (kde bolo identifikované tlačidlo odmietnutia), analýza životnosti cookies a hodnotenie prístupnosti. Skener nerobil žiadne úpravy podľa krajiny pôvodu -- maďarská stránka bola hodnotená rovnakou metodológiou a prahovými hodnotami ako nemecká.

Veľkosti vzoriek sa líšia podľa krajín, čo odráža distribúciu webových stránok EÚ v zozname Tranco. Krajiny s väčšími digitálnymi ekonomikami (Nemecko, Francúzsko, Holandsko) prispievajú viac stránkami. Všetky percentá sú vypočítané voči vzorke danej krajiny, nie voči celoeurópskemu celku.

---

Pozrite sa, ako si stojí vaša webová stránka. Spustite bezplatné skenovanie na gdprprivacymonitor.eu a získajte rovnaké hodnotenie dodržiavania, aké sme aplikovali na každú stránku v tejto štúdii -- s kompletným dôkazovým materiálom, rizikovým skóre a praktickými zisteniami.