Samtykke til cookies i EU og Californien: opt-in, opt-out og GPC

I EU starter mange former for tracking med forudgående samtykke (opt-in). Ifølge Californiens CCPA skal en omfattet virksomhed tilbyde opt-out fra salg eller deling af personoplysninger og respektere opt-out-signaler som Global Privacy Control (GPC). Det er forskellige mekanismer, og ingen af de to opsummeringer dækker alle undtagelser eller brancher.

Denne artikel sammenligner de to forløb, og hvordan du leverer dem på én hjemmeside. Den dækker ikke andre amerikanske delstater; hvis du har besøgende der, så brug guiderne til delstaterne, som der linkes til længere nede.

De to forløb side om side

Start med tre spørgsmål

• Hvor befinder de personer sig, som du betjener, målretter eller overvåger?
• Hvilke oplysninger indsamler din hjemmeside og dine partnere, og til hvilke formål?
• Hvilke love og platformpolitikker gælder for din virksomhed og disse aktiviteter?

At være en amerikansk virksomhed fjerner ikke i sig selv europæiske forpligtelser, og ét besøg fra Californien skaber ikke i sig selv alle CCPA-forpligtelser. Om reglerne finder anvendelse, afhænger af mere end en IP-adresse. Gennemgå udgangspunktet med din rådgiver ved hjælp af GDPR’s bestemmelser om territorialt anvendelsesområde og vejledningen om CCPA fra Californiens Attorney General.

CCPA gælder for kommercielle virksomheder, der driver forretning i Californien og opfylder mindst én tærskel: en årlig bruttoomsætning på over 26.625.000 $ i det foregående kalenderår, køb, salg eller deling af personoplysninger om 100.000 eller flere forbrugere eller husstande om året eller 50 % eller mere af den årlige omsætning fra salg eller deling af personoplysninger. Omsætningsbeløbet er det inflationsregulerede beløb fra California Privacy Protection Agency, der har været gældende siden 1. januar 2025.

Undtagelser og den juridiske betydning af “salg” og “deling” kræver stadig et nærmere kig. Almindelig statistik, annoncering og aftaler med tjenesteudbydere behandles ikke alle på samme måde.

Det europæiske forløb: et valg før relevant tracking

Forestil dig som eksempel en møbelbutik, der bruger valgfri statistik og remarketing. En europæisk besøgende kommer ind uden gemt samtykke. Sitet præsenterer de relevante valg og styrer værktøjerne i overensstemmelse med den valgte opsætning.

Den besøgende tillader statistik, men afviser annoncering. Implementeringen skal bevare den forskel. Én samlet “accepteret”-markering, der starter alle leverandører, er ikke nok.

Europæiske cookieregler stammer fra ePrivacy-direktivet, som det er gennemført i hvert land, så undtagelserne varierer. Undgå at kopiere en landespecifik undtagelse for statistik til alle markeder. EDPB’s retningslinjer om samtykke beskriver GDPR’s standard for samtykke, herunder at det skal være lige så let at trække samtykke tilbage som at give det; lokale regler kræver stadig opmærksomhed.

Det californiske forløb: få opt-out til at virke

Forestil dig nu en omfattet virksomhed, hvis annonceringspraksis indebærer salg eller deling som defineret i CCPA. En besøgende bruger sitets opt-out-mekanisme. Den relevante efterfølgende behandling skal reagere på det; at vise et link med “Do Not Sell or Share” er ikke i sig selv resultatet.

CCPA-forskrifterne kræver et link med “Do Not Sell or Share My Personal Information” i sidehovedet eller sidefoden eller et tilladt alternativ, fx et link med “Your Privacy Choices”. Salg eller deling af data om forbrugere, som virksomheden ved er under 16 år, kræver i stedet en opt-in-tilladelse.

Test de destinationer i browseren, i tag manageren og på serversiden, der indgår i aktiviteten. Hold almindelige servicefunktioner adskilt fra brugen til annoncering, så dit team kan forklare, hvad valget ændrer.

Den besøgende, der allerede har signaleret en præference

Global Privacy Control, eller GPC, lader en browser sende en opt-out-præference til alle de sites, den besøgende bruger. Californiens Attorney General siger, at omfattede virksomheder skal respektere den som en gyldig anmodning om at stoppe salg eller deling. Se den officielle forklaring af GPC.

CCPA-forskrifterne uddyber: opt-out gælder for den pågældende browser eller enhed og enhver profil, der er knyttet til den, herunder pseudonyme profiler. Virksomheden skal også vise på sin hjemmeside, om den har behandlet signalet som en gyldig opt-out.

Til din tekniske test skal du bruge en browser med GPC slået til og sammenligne adfærden med en session uden signalet. Signalet kommer som request-headeren Sec-GPC: 1 og egenskaben navigator.globalPrivacyControl, så det afhænger ikke af en knap på din side. Vores guide til GPC beskriver konflikter med tidligere valg.

Hvad geo-targeting kan og ikke kan afgøre

Geo-targeting vælger et banner eller en konfiguration ud fra en anslået placering. Den er ikke en automatisk juridisk vurdering: den kan ikke afgøre, om en lov gælder for din virksomhed, identificere alle følsomme anvendelser eller garantere, at placeringen er korrekt, fx når en besøgende bruger en VPN.

Beslut, hvad der sker, når placeringen er ukendt, og test denne reserveløsning lige så vel som de regioner, du forventer at betjene. Behandl ikke i det stille en ukendt placering som tilladelse til ubegrænset tracking.

I Passiro har Smart geo-targeting en særskilt indstilling for Unknown location (ukendt placering). Med Same banner everywhere viser Passiro samtykkevalget, når landet ikke kan bestemmes, men besøgende uden for de valgte lande bliver ikke spurgt, og scripts indlæses normalt, så tjek landevalget omhyggeligt.

Hold sprog adskilt fra placering. En spansktalende besøgende i Los Angeles og en anden i Madrid ønsker måske det samme bannersprog, men har brug for forskellige valg. Bannerets sprog følger din indstilling for oversættelse eller browserens sprog; det afgør ikke, hvilke regler der gælder.

Hvis du også betjener andre amerikanske delstater

Denne artikel dækker kun Californien. Andre delstaters privatlivslove bruger deres egne tærskler, definitioner og regler for følsomme data og opt-out-signaler, så tjek dem, før du kopierer opsætningen fra Californien. Start med vores guider til Virginias CDPA, Colorados CPA og Utahs UCPA samt guiden til GPC og den fulde guide til CCPA.

I Passiros Smart geo-targeting har regionen US opt-out states en mulighed for at vælge enkelte delstater. Beslut, hvilke delstater din virksomhed skal dække, før du forlader dig på den indstilling.

En praktisk brief til din udvikler

Skriv én kort regel pr. forløb for besøgende: forventet banner, indledende samtykkestatus, understøttede valg, berørte leverandører og forventet adfærd efter en ændring. Tilføj en separat test for GPC, hvor det er relevant, og en for reserveløsningen ved ukendt placering.

For Google-tags skal du angive Basic eller Advanced Consent Mode i stedet for vagt at bede om “EU-tracking”. Følg guiden til Consent Mode for marketingfolk og testen af “Afvis alle” for at tjekke implementeringen.

Passiro indeholder geo-targeting og håndtering af Global Privacy Control på alle abonnementer, også Free. IAB GPP starter med Pro. Oversigten over abonnementer viser forskellen; GPC og GPP kan ikke bruges i stedet for hinanden.