Reglur um smákökur og persónuvernd: Alþjóðlegt yfirlit

Reglufylgni með smákökum lýtur ekki einum lögum. Hún mótast af flóknu neti innlendra og svæðisbundinna reglugerða sem eru mjög ólíkar að umfangi, kröfum og framkvæmd. Fyrir hvern þann vef sem hefur alþjóðlega áhorfendur — sem á opnu netinu er nánast hver einasti vefur — er nauðsynlegt að skilja hvaða lög eiga við og hvernig þau eru ólík.

Þessi leiðarvísir kortleggur alþjóðlegt regluverk um smákökur og eftirfylgni á netinu, allt frá „samþykki fyrst“-líkani ESB til „tilkynningar og vals“-nálgunar Bandaríkjanna og ný regluverk sem eru að koma fram annars staðar.

Alþjóðlega bútasaumsteppið

Það eru engin ein „smákökulög“. Þess í stað liggur reglufylgni með smákökum í skurðpunkti persónuverndarreglna, tilskipana um fjarskipti og neytendaverndarlaga. Útkoman er flókið, stundum mótsagnakennt landslag þar sem sami vefurinn getur fallið undir ólíkar reglur eftir því hvar gestir hans eru staddir.

Tvö megin­líkön hafa komið fram:

• ESB-líkanið (samþykki fyrst): Aðeins má setja smákökur sem eru ekki nauðsynlegar eftir að notandinn hefur gefið upplýst, tiltekið og frjálst samþykki. Sjálfgefið er engin eftirfylgni. Notandinn verður að velja að taka þátt.
• Bandaríska líkanið (tilkynning og val): Fyrirtæki verða að upplýsa um gagnasöfnun sína og gefa notendum möguleika á að afþakka tiltekna notkun (sérstaklega sölu eða deilingu persónuupplýsinga). Sjálfgefið er eftirfylgni, með möguleika notandans á að afþakka.

Flestar nýjar persónuverndarreglur um heim allan stefna í átt að ESB-líkaninu, þó með staðbundnum breytingum. Það er nauðsynlegt að skilja bæði líkönin — og einstök lög innan þeirra — fyrir hvern þann vef sem starfar yfir landamæri.

Regluverk ESB: ePrivacy-tilskipunin + GDPR

Nálgun Evrópusambandsins á smákökureglur byggir á tveimur lagagerningum sem starfa saman:

ePrivacy-tilskipunin (2002/58/EB)

ePrivacy-tilskipunin — oft kölluð „smákökutilskipunin“ — er helstu lög ESB sem gilda um notkun smákaka og svipaðrar eftirlitstækni. Lykilákvæði hennar, 3. mgr. 5. gr., segir:

Aðildarríki skulu tryggja að geymsla upplýsinga, eða aðgangur að upplýsingum sem þegar hafa verið geymdar, í endabúnaði áskrifanda eða notanda sé aðeins leyfð með því skilyrði að viðkomandi áskrifandi eða notandi hafi gefið samþykki sitt, eftir að hafa fengið skýrar og ítarlegar upplýsingar.

Eina undantekningin er fyrir smákökur sem eru „bráðnauðsynlegar“ til að veita þjónustu sem notandinn hefur beinlínis beðið um — til dæmis lotusmákökur fyrir innkaupakörfu eða innskráningarstöðu.

Mikilvægt: ePrivacy er tilskipun, ekki reglugerð. Það þýðir að hvert aðildarríki ESB hefur innleitt hana í landslög með staðbundnum breytingum. Grunnreglan (samþykki krafist fyrir smákökur sem eru ekki nauðsynlegar) er samræmd, en útfærsluatriði eru ólík. Til dæmis:

• Frakkland (CNIL): Hefur gefið út ítarlegar smákökuleiðbeiningar, þar á meðal takmarkaða undanþágu fyrir tiltekin verkfæri til mælinga á áhorfi sem uppfylla ströng skilyrði (nafnleynd, engin eftirfylgni milli vefja, takmarkaður geymslutími).
• Þýskaland: Innleitt með TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), sem tók gildi í desember 2021 og festi samþykkiskröfuna berum orðum í lög.
• Ítalía (Garante): Birti ítarlegar smákökuleiðbeiningar árið 2021 þar sem krafist er hafnahnapps á fyrsta lagi og smákökuveggir bannaðir.
• Holland (AP): Hefur tekið nokkuð frjálslyndari afstöðu gagnvart smákökuveggjum og gefið til kynna að þeir kunni að vera ásættanlegir ef notandinn hefur raunverulega aðra leið til að nálgast efnið.

