Danske cookieregler: Samtykke, afvisning og dokumentation

Gælder reglerne for din hjemmeside?

Cookiebekendtgørelsen gælder for danske hjemmesider og apps, herunder webshops og virksomhedshjemmesider. Ifølge den fælles vejledning er du ansvarlig for al teknologi på din tjeneste, også tredjepartsværktøjer, selv når en leverandør står for opsætningen.

Start med en oversigt: analyse, annoncepixels, videoafspillere, kort, skrifttyper, chatwidgets og bookingformularer. Tjek, hvad hvert værktøj faktisk gør, i stedet for at antage, at alle værktøjer i en kategori opfører sig ens.

Reglerne er teknologineutrale. Datatilsynet forklarer, at pixels, fingerprinting og enheds-id’er også kan være omfattet, så dine forpligtelser forsvinder ikke, fordi du fjerner traditionelle cookies.

Sådan hænger cookiebekendtgørelsen og GDPR sammen

Se det som to tjek. Cookiebekendtgørelsen dækker lagring eller læsning af oplysninger på en enhed, uanset hvilke oplysninger det er; GDPR dækker personoplysninger, herunder hvad der sker efter indsamlingen. Begge gælder ofte for det samme værktøj, og derfor har de to danske myndigheder udgivet en fælles vejledning.

Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen, og overtrædelser kan straffes med bøde. Datatilsynet fører tilsyn med GDPR, som stadig kræver et lovligt behandlingsgrundlag og klar information om behandlingen af personoplysninger, efter at samtykket er indhentet. Vores guide til GDPR og cookies dækker det lag.

Det skal din cookieopsætning kunne

1. Adskil nødvendige funktioner fra valgfri sporing

Cookiebekendtgørelsens undtagelser dækker overførsel af kommunikation samt lagring eller adgang, der er teknisk nødvendig for en tjeneste, som den besøgende udtrykkeligt har efterspurgt, f.eks. login, en indkøbskurv eller et valgt sprog. En cookie til kampagnemåling bliver ikke nødvendig, fordi den er nyttig for dig, og et plugin, der også sporer, hører ikke hjemme under “Nødvendige”.

2. Gør det lige så let at afvise som at acceptere

Tilbyd tydelige muligheder for at acceptere og afvise i første lag, f.eks. “Accepter alle”, “Afvis valgfrie cookies” og “Vælg indstillinger” (eksempler, ikke påkrævede formuleringer). Den fælles vejledning siger, at det skal være lige så synligt at afvise som at acceptere, og advarer om, at farver, lav kontrast og gentagne opfordringer kan gøre samtykket ugyldigt. Test på mobil såvel som på computer.

3. Bed om samtykke til hvert formål for sig

Lad besøgende acceptere statistik uden at acceptere markedsføring: Den fælles vejledning anser ét samlet samtykke til flere formål for ikke at være frivilligt givet. Forudafkrydsede felter, kontakter, der allerede er slået til, og fortsat browsing tæller ikke, og EDPB afviser også scrolling. Beskriv formålene enkelt: “Måle, hvordan besøgende bruger vores hjemmeside” siger mere end “Tredjepartsteknologier”.

4. Giv besøgende de oplysninger, de har brug for

Ifølge den fælles vejledning bør første lag nævne dig og eventuelle samarbejdspartnere, formålene, typerne af data, eventuel deling med tredjeparter og retten til at trække samtykket tilbage. Detaljer som hver teknologis udbyder, formål og udløbstid kan ligge ét klik væk. Opdatér oplysningerne, hver gang dine værktøjer ændres.

5. Gør det lige så let at trække samtykke tilbage som at give det

Det skal være lige så let at trække samtykke tilbage som at give det, når som helst og gratis, f.eks. via et link på hver side eller et fast ikon, der åbner indstillingerne igen. Tjek, at tilbagetrækning ændrer, hvad der kører, og ikke kun kontakterne i banneret, og tjek, hvordan hvert værktøj håndterer cookies, der allerede er gemt.

Hvad det betyder for analyse og markedsføring

Forestil dig en webshop med en kurvcookie, analyse og annoncesporing. En besøgende vælger statistik, men afviser markedsføring. Din opsætning skal afspejle den kombination i stedet for at behandle ethvert klik på banneret som tilladelse til alle værktøjer.

“Kun til vores egen statistik” er ikke en undtagelse: Digitaliseringsstyrelsens eksempel om hjemmesidestatistik og den fælles vejledning siger begge, at statistikcookies kræver samtykke. Myndigheden har oplyst, at den ikke prioriterer tilsyn med simpel statistik, der opfylder strenge kriterier, men det er en prioritering af håndhævelsen, ikke en lovbestemt undtagelse, og GDPR gælder stadig.

Hvis de målte konverteringer ændrer sig efter en opdatering af banneret, så tjek, om dataindsamlingen har ændret sig, før du konkluderer, at kampagnerne har. Før en log over ændringer i banner og sporing, og sammenlign rapporteringen med gennemførte ordrer.

Tjekliste til test af hjemmesiden

De hyppigste problemer, som Digitaliseringsstyrelsen rapporterer, er sporing, der starter, før den besøgende kan give samtykke, uklassificerede sporingsteknologier og manglende cookiebannere. Test hvert scenarie i en ny session, hvor tidligere samtykke er ryddet, og tjek de faktiske cookies og forespørgsler såvel som banneret.

• Før et valg: ingen ikke-nødvendige cookies eller sporingsforespørgsler er startet.
• Afvis valgfrie cookies: efter en genindlæsning og et besøg på en anden side bliver valget stadig respekteret.
• Accepter kun statistik: analyse starter, mens markedsføring forbliver slået fra.
• Accepter alle: de tilsigtede værktøjer starter, og valget gemmes.
• Træk samtykke tilbage: når indstillingerne er åbnet igen, og valget er ændret, stopper den berørte sporing.
• Sider og enheder: produktsider, checkout, kampagnelandingssider og sider med indlejret indhold opfører sig ens på mobil og computer.
• Klassificering og information: hver fundet cookie eller tracker har et formål og en kategori, og de angivne udbydere svarer til de værktøjer, der faktisk kører.

Gem testdato, resultater og rettelser, og gentag testen, når du har tilføjet værktøjer eller ændret hjemmesiden. Det er en anbefalet rutine, ikke en lovbestemt testplan.

Fornyelse og dokumentation

Fornyelse. Den fælles vejledning beder dig afveje formålet, hvor indgribende behandlingen er, og de besøgendes forventninger, når du fastsætter intervallet. Et nyt formål, f.eks. markedsføring i stedet for statistik, kræver nyt samtykke, før du går i gang. At vise banneret ved hvert besøg for personer, der allerede har truffet et valg, er for ofte. I Passiro indstiller du perioden under Consent Validity.

Dokumentation. Vejledningen accepterer systemdokumentation: Vær klar til at vise din samtykkeprocedure, herunder hvad de besøgende så, og at den opfyldte betingelserne for gyldigt samtykke. Gem daterede skærmbilleder af hver bannerversion og dens indstillinger samt en kort vurdering, hvor din tilgang ikke er indlysende. Registreringer af de enkelte valg kan understøtte dette, men erstatter ikke en registrering af, hvad banneret viste.

Ofte stillede spørgsmål