Samtykke til informasjonskapsler: Hva loven faktisk krever

Samtykke til informasjonskapsler er ett av de mest misforståtte kravene innen digitalt personvern. Mange virksomheter tror de er compliant fordi de viser et cookie-banner. Men et banner er ikke samtykke. Samtykke er et konkret juridisk begrep med presise krav — og om du ikke oppfyller disse kravene, kan det bety at hele datainnsamlingen din er ulovlig.

Det juridiske grunnlaget

Samtykke til informasjonskapsler hviler på to juridiske pilarer:

ePrivacy-direktivet artikkel 5(3) fastsetter kravet: å lagre eller få tilgang til informasjon på en brukers enhet krever brukerens samtykke, med mindre lagringen er strengt nødvendig for en tjeneste brukeren uttrykkelig har bedt om. Dette er regelen som spesifikt regulerer informasjonskapsler.

GDPR artikkel 4(11) definerer hva samtykke betyr: «'samtykke' fra den registrerte betyr enhver frivillig, spesifikk, informert og utvetydig viljesytring fra den registrerte der vedkommende ved en erklæring eller en tydelig bekreftelse gir sitt samtykke til behandling av personopplysninger om vedkommende.»

Disse to bestemmelsene virker sammen. ePrivacy-direktivet forteller deg når samtykke er nødvendig (for ikke-nødvendige informasjonskapsler). GDPR forteller deg hvordan et gyldig samtykke ser ut. Begge må være oppfylt.

De fem kravene til gyldig samtykke

Med utgangspunkt i GDPR artikkel 4(11), artikkel 7 og EDPBs retningslinjer 05/2020 om samtykke, må et gyldig cookie-samtykke oppfylle fem kriterier:

1. Frivillig gitt

Brukeren må ha et reelt valg. Samtykket er ikke frivillig hvis:

• Tilgang er betinget av samtykke. Hvis brukeren ikke kan bruke nettstedet uten å godta alle informasjonskapsler (en «cookie wall»), er samtykket ikke frivillig gitt. EDPB har bekreftet dette standpunktet, selv om enkelte nasjonale tilsynsmyndigheter tillater begrensede cookie walls under bestemte omstendigheter — særlig hvis det finnes et reelt alternativ (som en betalt, cookie-fri versjon).
• Det er en betydelig maktubalanse. I forholdet mellom arbeidsgiver og arbeidstaker, eller mellom stat og borger, kan samtykket ikke være reelt frivillig. For de fleste nettsteder er dette mindre relevant, men det har betydning for offentlige tjenester og intranettplattformer.
• Det er betydelig vanskeligere å avslå enn å godta. Hvis «Godta alle» er en fremtredende knapp og «Avslå alle» krever at man navigerer gjennom innstillingene, er samtykket ikke frivillig gitt. Både italienske Garante og franske CNIL har utstedt konkret veiledning som krever at det å avslå informasjonskapsler skal være like enkelt som å godta dem.

2. Spesifikt

Samtykke må gis separat for hvert enkelt formål. Det er derfor cookie-kategorier finnes. En gyldig samtykkeløsning må la brukere godta analyse-informasjonskapsler samtidig som de avslår markedsførings-informasjonskapsler, eller omvendt. Å samle alle informasjonskapsler i et enkelt «godta» eller «avslå» oppfyller ikke kravet om spesifisitet — men å tilby både «Godta alle» og «Avslå alle» som snarveier ved siden av kontroller per kategori er akseptabelt.

3. Informert

Før brukeren gir samtykke, må vedkommende få vite:

• Hvem som setter informasjonskapslene (nettstedeieren og eventuelle tredjeparter)
• Hva hver kategori av informasjonskapsler gjør
• Hvor lenge informasjonskapslene varer
• Hvordan man trekker tilbake samtykket

Denne informasjonen må presenteres tydelig og i et klart språk. En cookie-erklæring på 5 000 ord gjemt bak tre klikk gjør ikke samtykket «informert» i noen meningsfull forstand. Det første laget i samtykkeløsningen din bør inneholde nok informasjon til at brukeren kan ta et informert valg.

