Cookiesamtykke: hvad ePrivacy-reglerne kræver

Cookiebannere er den mest synlige del af EU’s databeskyttelsesregler og den del, der oftest gøres forkert. Reglerne stammer fra to retsakter, der virker sammen: ePrivacy-direktivet 2002/58/EF afgør, hvornår der kræves samtykke, og databeskyttelsesforordningen (GDPR) definerer, hvad der tæller som samtykke.

Reglen i én sætning

Artikel 5, stk. 3, i ePrivacy-direktivet, som ændret i 2009, tillader kun lagring af oplysninger på en brugers enhed, eller læsning af oplysninger, der allerede er lagret dér, hvis brugeren har givet sit samtykke efter at have modtaget klare og fyldestgørende oplysninger, medmindre lagringen eller adgangen alene er nødvendig for at overføre en kommunikation eller er strengt nødvendig for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om.

Det har tre konsekvenser:

• Reglen er teknologineutral. Cookies, lokal lagring, trackingpixels, fingerprinting af enheder og lignende teknikker er alle omfattet. EDPB’s retningslinjer 2/2023 forklarer, hvor bredt “lagring” og “adgang” skal forstås.
• Reglen er ikke begrænset til personoplysninger. I Planet49 (C-673/17) bekræftede EU-Domstolen, at artikel 5, stk. 3, gælder, uanset om de lagrede oplysninger er personoplysninger eller ej.
• Samtykket kommer først. Ikke-nødvendige scripts må ikke køre, før den besøgende har truffet sit valg.

Hvad der gør et samtykke gyldigt

Da ePrivacy-direktivet låner definitionen af samtykke fra databeskyttelsesretten, gælder GDPR’s krav (artikel 4, nr. 11, artikel 7 og artikel 94, stk. 2, som lader henvisninger til det tidligere direktiv 95/46/EF gælde som henvisninger til GDPR). Samtykket skal være:

1. Frivilligt: at afvise må ikke føre til dårligere vilkår end at acceptere, ud over hvad der er strengt nødvendigt. Cookievægge, der blokerer adgangen, medmindre den besøgende accepterer, anses af EU’s tilsynsmyndigheder i vid udstrækning for at være uforenelige med dette.
2. Specifikt: forskellige formål (analyse, annoncering, personalisering) kræver separate valg.
3. Informeret: den besøgende skal vide, hvem der indsamler hvad, til hvilket formål og hvor længe. Ifølge Planet49 hører oplysninger om cookiernes varighed og om, hvorvidt tredjeparter kan få adgang til dem, med hertil.
4. Utvetydigt: en klar bekræftende handling. Planet49 udelukkede forudafkrydsede felter; at scrolle eller at “fortsætte med at browse” er heller ikke samtykke (EDPB’s retningslinjer 05/2020).

GDPR tilføjer to praktiske pligter: Den dataansvarlige skal kunne påvise samtykket (artikel 7, stk. 1), og det skal være lige så let at trække samtykket tilbage som at give det (artikel 7, stk. 3). I praksis betyder det en gemt dokumentation af samtykket og en vedvarende mulighed for at åbne banneret igen.

Bannerets udformning: hvad tilsynsmyndighederne har gjort indsigelse mod

I januar 2023 offentliggjorde EDPB rapporten fra sin taskforce for cookiebannere, som sammenfatter de nationale myndigheders fælles holdninger. Blandt de metoder, som de fleste myndigheder anså for problematiske, er:

• ingen knap til at “afvise” i første lag, når der er en knap til at “acceptere” dér;
• forudafkrydsede felter for formål eller leverandører i andet lag;
• vildledende linkdesign i stedet for en knap til muligheden for at afvise;
• vildledende knapfarver og kontraster, der gør “acceptér” til det eneste oplagte valg;
• at påberåbe sig “legitim interesse” for tracking, der kræver samtykke;
• at klassificere ikke-nødvendige cookies som “nødvendige”;
• ingen nem måde at trække samtykket tilbage på bagefter.

Den nationale håndhævelse følger de samme linjer. Den franske CNIL gav for eksempel Google og Facebook bøder i slutningen af 2021 (offentliggjort i januar 2022), fordi det krævede flere klik at afvise cookies end at acceptere dem.

Hvad der er undtaget

Undtagelsen for “strengt nødvendig” lagring er snæver og vurderes ud fra den besøgendes perspektiv: lagring, som tjenesten ikke kan fungere uden. Typiske eksempler er en cookie til indkøbskurven, en sessionscookie efter login, en cookie til load balancing eller den cookie, der husker selve samtykkevalget. Analyse, A/B-test, annoncering og pixels fra sociale medier er generelt ikke strengt nødvendige, heller ikke når de er førstepartscookies eller “anonymiserede”. Nogle nationale myndigheder accepterer snævert konfigureret publikumsmåling uden samtykke; tjek reglerne i det land, du henvender dig til, før du forlader dig på det.

Samtykkerammer og tag managers

Platforme til samtykkestyring (CMP) og IAB Transparency & Consent Framework standardiserer, hvordan valgene videregives til annoncører. I IAB Europe (C-604/22) fastslog EU-Domstolen, at den “TC String”, der koder en brugers præferencer, kan være en personoplysning, og at den organisation, der driver en sådan ramme, kan være fælles dataansvarlig. En CMP er et værktøj, ikke en garanti: En fejlkonfigureret CMP indlæser stadig trackere for tidligt. På samme måde erstatter “samtykketilstande” i browseren, der justerer tags’ adfærd, ikke samtykket; de ændrer kun, hvad der sendes efter beslutningen.

Sådan tester du dit eget banner på ti minutter

1. Åbn et privat vindue, åbn udviklerværktøjerne på fanerne Network og Application, og indlæs forsiden. Klik ikke på noget.
2. Notér hver cookie, lagringspost og forespørgsel til tredjeparter. Alt ud over det strengt nødvendige er et fund.
3. Klik på “afvis”. Gå til yderligere to sider. Ikke-nødvendige forespørgsler skal forblive slået fra.
4. Ryd alt, genindlæs, og klik på “acceptér”. Sammenlign: Forskellen er det, dit banner faktisk styrer.
5. Kig efter vejen tilbage: et link eller ikon, der åbner banneret igen på alle sider.

Automatiserede scannere gør præcis dette i stor skala og gentager det efter hver release; det er dér, de gør sig fortjent til deres pris. Sammenlign de tjenester, vi vurderer, på sammenligningssiden.