GDPR (reglugerð (ESB) 2016/679)

Almenna persónuverndarreglugerðin nefnir ekki smákökur sérstaklega, en hún gildir um vinnslu persónuupplýsinga — og smákökur snerta oft persónuupplýsingar. GDPR skiptir máli fyrir reglufylgni með smákökum á nokkra vegu:

• Samþykkisviðmið (4. mgr. 11. gr., 7. gr.): GDPR skilgreinir hvað telst gilt samþykki: frjálst, tiltekið, upplýst, ótvírætt, veitt með skýrri staðfestingaraðgerð. Þetta viðmið á við um smákökusamþykki sem fengið er samkvæmt ePrivacy-tilskipuninni.
• Gagnsæi (12.–14. gr.): Þegar smákökur vinna persónuupplýsingar eiga gagnsæiskröfur GDPR við. Það þýðir að smákökustefnan þín verður að veita tilteknar upplýsingar um þá gagnavinnslu sem á sér stað.
• Lagagrundvöllur (6. gr.): Vinnsla persónuupplýsinga gegnum smákökur krefst lagagrundvallar. Fyrir smákökur sem eru ekki nauðsynlegar er sá grundvöllur samþykki. Sumir ábyrgðaraðilar reyna að styðjast við lögmæta hagsmuni (f-lið 1. mgr. 6. gr.), en persónuverndaryfirvöld hafa í auknum mæli hafnað lögmætum hagsmunum sem grundvelli fyrir eftirfylgni með auglýsingum og greiningu.
• Réttindi hins skráða (15.–22. gr.): Notendur eiga rétt á aðgangi, leiðréttingu, eyðingu og flytjanleika gagna sinna — þar á meðal gagna sem safnað er gegnum smákökur.
• Yfirþjóðlegt gildissvið (3. gr.): GDPR gildir um sérhverja stofnun sem vinnur persónuupplýsingar einstaklinga í ESB, óháð því hvar stofnunin er staðsett. Bandarískt fyrirtæki sem beinir sér að viðskiptavinum í ESB verður að fara eftir henni.

Væntanleg ePrivacy-reglugerð

Framkvæmdastjórn Evrópusambandsins lagði fram ePrivacy-reglugerð árið 2017 til að koma í stað ePrivacy-tilskipunarinnar, samræma reglur milli aðildarríkja og uppfæra þær fyrir nútímatækni. Í ársbyrjun 2026 hefur reglugerðin ekki verið kláruð. Samningaviðræður hafa dregist á langinn vegna ágreinings um undantekningar fyrir lögmæta hagsmuni, ákvæði um smákökuveggi og samþykkisaðferðir á vafrastigi.

Þegar hún verður loks samþykkt mun ePrivacy-reglugerðin gilda beint í öllum aðildarríkjum (ólíkt núverandi tilskipun, sem krefst innleiðingar í landslög). Þangað til eru gildandi ePrivacy-tilskipunin og innlendar útfærslur hennar áfram gildandi lög.

Regluverk Bandaríkjanna: Persónuverndarlög á ríkisstigi

Bandaríkin hafa engin alríkislög um smákökur og engin heildstæð alríkislög um persónuvernd (í ársbyrjun 2026). Þess í stað hefur persónuverndarlöggjöf komið fram á ríkisstigi og skapað bútasaum af kröfum.

Kalifornía: CCPA og CPRA

Persónuverndarlög neytenda í Kaliforníu (CCPA), eins og þeim var breytt með persónuverndarréttindalögunum í Kaliforníu (CPRA), eru heildstæðustu persónuverndarlög á ríkisstigi í Bandaríkjunum. Lykilákvæði sem tengjast smákökum:

• Réttur til að afþakka sölu/deilingu. Neytendur hafa rétt á að afþakka „sölu“ eða „deilingu“ persónuupplýsinga sinna. Samkvæmt CPRA felur „deiling“ í sér að deila gögnum með þriðju aðilum til hegðunartengdra auglýsinga þvert á samhengi — sem er einmitt það sem flestar auglýsingasmákökur gera.
• Ekki krafist samþykkis fyrirfram. Ólíkt ESB-líkaninu krefjast CCPA/CPRA ekki samþykkis fyrirfram fyrir smákökur. Sjálfgefið er að eftirfylgni sé leyfð, og notendur verða virkt að afþakka.
• „Do Not Sell or Share“-hlekkur. Fyrirtæki verða að veita áberandi hlekk sem segir „Do Not Sell or Share My Personal Information“ á vefsvæði sínu.
• Global Privacy Control (GPC). Fyrirtæki verða að virða GPC-vaframerkið sem gilda afþökkunarbeiðni. Ef vafri notanda sendir GPC-merki verður fyrirtækið að meðhöndla það eins og notandinn hafi smellt á „Do Not Sell or Share“.
• Tilkynning við söfnun. Fyrirtæki verða að upplýsa, við eða fyrir söfnunartímapunkt, um flokka persónuupplýsinga sem safnað er og í hvaða tilgangi þær verða notaðar.

Önnur ríkislög í Bandaríkjunum

Í kjölfar fordæmis Kaliforníu hafa fjölmörg bandarísk ríki sett heildstæð persónuverndarlög. Í ársbyrjun 2026 eru meðal ríkja með virk persónuverndarlög:

Fleiri ríki hafa sett lög með gildistöku á árunum 2025 og 2026. Þróunin er skýr: persónuverndarlöggjöf á ríkisstigi er að breiðast út, og flest ný lög fela í sér afþökkunarrétt fyrir markvissar auglýsingar sem hafa bein áhrif á smákökuvenjur.

