Úvodem: aktuální metody identifikace koncových zařízení
Soubory cookies jsou nejrozšířenějším způsobem sledování uživatelů na internetu.[1] Jedná se o malé textové soubory, které navštívený web ukládá[2] do prohlížečů jeho návštěvníků a tímto způsobem obchází anonymitu klasického http protokolu.[3] Soubory cookies dělíme na cookies prvních stran, které jsou ukládány webem, na kterém se uživatel aktuálně nachází, a cookies třetích stran, které do prohlížečů koncových zařízení ukládají další jiné weby než ten, který si uživatel aktuálně načetl. Zatímco cookies prvních stran mohou být ještě považovány za relativně přijatelný nástroj pro zjišťování informací o uživatelích, kteří na daný web přistupují, cookies třetích stran jsou odbornou veřejností označovány za jeden z nejintruzivnějších nástrojů pro soukromí koncového uživatele.[4] Hlavní rozdíl mezi těmito druhy cookies je, že cookies třetích stran fungují cross-site, neboli napříč webovými stránkami. To znamená, že když uživatel přistoupí na webovou stránku A, cookies prvních stran budou pouze z této webové stránky A, zatímco cookies třetích stran budou z dalších webových stránek B či C. Uživatel tedy může mít oprávněné očekávání, že jej bude při procházení stránkou sledovat stránka A, na které se nachází, ale nikoliv že si bude současně data ukládat i jiná webová stránka B nebo C. Nelze totiž předem určit, jaké webové stránky budou své cookies třetích stran ukládat, přičemž se může jednat i o webové stránky, na které uživatel nikdy nevstoupil a ani vstoupit v budoucnu nemusí. V důsledku cookies třetích stran však o něm budou i tyto webové stránky zpracovávat data.
Tento problém je o to větší, že množství stran, které cookies třetích stran do zařízení uloží, může být v řádu desítek nebo i stovek. Uživatel, který tak bez rozmyslu odklikne vyskakovací okno s žádostí o souhlas, nevědomky otevřel stavidla pro sledování nejen konkrétní webové stránce, na kterou přistoupil, ale i velkému množství dalších subjektů. Problém je navíc násoben tím, že každá z těchto webových stránek potenciálně může data sdílet se svými "partnery" napříč internetem. Není proto divu, že se ve společnosti postupně rozšířilo povědomí o negativním vlivu cookies třetích stran. Jednotlivé prohlížeče proto postupně na tuto poptávku veřejnosti reagovaly a ve svém výchozím nastavení začaly cookies třetích stran zakazovat. Druhý i třetí nejrozšířenější prohlížeč na trhu, tedy prohlížeče Safari a Firefox, zablokovaly ve svých nastaveních cookies třetích stran již v roce 2013.[5] Tímto vstřícným krokem směrem k soukromí svých uživatelů tak de facto z pozice definiční autority zamezily v pokračování těchto nepřiměřených zásahů do soukromí uživatelů.[6]
Vzestup FLoC
Není náhodou, že poslední prohlížeč, který se k zákazu cookies třetích stran odhodlal, byl začátkem roku 2020 Google Chrome (dále jen "Chrome"). Ten v rámci iniciativy Privacy Sandbox (usilující o omezení sledování uživatelů napříč weby) tehdy deklaroval, že do dvou let také zakáže cookies třetích stran.[7] Chrome, který však již tou dobou byl dominantním prohlížečem, ovládajícím zhruba 60 % trhu,[8] potřeboval přijít s jiným řešením, díky němuž by mohl dále prodávat online reklamu, která produkuje přes 80 %[9] veškerých příjmů společnosti Google Inc. (dále jen "Google").
