Cookie-banner på nettsiden – hva kreves for gyldig samtykke?
Cookies samtykke nettside-banneret må skille tydelig mellom informasjonskapsler nettsiden faktisk trenger for å fungere, og dem som samler inn data om kundene til analyse eller annonsering. Synne, som driver en nettbutikk for smykker, hadde latt webbyrået som bygde siden, installere både Google Analytics og en annonsepiksel automatisk, uten at noe samtykke faktisk ble innhentet før verktøyene lastet og begynte å samle data. Løsningen ligger ikke i å fjerne alle informasjonskapsler, men i å forstå hvilke som krever aktivt samtykke før de kan aktiveres, og hvordan et banner faktisk gir kunden et reelt valg i stedet for et skinnvalg.
Nødvendige cookies og markedsføringscookies krever ikke det samme samtykket
Informasjonskapsler som er strengt nødvendige for at nettsiden skal fungere, som å huske hva som ligger i handlekurven eller å holde kunden innlogget, kan settes uten forhåndssamtykke. Informasjonskapsler som brukes til analyse av besøkende eller til å målrette annonser, som Synnes Google Analytics og annonsepiksel, krever derimot et aktivt, informert samtykke før de lastes, ikke bare et varsel om at de finnes. Forskjellen er ikke kosmetisk. Et banner som lar analyseverktøyet kjøre i bakgrunnen mens kunden fortsatt leser teksten om cookies, er ikke et gyldig samtykke, det er en teknisk overtredelse pakket inn i et banner som ser riktig ut.
Forhåndsavkryssede bokser er ugyldig samtykke, uansett hvor liten teksten er
Et samtykke skal være en aktiv handling fra kunden, ikke en boks som allerede er huket av og som kunden må orke å fjerne selv. Synnes opprinnelige banner hadde nettopp dette problemet: markedsføringscookies var forhåndsgodkjent, og kunden måtte inn i et undermeny for å skru dem av. Et gyldig samtykke krever at kunden selv trykker for å godta, med informasjon som er tydelig nok til at valget er reelt, ikke gjemt bak formuleringer bygget for å bli lest fort og klikket bort. Dette gjelder uavhengig av om teksten er skrevet med liten skrift nederst på siden eller i et stort banner midt i bildet.
Avvis alle skal være like lett som å godta alle
Et vanlig knep er å gjøre «godta alle» til en stor, fargerik knapp, mens avvisning krever flere klikk gjennom innstillinger kunden må lete etter selv. Et slikt banner er i realiteten et press mot å samtykke, ikke et fritt valg, og det svekker gyldigheten av samtykket selv om ordlyden i teksten er korrekt. For Synnes nettbutikk betydde omleggingen at «avvis alle» fikk samme størrelse og synlighet som «godta alle» på førstesiden av banneret, uten at kunden måtte inn i noen undermeny for å si nei til annet enn det strengt nødvendige.
Datatilsynets praksis: det banneret som oftest får kritikk
Datatilsynet har over tid pekt på nettopp denne typen ubalanserte bannere som et tilbakevendende problem, der utformingen i praksis presser folk mot å godta mer enn de egentlig ønsker. Kombinasjonen av ekomlovens regel om samtykke før lagring av informasjonskapsler og personvernregelverkets krav til et informert og fritt samtykke, betyr at et banner må bestå begge testene samtidig, ikke bare den ene. Synne endte med et enklere banner enn før: to like store knapper, en kort tekst om hva markedsføringscookies faktisk brukes til, og en lenke videre til den fulle personvernerklæringen for den som vil lese mer.
Loggen som viser hva som faktisk lastet før noen trykket på noe
Da Synne gikk gjennom nettsiden med webbyrået, oppdaget de at annonsepikselen faktisk hadde begynt å samle data i det øyeblikket siden lastet, lenge før noen kunde hadde tatt stilling til banneret. Det var ikke en villet handling fra byråets side, bare en standardinnstilling ingen hadde tenkt gjennom da siden ble bygget. Løsningen var teknisk enkel: alle skript for analyse og annonsering ble satt til å vente på et konkret signal om samtykke, i stedet for å laste automatisk med resten av siden. Denne typen tekniske detaljer er ofte det som avgjør om et banner er reelt eller bare et skuespill, og det er verdt å be leverandøren om en konkret bekreftelse på nettopp dette punktet, ikke bare et løfte om at «banneret er GDPR-klart».
Hvorfor dette henger sammen med resten av nettbutikkens rutiner
Cookies samtykke nettside-arbeidet Synne gjorde, var i realiteten bare én brikke i et større bilde som også omfatter de andre grunnpilarene i GDPR-arbeidet for en liten butikk, som protokoll, behandlingsgrunnlag og databehandleravtaler med verktøyene bak analyse og annonsering. Et pent banner hjelper lite hvis resten av kjeden bak det, som avtalene med annonseplattformene, ikke er på plass. Synne endte med å bruke bannergjennomgangen som en anledning til å gå gjennom hele listen over tredjepartsverktøy nettbutikken faktisk brukte, og fant to hun ikke lenger visste hva gjorde, og som hun til slutt fjernet helt fra siden.
Kort oppsummert
- Nødvendige cookies krever ikke samtykke, mens analyse- og markedsføringscookies må ha et aktivt samtykke før de aktiveres.
- Forhåndsavkryssede bokser for markedsføringscookies er ikke et gyldig samtykke, uansett hvor tydelig teksten ellers er.
- Et cookies samtykke nettside-banner må gjøre det like lett å avvise som å godta, uten å gjemme avvisning i en undermeny.
- Datatilsynet har pekt på ubalanserte bannere, der «godta alle» er langt mer synlig enn avvisningsvalget, som et gjentakende problem.
- Sjekk banneret på egen nettside jevnlig, siden nye verktøy webbyrået legger til, ofte laster før noe samtykke faktisk er gitt.