Samþykki fyrir vefkökum: Hvað lögin raunverulega krefjast

Samþykki fyrir vefkökum er ein af þeim kröfum í stafrænni persónuvernd sem oftast er misskilin. Mörg fyrirtæki telja sig fylgja reglum af því að þau sýna vefkökuborða. En borði er ekki samþykki. Samþykki er sértækt lögfræðilegt hugtak með nákvæmum kröfum — og ef þessar kröfur eru ekki uppfylltar getur öll gagnasöfnun þín verið ólögleg.

Lagalegur grundvöllur

Samþykki fyrir vefkökum hvílir á tveimur lagalegum stoðum:

5. gr. (3. mgr.) ePrivacy-tilskipunarinnar setur kröfuna: að geyma eða sækja upplýsingar á tæki notanda krefst samþykkis notandans, nema geymslan sé algjörlega nauðsynleg fyrir þjónustu sem notandinn hefur beinlínis óskað eftir. Þetta er reglan sem sérstaklega tekur til vefkaka.

4. gr. (11. mgr.) GDPR skilgreinir hvað samþykki merkir: „„samþykki“ hins skráða merkir hverja frjálsa, sértæka, upplýsta og ótvíræða viljayfirlýsingu hins skráða um að hann samþykki, með yfirlýsingu eða ótvíræðum jákvæðum aðgerðum, vinnslu persónuupplýsinga sem varða hann.“

Þessi tvö ákvæði vinna saman. ePrivacy-tilskipunin segir þér hvenær samþykkis er þörf (fyrir ónauðsynlegar vefkökur). GDPR segir þér hvernig gilt samþykki lítur út. Bæði þarf að uppfylla.

Fimm kröfur um gilt samþykki

Út frá 4. gr. (11. mgr.), 7. gr. GDPR og leiðbeiningum EDPB 05/2020 um samþykki, verður gilt samþykki fyrir vefkökum að uppfylla fimm skilyrði:

1. Frjálst gefið

Notandinn verður að hafa raunverulegt val. Samþykki er ekki frjálst ef:

• Aðgangur er skilyrtur samþykki. Ef notandinn getur ekki notað vefsíðuna án þess að samþykkja allar vefkökur („vefkökuveggur“) er samþykkið ekki frjálst gefið. EDPB hefur staðfest þessa afstöðu, þótt sumar innlendar persónuverndarstofnanir leyfi takmarkaða vefkökuveggi undir sérstökum kringumstæðum — sérstaklega ef raunverulegur valkostur er til staðar (svo sem greidd útgáfa án vefkaka).
• Verulegt ójafnvægi í valdastöðu er til staðar. Í samskiptum vinnuveitanda og starfsmanns eða stjórnvalds og borgara kann samþykki ekki að vera raunverulega frjálst. Fyrir flestar vefsíður skiptir þetta minna máli, en það á við um opinbera þjónustu og innri vefkerfi.
• Að hafna er verulega erfiðara en að samþykkja. Ef „Samþykkja allt“ er áberandi hnappur en „Hafna öllu“ krefst þess að fara í gegnum stillingar er samþykkið ekki frjálst gefið. Bæði ítalska Garante og franska CNIL hafa gefið út sértækar leiðbeiningar sem krefjast þess að höfnun vefkaka sé jafn auðveld og samþykki þeirra.

2. Sértækt

Samþykki verður að gefa sérstaklega fyrir hvern aðgreindan tilgang. Þess vegna eru vefkökuflokkar til. Gilt samþykkisferli verður að leyfa notendum að samþykkja greiningarvefkökur en hafna markaðsvefkökum, eða öfugt. Að setja allar vefkökur saman í eitt „samþykkja“ eða „hafna“ uppfyllir ekki kröfuna um sértækni — þó svo að bjóða bæði „Samþykkja allt“ og „Hafna öllu“ sem flýtileiðir samhliða stýringum eftir flokkum sé viðunandi.

3. Upplýst

Áður en samþykki er veitt verður að segja notandanum:

• Hver setur vefkökurnar (rekstraraðili vefsíðunnar og allir þriðju aðilar)
• Hvað hver flokkur vefkaka gerir
• Hversu lengi vefkökurnar endast
• Hvernig eigi að afturkalla samþykki

Þessar upplýsingar verður að setja fram skýrt og á einföldu máli. Vefkökustefna upp á 5.000 orð grafin bak við þrjá smelli gerir samþykki ekki „upplýst“ á neinn þýðingarmikinn hátt. Fyrsta lag samþykkisferlis þíns ætti að innihalda nægar upplýsingar til að notandinn geti tekið upplýsta ákvörðun.