Z toho důvodu byl představen projekt Federated Learning of Cohorts (dále jen "FLoC"), který měl nahradit cookies třetích stran tak, aby mohl Google i nadále poskytovat svým inzerentům behaviorální reklamu. Systém měl fungovat tak, že webové stránky nejprve pomocí cookies a dalších nástrojů prvních stran uživatele identifikují a přiřadí jim ID,[10] které následně zařadí do skupin s ID dalších prohlížečů, jejichž uživatelé projevili obdobné zájmy. Těmto skupinám Google přezdívá "kohorty" a je to základní stavební prvek je ho nového systému FLoC. Jakmile jsou totiž uživatelé zařazeni do kohorty, Google dále pracuje pouze s kohortou jako s celkem, a nikoliv s jednotlivými ID. Ani sám Google tedy není schopen v rámci kohorty identifikovat konkrétního uživatele, a tedy dále již necílí na jednoho uživatele, ale na kohortu uživatelů se stejnými zájmy. Každý uživatel je zařazen do většího množství kohort v závislosti na jeho zjištěných zájmech, které se budou postupně aktualizovat. Takovými kohortami může být například kohorta milovníků fotbalu, kohorta levicových ekonomů nebo kohorta zájemců o pilates. ID kohort se navíc mělo měnit každý týden na základě posledních aktivit uživatele a aktualizovat tak zařazení do jednotlivých kohort.[11] Výhodou tohoto systému je, že data uživatelů neměla být ukládána na externích serverech, ale ke generování ID prostřednictvím algoritmu SimHash mělo docházet pouze lokálně na koncovém zařízení uživatele. Údaje o kohortách, do kterých bude uživatel na základě jeho předešlého chování zařazen, sice mají být každému běžně dostupné v koncovém zařízení, ale Google Chrome nebude kohortám přidělovat žádné označení pojící se s materiálním důvodem pro jejich vznik. Kohorty dostupné v koncovém zařízení tak budou mít pouze formální označení jako např. A123, C228, nebo C340.
Google, který byl již v roce 2020 pod tlakem, aby cookies třetích stran ve svém prohlížeči také zakázal, se snažil své řešení FLoC prezentovat jako pro-uživatelský krok v zájmu podpory ochrany soukromí. Leitmotiv počínání Googlu však byl od počátku relativně zřejmý. Bylo jím hledání systému, který by anonymizoval uživatele pouze do té míry, aby bylo možné plně využívat přesné behaviorální cílení a nadále prodávat personalizovanou online reklamu.
Tento cíl FLoC naplnil velmi dobře. Nejenže pozdržel úplné zrušení cookies třetích stran o několik let (cookies třetích stran nebyly v Chromu dosud zrušeny!), ale poskytl Googlu zdánlivý punc společnosti snažící se o zlepšení uživatelského soukromí za současného dosažení kvality cílené reklamy na úrovni 95% účinnosti[12] oproti tradičnímu sledování uživatelů prostřednictvím cookies třetích stran.[13] Tah je pro Google přínosný také ve vztahu k regulaci ochrany osobních údajů, které se FLoC elegantně vyhne. Regulace ochrany osobních údajů totiž dopadá pouze na fyzické osoby, které jsou dle čl. 4 odst. 1 nařízení č. 2016/679 obecné nařízení o ochraně osobních údajů (dále jen "GDPR") identifikované nebo identifikovatelné. Díky tomu, že kohorty mají být záměrně nastaveny tak, že sdružují skupinu osob, která díky zavedeným interním mechanismům systému nikdy nemá být tak malá, aby byla schopna identifikovat jednotlivce, nikdy by tak nemělo docházet ke zpracování osobních údajů. Velice významný je však také další efekt systému kohort, který nemusí být na první pohled zřejmý. Je jím pohled nekalé soutěže.
Analýza a způsob využívání kohort, dostupných v koncových zařízeních, zůstane ve FLoC na schopnostech reklamního průmyslu. Jakákoliv marketingová společnost si tak sice může sama nastavit způsob svého cílení, nicméně se významná část reklamních operací přesune do prohlížeče koncového zařízení, a tudíž mimo jejich dosah. Je proto zřejmé, že když bude jednotlivé kohorty nastavovat a spravovat právě Google, marketingový nástroj Googlu bude pravděpodobně nejefektivnější. Google si tímto krokem pod svoji faktickou kontrolu stahuje další významné činnosti a data a umocňuje tak svůj vliv. V jeho dominantním prohlížeči (a tedy již ve všech relevantních prohlížečích) bude nastaven zákaz ukládání cookies třetích stran, což zásadně omezí jiné metody identifikace. Jiní potenciální soutěžitelé na poli online marketingu tímto přijdou o velice efektivní cookies třetích stran bez adekvátní náhrady. Alternativu pak naleznou pravděpodobně jen v analyzování kohort, v nichž však vždy bude mít náskok právě Google.