4. Utvetydig

Samtykke krever en tydelig bekreftende handling. Brukeren må aktivt gjøre noe for å uttrykke samtykke — klikke på en knapp, krysse av i en boks, veksle en bryter.

Hva som IKKE utgjør utvetydig samtykke:

• Forhåndsavkryssede avkryssingsbokser. EU-domstolen slo endelig fast i Planet49 (sak C-673/17, oktober 2019) at forhåndsavkryssede bokser ikke utgjør gyldig samtykke. Dette gjelder også for cookie-samtykkeinnstillinger der kategorier er avkrysset som standard.
• Fortsatt nettlesing. «Ved å fortsette å bruke dette nettstedet samtykker du til informasjonskapsler» er ikke gyldig samtykke. Å bare scrolle eller klikke på en lenke er ikke en «utvetydig viljesytring». Flere tilsynsmyndigheter har bekreftet dette, og EDPBs retningslinjer er tydelige på dette punktet.
• Nettleserinnstillinger. Å basere seg på brukerens nettleserinnstillinger som en form for samtykke har blitt avvist av tilsynsmyndighetene. Nettstedeieren må innhente samtykke direkte.
• Taushet eller passivitet. Hvis brukeren ignorerer banneret og fortsetter å bla, er det ikke samtykke. Ingen informasjonskapsler bør plasseres før brukeren har tatt et aktivt valg.

5. Forutgående

Selv om det ikke er oppført som et eget element i GDPR artikkel 4(11), gjør ePrivacy-direktivet det klart at samtykke må innhentes før informasjonskapsler plasseres. Dette er kravet mange nettsteder fortsatt ikke oppfyller. Skript som kjører ved sidelasting — og setter analyse- og markedsførings-informasjonskapsler før brukeren i det hele tatt har sett samtykkebanneret — bryter med dette grunnleggende kravet.

Teknisk sett betyr dette at ikke-nødvendige skript må blokkeres inntil samtykke er gitt. Å bare vise et banner mens informasjonskapsler allerede blir satt, oppfyller ikke kravet om forutgående samtykke.

Hvordan gyldig samtykke ser ut i praksis

En compliant implementering av cookie-samtykke:

1. Blokkerer alle ikke-nødvendige informasjonskapsler før brukeren interagerer med samtykkeløsningen.
2. Presenterer et tydelig første lag som forklarer hvilke kategorier av informasjonskapsler som brukes, med muligheter for å godta eller avslå hver kategori.
3. Tilbyr «Godta alle» og «Avslå alle» på samme fremtredende nivå — samme størrelse, samme visuelle vekt, samme antall klikk som kreves.
4. Bruker ikke dark patterns — ingen villedende knappefarger, ingen skjulte avslå-alternativer, intet forvirrende språk, ingen dulting mot godkjenning.
5. Lenker til en detaljert cookie-erklæring som lister opp hver informasjonskapsel med navn, formål, varighet og leverandør.
6. Registrerer samtykket med et tidsstempel og de spesifikke kategoriene brukeren godtok eller avslo.
7. Kjører kun de relevante skriptene etter at samtykke er gitt for den spesifikke kategorien.

Samtykkets livssyklus

Samtykke er ikke en engangshendelse. Det har en livssyklus som implementeringen din må støtte:

Innhenting

Første besøk: vis samtykkeløsningen, blokker ikke-nødvendige informasjonskapsler, vent på brukerens handling.

Lagring

Når samtykke er gitt, lagre brukerens valg i en strengt nødvendig informasjonskapsel (denne informasjonskapselen krever ikke samtykke, da den er nødvendig for å respektere brukerens personvernpreferanser). Lagre også en oppføring på serversiden som bevis på samtykke.

