Cookiesamtycke: vad ePrivacyreglerna kräver

Cookiebanners är den mest synliga delen av EU:s integritetsregler och den del som oftast görs fel. Reglerna kommer från två rättsakter som samverkar: ePrivacydirektivet 2002/58/EG avgör när samtycke krävs, och dataskyddsförordningen (GDPR) definierar vad som räknas som samtycke.

Regeln i en mening

Artikel 5 punkt 3 i ePrivacydirektivet, i dess lydelse efter ändringen 2009, tillåter lagring av information på en användares enhet, eller läsning av information som redan finns lagrad där, endast om användaren har gett sitt samtycke efter att ha fått tydlig och fullständig information, om inte lagringen eller åtkomsten enbart behövs för att överföra en kommunikation eller är absolut nödvändig för att tillhandahålla en tjänst som användaren uttryckligen har begärt.

Tre konsekvenser följer av detta:

• Regeln är teknikneutral. Cookies, lokal lagring, spårningspixlar, fingeravtryck av enheter och liknande tekniker omfattas alla. EDPB:s riktlinjer 2/2023 förklarar hur brett ”lagring” och ”åtkomst” ska tolkas.
• Regeln är inte begränsad till personuppgifter. I Planet49 (C-673/17) bekräftade EU-domstolen att artikel 5 punkt 3 gäller oavsett om den lagrade informationen utgör personuppgifter eller inte.
• Samtycket kommer först. Icke nödvändiga skript får inte köras innan besökaren har bestämt sig.

Vad som gör ett samtycke giltigt

Eftersom ePrivacydirektivet lånar definitionen av samtycke från dataskyddsrätten gäller GDPR:s krav (artikel 4 punkt 11, artikel 7 och artikel 94 punkt 2, som låter hänvisningar till det gamla direktivet 95/46/EG avse GDPR). Samtycket måste vara:

1. Frivilligt: att avböja får inte leda till sämre villkor än att acceptera, utöver det som är absolut nödvändigt. Cookieväggar som blockerar åtkomst om besökaren inte accepterar anses av EU:s tillsynsmyndigheter i stor utsträckning vara oförenliga med detta.
2. Specifikt: olika ändamål (analys, annonsering, personalisering) kräver separata val.
3. Informerat: besökaren måste veta vem som samlar in vad, för vilket ändamål och hur länge. Enligt Planet49 ingår information om cookiernas varaktighet och om tredje part kan få åtkomst till dem.
4. Otvetydigt: en tydlig bekräftande handling. Planet49 uteslöt förkryssade rutor; att scrolla eller att ”fortsätta surfa” är inte heller samtycke (EDPB:s riktlinjer 05/2020).

GDPR lägger till två praktiska skyldigheter: den personuppgiftsansvarige måste kunna visa att samtycke har getts (artikel 7 punkt 1), och det måste vara lika lätt att återkalla samtycket som att ge det (artikel 7 punkt 3). I praktiken innebär det en sparad dokumentation av samtycket och ett beständigt sätt att öppna bannern igen.

Bannerns utformning: vad tillsynsmyndigheterna har invänt mot

I januari 2023 publicerade EDPB rapporten från sin arbetsgrupp för cookiebanners, som sammanfattar de nationella myndigheternas gemensamma ståndpunkter. Till de metoder som de flesta myndigheter ansåg problematiska hör:

• ingen knapp för att ”avböja” i första lagret när det finns en knapp för att ”acceptera” där;
• förkryssade rutor för ändamål eller leverantörer i andra lagret;
• vilseledande länkutformning i stället för en knapp för alternativet att avböja;
• vilseledande knappfärger och kontraster som gör ”acceptera” till det enda självklara valet;
• att åberopa ”berättigat intresse” för spårning som kräver samtycke;
• att klassa icke nödvändiga cookies som ”nödvändiga”;
• inget enkelt sätt att återkalla samtycket i efterhand.

Den nationella tillsynen följer samma linjer. Franska CNIL bötfällde till exempel Google och Facebook i slutet av 2021 (offentliggjort i januari 2022) eftersom det krävdes fler klick för att avböja cookies än för att acceptera dem.

Vad som är undantaget

Undantaget för ”absolut nödvändig” lagring är snävt och bedöms utifrån besökarens perspektiv: lagring som tjänsten inte kan fungera utan. Typiska exempel är en cookie för varukorgen, en sessionscookie efter inloggning, en cookie för lastbalansering eller den cookie som sparar själva samtyckesvalet. Analys, A/B-tester, annonsering och pixlar från sociala medier är i allmänhet inte absolut nödvändiga, inte ens när de är förstapartscookies eller ”anonymiserade”. Vissa nationella myndigheter godtar snävt konfigurerad publikmätning utan samtycke; kontrollera reglerna i det land du riktar dig till innan du förlitar dig på det.

Ramverk för samtycke och tagghanterare

Plattformar för samtyckeshantering (CMP) och IAB Transparency & Consent Framework standardiserar hur valen förmedlas till annonsörer. I IAB Europe (C-604/22) slog EU-domstolen fast att den ”TC String” som kodar en användares preferenser kan utgöra personuppgifter, och att den organisation som driver ett sådant ramverk kan vara gemensamt personuppgiftsansvarig. En CMP är ett verktyg, inte en garanti: en felkonfigurerad CMP laddar ändå spårare för tidigt. På samma sätt ersätter ”samtyckeslägen” i webbläsaren, som justerar taggarnas beteende, inte samtycket; de ändrar bara vad som skickas efter beslutet.

Så testar du din egen banner på tio minuter

1. Öppna ett privat fönster, öppna utvecklarverktygen på flikarna Network och Application och ladda startsidan. Klicka inte på något.
2. Notera varje cookie, lagringspost och anrop till tredje part. Allt utöver det absolut nödvändiga är en anmärkning.
3. Klicka på ”avböj”. Navigera till ytterligare två sidor. Icke nödvändiga anrop måste förbli avstängda.
4. Rensa allt, ladda om och klicka på ”acceptera”. Jämför: skillnaden är det som din banner faktiskt styr.
5. Leta efter vägen tillbaka: en länk eller ikon som öppnar bannern igen på varje sida.

Automatiserade granskningsverktyg gör exakt detta i stor skala och upprepar det efter varje release; det är där de gör skäl för sitt pris. Jämför de tjänster vi betygsätter på jämförelsesidan.