4. Ótvírætt

Samþykki krefst skýrrar jákvæðrar aðgerðar. Notandinn verður virkt að gera eitthvað til að gefa til kynna samþykki — smella á hnapp, haka við reit, ýta á rofa.

Það sem er EKKI ótvírætt samþykki:

• Forhakaðir reitir. Evrópudómstóllinn úrskurðaði afdráttarlaust í Planet49 (mál C-673/17, október 2019) að forhakaðir reitir teljist ekki gilt samþykki. Þetta á við um samþykkisstillingar fyrir vefkökur þar sem flokkar eru sjálfgefið hakaðir.
• Áframhaldandi vafur. „Með því að halda áfram að nota þessa síðu samþykkir þú vefkökur“ er ekki gilt samþykki. Það að skruna eða smella á tengil telst ekki „ótvíræð viljayfirlýsing“. Fjölmargar persónuverndarstofnanir hafa staðfest þetta og leiðbeiningar EDPB eru skýrar um þetta atriði.
• Vafrastillingar. Að reiða sig á vafrastillingar notandans sem form samþykkis hefur verið hafnað af eftirlitsaðilum. Rekstraraðili vefsíðunnar verður að afla samþykkis beint.
• Þögn eða aðgerðaleysi. Ef notandinn hunsar borðann og heldur áfram að vafra er það ekki samþykki. Engar vefkökur ættu að vera settar fyrr en notandinn hefur tekið virka ákvörðun.

5. Fyrirfram

Þótt þetta sé ekki tilgreint sem sérstakur þáttur í 4. gr. (11. mgr.) GDPR, gerir ePrivacy-tilskipunin ljóst að samþykkis verði að afla áður en vefkökur eru settar. Þetta er krafan sem margar vefsíður uppfylla enn ekki. Forskriftir sem keyra við hleðslu síðu — og setja greiningar- og markaðsvefkökur áður en notandinn hefur einu sinni séð samþykkisborðann — brjóta þessa grundvallarkröfu.

Tæknilega þýðir þetta að loka verður á ónauðsynlegar forskriftir þar til samþykki er veitt. Það eitt að sýna borða á meðan vefkökur eru þegar settar uppfyllir ekki kröfuna um fyrirframsamþykki.

Hvernig gilt samþykki lítur út í reynd

Samþykkisútfærsla fyrir vefkökur sem fylgir reglum:

1. Lokar á allar ónauðsynlegar vefkökur áður en notandinn hefur samskipti við samþykkisferlið.
2. Sýnir skýrt fyrsta lag sem útskýrir flokka vefkaka sem notaðir eru, með möguleikum til að samþykkja eða hafna hverjum flokki.
3. Býður „Samþykkja allt“ og „Hafna öllu“ á sama áberandi stigi — sömu stærð, sömu sjónrænu áherslu, sama fjölda smella.
4. Notar ekki blekkjandi hönnun — engir villandi hnappalitir, engir faldir höfnunarmöguleikar, ekkert ruglandi orðalag, engin ýting í átt að samþykki.
5. Tengir í ítarlega vefkökustefnu sem tilgreinir hverja vefköku eftir nafni, tilgangi, tímalengd og veitanda.
6. Skráir samþykkið með tímastimpli og þeim tilteknu flokkum sem notandinn samþykkti eða hafnaði.
7. Keyrir aðeins viðkomandi forskriftir eftir að samþykki hefur verið veitt fyrir þeim tiltekna flokki.

Líftími samþykkis

Samþykki er ekki einstakur atburður. Það hefur líftíma sem útfærsla þín verður að styðja:

Söfnun

Fyrsta heimsókn: sýndu samþykkisferlið, lokaðu á ónauðsynlegar vefkökur, bíddu eftir aðgerð notandans.

Geymsla

Þegar samþykki er veitt skaltu geyma val notandans í algjörlega nauðsynlegri vefköku (ekkert samþykki þarf fyrir þessa vefköku þar sem hún er nauðsynleg til að virða persónuverndaróskir notandans). Geymdu einnig skráningu á miðlarahlið sem sönnun fyrir samþykki.