Anvendelse

Ved påfølgende sidelastinger, les samtykke-informasjonskapselen og kjør kun skriptene som svarer til kategoriene brukeren godtok. Ikke vis banneret på nytt — respekter det lagrede valget.

Tilbaketrekking

GDPR artikkel 7(3) er tydelig: «Det skal være like enkelt å trekke tilbake som å gi samtykke.» Nettstedet ditt må gi brukere en varig, lett tilgjengelig måte å endre cookie-preferansene sine på når som helst. En vanlig tilnærming er et lite ikon eller en lenke i bunnteksten som gjenåpner samtykkeadministrasjonsgrensesnittet.

Fornyelse

Samtykke varer ikke evig. CNIL anbefaler å fornye samtykket hver 13. måned. EDPB har ikke fastsatt en spesifikk varighet, men krever at samtykket forblir gyldig og at brukerens valg fortsatt gjenspeiler vedkommendes faktiske ønsker. Beste praksis er å be om samtykke på nytt minst en gang i året, eller når bruken av informasjonskapsler endrer seg vesentlig.

Endringer

Hvis du legger til nye informasjonskapsler, nye tredjepartstjenester eller nye formål, kan det være at eksisterende samtykke ikke lenger dekker dem. Brukere bør bes om å gi (eller nekte) samtykke til den nye behandlingen på nytt.

Samtykkeoppføringer og bevis

GDPR artikkel 7(1) fastslår: «Når behandlingen bygger på samtykke, skal den behandlingsansvarlige kunne påvise at den registrerte har samtykket.» For cookie-samtykke betyr dette at du må føre oppføringer over:

• Når samtykke ble gitt (tidsstempel)
• Hva brukeren samtykket til (hvilke kategorier som ble godtatt, hvilke som ble avslått)
• Hvordan samtykket ble innhentet (hvordan samtykkeløsningen så ut på tidspunktet — en versjonsidentifikator eller et skjermbilde)
• Hvem som ga samtykke (vanligvis en anonymisert identifikator, ikke brukerens navn)

Hvis en tilsynsmyndighet ber deg bevise at en spesifikk informasjonskapsel ble plassert med gyldig samtykke, er disse oppføringene ditt forsvar. Uten dem har du ingen dokumentasjon på at samtykkeløsningen din fungerer — og bevisbyrden ligger på deg, ikke på tilsynsmyndigheten.

Vanlige samtykkefeil

Basert på håndhevingssaker over hele Europa er dette de hyppigst sanksjonerte samtykkefeilene:

1. Informasjonskapsler plassert før samtykke. Analyse- og markedsføringsskript som kjører ved sidelasting, før brukeren interagerer med banneret.
2. Ingen avslå-mulighet i det første laget. Å kreve at brukere klikker på «Innstillinger» eller «Administrer preferanser» for å avslå informasjonskapsler, mens «Godta alle» er umiddelbart tilgjengelig.
3. Forhåndsavkryssede kategorier. Samtykkebrytere som er stilt til «på» som standard for analyse og markedsføring.
4. Ingen måte å trekke tilbake samtykke på. Når banneret er lukket, finnes det ingen måte for brukeren å endre valget sitt på.
5. Samtykkevegg / cookie wall. Å blokkere tilgang til innhold med mindre alle informasjonskapsler godtas.
6. Villedende utforming. Å bruke grønt for «Godta» og grått for «Avslå», gjøre godta-knappen større, eller bruke forvirrende språk som «Fortsett uten å godta» kontra «Godta og fortsett».

Passiro skanner nettstedets implementering av cookie-samtykke og sjekker etter disse vanlige feilene, slik at du kan identifisere og rette compliance-hull før en tilsynsmyndighet gjør det.

Neste: når er egentlig samtykke påkrevd? Svaret innebærer noen viktige nyanser, blant annet unntaket for strengt nødvendige informasjonskapsler og den pågående debatten om førsteparts analyse.