Tento krok je proto nutné posuzovat v kontextu čl. 102 Smlouvy o fungování Evropské unie (dále jen "SFEU"), který stanoví, že: "S vnitřním trhem je neslučitelné, a proto zakázané, pokud to může ovlivnit obchod mezi členskými státy, aby jeden nebo více podniků zneužívaly dominantního postavení na vnitřním trhu nebo jeho podstatné části." Vzhledem k tomu, že Google má na daném trhu dominantní postavení, dojde prostřednictvím nového systému kohort k dalšímu omezení vlivu ostatních soutěžitelů, což dle mého názoru naplní výše uvedenou definici zneužití dominantního postavení.
Článek byl publikován v časopise Právník č. 10/2023. Pokračování je dostupné zde.
Zajímá Vás téma umělé inteligence a práva? Na kongresu Právní prostor 2024 se budeme AI a jejímu vztahu k právu věnovat hned v několika příspěvcích. Program kongresu najdete na adrese https://kongrespravniprostor.cz/.
[1] KLODWIG, Jakub. Pokročilé metody identifikace koncových zařízení . In: JANOVEC, Michal a kol. (eds). COFOLA 2020: Sborník příspěvků mladých právníků, doktorandů a právních vědců [online]. Brno: Masarykova univerzita, 2020, s. 1096 [cit. 16. 4. 2022]; ROESNER, Franziska - KOHNO, Tadayoshi - WETHERALL, David. Detecting and Defending Against Third-Party Tracking on the Web. 9th USENIX Symposium on Networked Systems Design and Implementation [online]. 2012, s. 1.
[2] Česká právní úprava, která je implementací čl. 5 odst. 3 Směrnice Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích), v § 89 odst. 3 zákona č. 127/2005 Sb., o elektronických komunikacích, vyžaduje pro netechnické či nevyžádané ukládání nebo čtení dat z koncového zařízení předchozí souhlas uživatele. Podrobněji je tato problematika vysvětlena např. v KLODWIG, Jakub. Ochrana soukromí v kontextu koncových zařízeni uživatelů. Diplomová práce. Brno: Právnická fakulta Masarykovy univerzity, 2019, s. 56.
[3] Hypertext Transfer Protocol (http) je klasický bezestavový protokol, který neumí uchovávat stav komunikace a takto postupně identifikovat uživatele, kteří na stránku přistoupí. Přistoupivší uživatel je tak v tomto protokolu bez dalšího vždy nejprve neznámý.
[4] CARDLYTICS. Third-Party Cookies and Their Impact on Privacy. In: Cardlytics [online]. 25. 3. 2022 [cit. 2022-12-04]. Dostupné z: ; NOUWENS, Midas et al. Dark Patterns after the GDPR: Scraping Consent Popups and Demonstrating their Influence . CHI 2020 Paper, Honolulu, April 25-30, 2020, s. 5. DOI: 10.1145/3313831.3376321.
[5] BUMP, Pamela. The Death of the Third-Party Cookie: What Marketers Need to Know About Google's 2022 Phase-Out. In: blog.hubspot.com [online]. 27. 7. 2022 [cit. 2022-12-06].
[6] POLČÁK, Radim. Právo informačních technologii . Praha: Wolters Kluwer ČR, 2018, s. 12.
[7] GOOGLE, INC. Building a More Private Web: A Path towards Making Third Party Cookies Obsolete In: Blog Chromium [online]. 2020, s. 1 [cit. 29. 3. 2020]. Dostupné z: https://blog.chromium.org/2020/01/building-more-private-web-path-towards.html.
[8] STATCOUNTER. StatCounter Global Stats - Browser, OS, Search Engine Including Mobile Usage Share. In: StatCounter Global Stats [online]. 2022 [cit. 2020-03-29].
[9] GLOBALDATA. Google's Revenue (2002-2021). LinkedIn [online]. 2022 [cit. 4. 12. 2022].
[10] Jedná se o jedinečný identifikátor tvořený zpravidla alfanumerickou řadou znaků.
[11] TECHNOGLITZ. Co je FLoC společnosti Google a jak jste sledováni online? In: Technoglitz [online]. [cit. 2022-12-06].
[12] SCHIFF, Allison. The Industry Reacts To Google's Bold Claim That FLoCs Are 95% As Effective As Cookies. In: AdExchan ger [online]. 26. 1. 2021 [cit. 2022-12-09].
[13] JEŽEK, David. Novou sledovací techniku Google FLoC odmítají Vivaldi, Brave i DuckDuckGo. In: Root.cz [online]. 16. 4. 2021 [cit. 2022-12-09].
Diskuze k článku ()