Beiting

Við síðari hleðslur síðu skaltu lesa samþykkisvefkökuna og keyra aðeins þær forskriftir sem samsvara þeim flokkum sem notandinn samþykkti. Ekki sýna borðann aftur — virtu geymda valið.

Afturköllun

7. gr. (3. mgr.) GDPR er afdráttarlaus: „Það skal vera jafn auðvelt að afturkalla samþykki og að veita það.“ Vefsíðan þín verður að bjóða viðvarandi og aðgengilega leið fyrir notendur til að breyta vefkökuóskum sínum hvenær sem er. Algeng aðferð er lítið tákn eða tengill í síðufæti sem opnar samþykkisstjórnunarviðmótið aftur.

Endurnýjun

Samþykki varir ekki að eilífu. CNIL mælir með að endurnýja samþykki á 13 mánaða fresti. EDPB hefur ekki sett ákveðinn tíma en krefst þess að samþykki haldi gildi sínu og að val notandans endurspegli enn raunverulegar óskir hans. Bestu venjur eru að biðja um samþykki að nýju að minnsta kosti einu sinni á ári eða þegar notkun þín á vefkökum breytist verulega.

Breytingar

Ef þú bætir við nýjum vefkökum, nýrri þjónustu þriðja aðila eða nýjum tilgangi kann fyrirliggjandi samþykki að ná ekki lengur yfir þær. Biðja ætti notendur að nýju um að veita (eða hafna) samþykki fyrir nýju vinnslunni.

Skráning samþykkis og sönnun

7. gr. (1. mgr.) GDPR segir: „Þegar vinnsla byggist á samþykki skal ábyrgðaraðili geta sýnt fram á að hinn skráði hafi samþykkt.“ Fyrir samþykki vefkaka þýðir þetta að þú verður að viðhalda skrám yfir:

• Hvenær samþykki var veitt (tímastimpill)
• Hverju notandinn samþykkti (hvaða flokkar voru samþykktir, hverjum var hafnað)
• Hvernig samþykkinu var safnað (hvernig samþykkisferlið leit út á þeim tíma — útgáfuauðkenni eða skjámynd)
• Hver gaf samþykki (yfirleitt nafnlaust auðkenni, ekki nafn notandans)

Ef eftirlitsaðili biður þig að sanna að tiltekin vefkaka hafi verið sett með gildu samþykki eru þessar skrár vörnin þín. Án þeirra hefurðu engar sannanir fyrir því að samþykkisferli þitt virki — og sönnunarbyrðin hvílir á þér, ekki eftirlitsaðilanum.

Algeng mistök í samþykki

Út frá aðgerðum eftirlitsaðila um alla Evrópu eru þetta þau samþykkismistök sem oftast eru sektuð:

1. Vefkökur settar fyrir samþykki. Greiningar- og markaðsforskriftir sem keyra við hleðslu síðu, áður en notandinn hefur samskipti við borðann.
2. Enginn höfnunarmöguleiki á fyrsta lagi. Að krefjast þess að notendur smelli á „Stillingar“ eða „Stjórna óskum“ til að hafna vefkökum, á meðan „Samþykkja allt“ er strax aðgengilegt.
3. Forhakaðir flokkar. Samþykkisrofar sem eru sjálfgefið „kveiktir“ fyrir greiningu og markaðssetningu.
4. Engin leið til að afturkalla samþykki. Þegar borðanum hefur verið lokað er engin leið fyrir notandann að breyta vali sínu.
5. Samþykkisveggur / vefkökuveggur. Að loka á aðgang að efni nema allar vefkökur séu samþykktar.
6. Villandi hönnun. Að nota grænt fyrir „Samþykkja“ og grátt fyrir „Hafna“, gera samþykkishnappinn stærri, eða nota ruglandi orðalag eins og „Halda áfram án þess að samþykkja“ á móti „Samþykkja og halda áfram“.

Passiro skannar samþykkisútfærslu vefsíðunnar þinnar fyrir vefkökur og kannar hvort þessi algengu mistök séu til staðar, sem hjálpar þér að greina og laga eyður í regluvörslu áður en eftirlitsaðili gerir það.

Næst: hvenær nákvæmlega er samþykkis krafist? Svarið felur í sér nokkur mikilvæg blæbrigði, þar á meðal undanþáguna um algjörlega nauðsynlegar vefkökur og áframhaldandi umræðuna um greiningar frá fyrsta aðila.