LGPD: Cookievalg og behandlingsgrundlag for hjemmesider rettet mod Brasilien

Gælder LGPD for din hjemmeside?

Krav i LGPD: loven omfatter behandling, der foretages i Brasilien, behandling med det formål at udbyde varer eller tjenester til personer i Brasilien eller at behandle deres data, og data, der er indsamlet, mens personen befandt sig i Brasilien (artikel 3). Der er ingen størrelsesgrænse, der holder små hjemmesider uden for loven.

Krav i LGPD: personoplysninger er oplysninger om en identificeret eller identificerbar person (artikel 5). Cookie-id’er, browsinghistorik og annonceprofiler er omfattet, så snart de kan kobles til en person, også uden et navn.

ANPD’s vejledning: ANPD’s cookieguide bemærker, at cookiedata kan identificere personer indirekte via slutninger, kombinerede registreringer eller adfærdsprofiler, uanset om cookien er en førstepartscookie eller ej.

Vælg et behandlingsgrundlag for hvert formål

Krav i LGPD: hver anvendelse af personoplysninger kræver et behandlingsgrundlag i artikel 7 (artikel 11 for følsomme oplysninger), fx samtykke, en kontrakt, som personen har anmodet om, eller legitime interesser. Legitime interesser omfatter kun strengt nødvendige data og må vige for personens grundlæggende rettigheder (artikel 10).

ANPD’s vejledning: cookieguiden ser intet hierarki mellem behandlingsgrundlagene og har dette syn på almindelige anvendelser.

Praktisk tip: vurder hvert værktøj ud fra, hvad det gør, ikke ud fra dets betegnelse. Statistik, der deler identifikatorer med en annonceplatform, er ikke længere den lavrisikomåling, ANPD beskriver.

Det kræver et gyldigt samtykke

Krav i LGPD: samtykke skal være frit, informeret, utvetydigt og givet til et bestemt formål; generelle tilladelser er ugyldige (artikel 5 og 8). Den dataansvarlige skal kunne bevise samtykket, og vildledende eller uklar forudgående information gør det ugyldigt (artikel 8 og 9).

Krav i LGPD: personer kan til enhver tid tilbagekalde samtykke via en gratis og lettilgængelig procedure (artikel 8, § 5).

ANPD’s anbefalede bannerdesign

ANPD’s vejledning: guiden præsenterer disse punkter som god praksis, ikke som et format, der er fastsat ved lov:

• En synlig mulighed for at afvise alle ikke-nødvendige cookies i første og andet lag. I ANPD’s eksempler giver et banner, der kun har knappen “Jeg accepterer”, ikke et frit valg.
• Samtykkebaserede cookies slået fra som standard: ingen forudafkrydsede felter og ingen “fortsat browsing betyder ja”.
• Et andet lag, der grupperer cookies efter formål, med samtykke pr. formål.
• En direkte måde at trække samtykket tilbage og gøre indsigelse på, ud over browserindstillingerne.
• Information, der ikke kun findes på et fremmedsprog, og som ikke er så detaljeret, at den bliver uoverskuelig.

Praktisk tip: brug disse punkter som standard for valgfri cookies. Hvis et værktøj bygger på et andet behandlingsgrundlag, så notér hvorfor, og forklar det stadig.

Information på portugisisk, som de besøgende kan forstå

Krav i LGPD: information om formålet, behandlingens form og varighed, hvem den dataansvarlige er, deling af data og personers rettigheder skal være klar, tilstrækkelig og fremtrædende (artikel 9).

ANPD’s vejledning: cookieinformation, der kun tilbydes på et fremmedsprog, er en praksis, der bør undgås. Hold første lag kort, med formål og opbevaringsperioder ét trin væk.

Praktisk tip: vis banneret og cookiedeklarationen på portugisisk for besøgende i Brasilien, og hold oversættelserne i overensstemmelse med de værktøjer, du bruger. I Passiro retter du teksterne for hvert sprog under Translations.

Eksempel: en webshop med remarketing

En webshop, der sælger til kunder i Brasilien, bruger kurv- og checkoutcookies, et statistikværktøj og en annoncepixel til remarketing. En besøgende afviser valgfri cookies.

Kurv- og checkoutcookies understøtter købet, så de forbliver slået til. Statistik, der kun bruges til måling, kan ifølge ANPD’s vejledning bygge på legitime interesser, medmindre den også fodrer annoncemålgrupper. Pixlen bygger på samtykke, så den forbliver slået fra, og den besøgende udelades af upload af målgrupper.

Krav i LGPD: hvis annonceplatformen modtager dataene uden for Brasilien, kræver overførslen et grundlag efter artikel 33, fx standardkontraktbestemmelser eller et specifikt og fremhævet samtykke til overførslen. En accepteret annoncecookie dækker ikke det.

Praktisk tip: test afvisningen i en ny browsersession: ingen pixelforespørgsler, ingen annoncecookies og ingen upload af kundelister baseret på det afviste samtykke.

Følsomme oplysninger, børn og nye værktøjer

Krav i LGPD: følsomme oplysninger, fx om helbred eller religion, kræver specifikt og fremhævet samtykke eller et andet grundlag i artikel 11. Behandling af børns og unges data skal være i deres bedste interesse, og børns data kræver generelt specifikt samtykke fra en forælder eller værge (artikel 14).

Praktisk tip: vurder disse tilfælde, før du aktiverer profilering eller annoncering, og behandl hvert nyt marketingværktøj som en ny vurdering. Se Hold samtykket opdateret, når du tilføjer et nyt sporingsværktøj.

Tjekliste til din hjemmeside

• Behandlingsgrundlag: notér formål og grundlag for hver cookie og pixel.
• Første besøg: bekræft, at samtykkebaserede cookies og forespørgsler forbliver slået fra.
• Afvis og træk tilbage: bekræft, at tags og upload af målgrupper stopper.
• Sprog: tjek, at det portugisiske banner svarer til den aktuelle opsætning.
• Leverandører: bekræft hver modtagers rolle og overførselsgrundlag.

Ofte stillede spørgsmål