Aðrar athyglisverðar reglur

Bretland: UK GDPR og PECR

Eftir Brexit hélt Bretland GDPR sem „UK GDPR“ og heldur áfram að framfylgja reglugerðum um persónuvernd og rafræn samskipti (PECR), sem innleiða ePrivacy-tilskipunina. Kröfurnar um smákökur eru í meginatriðum þær sömu og í ESB: samþykki fyrirfram er krafist fyrir smákökur sem eru ekki nauðsynlegar, með þröngri undantekningu fyrir bráðnauðsynlegar smákökur. Upplýsingafulltrúaembættið (ICO) framfylgir þessum reglum og hefur birt ítarlegar smákökuleiðbeiningar.

Brasilía: LGPD

Brasilísku persónuverndarlögin, Lei Geral de Proteção de Dados (LGPD), sem hafa verið í gildi síðan 2020, eru mjög innblásin af GDPR. Þau krefjast lagagrundvallar fyrir vinnslu persónuupplýsinga, þar á meðal gagna sem safnað er gegnum smákökur. Þótt LGPD hafi ekki beina hliðstæðu smákökuákvæðis ePrivacy-tilskipunarinnar verður að byggja á samþykki eða lögmætum hagsmunum fyrir smákökutengda gagnavinnslu. ANPD (landsbundna persónuverndaryfirvaldið) gefur smám saman út leiðbeiningar um smákökur og samþykki.

Kanada: PIPEDA og frumvarp C-27

Kanadísku lögin um vernd persónuupplýsinga og rafræn skjöl (PIPEDA) krefjast „raunverulegs samþykkis“ fyrir söfnun, notkun og miðlun persónuupplýsinga. Fyrir smákökur sem safna persónuupplýsingum verða stofnanir að afla samþykkis og veita skýrar upplýsingar um venjur sínar. Frumvarp C-27, hin fyrirhuguðu lög um neytendavernd persónuupplýsinga, myndu nútímavæða kanadíska regluverkið með strangari samþykkiskröfum, en samþykkt þeirra hefur dregist.

Japan: APPI

Japönsku lögin um vernd persónuupplýsinga (APPI), sem breytt var árið 2022, innleiddu hugtakið „upplýsingar sem hægt er að rekja til einstaklings“ sem geta falið í sér smákökuauðkenni í tilteknu samhengi. Þegar smákökugögnum er blandað saman við aðrar upplýsingar til að auðkenna einstakling eiga samþykkiskröfur við.

Suður-Kórea: PIPA

Suður-kóresku persónuverndarlögin (PIPA), sem breytt var árið 2023, krefjast samþykkis fyrir söfnun og notkun persónuupplýsinga, sem geta falið í sér smákökugögn þegar þau auðkenna eða geta auðkennt einstakling.

Samleitniþróun

Þrátt fyrir núverandi bútasaum er skýr þróun að koma fram: flest ný persónuverndarlög fylgja ESB-líkaninu um samþykki fyrst og reglusetningu sem eflir notendur. Jafnvel bandarísk ríkislög, þótt þau byggist tæknilega á afþökkun frekar en virku samþykki, eru að þróast í átt að strangari kröfum með almennum afþökkunarmerkjum (GPC), meginreglum um lágmörkun gagna og víðtækari skilgreiningum á „persónuupplýsingum“ sem ná yfir smákökuauðkenni.

Í reynd þýðir þessi samleitni að vefsvæði sem innleiða reglufylgni með smákökum á ESB-stigi (samþykki fyrirfram, skýrt samþykki/höfnun, nákvæmir flokkar, gagnsæjar stefnur) eru vel í stakk búin til að fylgja reglum flestra annarra lögsagnarumdæma. ESB-viðmiðið er hæsti samnefnarinn.

Áhættumat: Hvaða lög eiga við um vefinn þinn?

Lykilspurningin fyrir hvern vefumsjónaraðila er: hvaða lög eiga við um mig? Svarið ræðst af tveimur þáttum:

1. Hvar stofnunin þín er staðsett. Þú fellur undir persónuverndarlög þeirra lögsagnarumdæma þar sem stofnunin þín hefur starfsstöð (skrifstofu, dótturfélag, útibú).
2. Hvar notendur þínir eru staddir. Samkvæmt yfirþjóðlegu gildissviði GDPR (2. mgr. 3. gr.) fellur þú undir persónuverndarlög ESB ef þú býður vörur eða þjónustu til einstaklinga í ESB, eða ef þú vaktar hegðun einstaklinga í ESB. Svipuð yfirþjóðleg ákvæði er að finna í UK GDPR, LGPD í Brasilíu og öðrum lögum.

Í reynd, ef vefurinn þinn er aðgengilegur notendum í ESB — og þú hefur einhverja umferð frá ESB, sem nánast allir vefir hafa — ættir þú að fara eftir ePrivacy-tilskipuninni og GDPR. Ef þú hefur umferð frá Bandaríkjunum ættir þú að taka á CCPA/CPRA (Kaliforníu) og öðrum viðeigandi ríkislögum.

Hagnýt nálgun:

• Innleiða samþykki á ESB-staðli fyrir alla gesti frá ESB/EES/Bretlandi (samþykki fyrirfram fyrir smákökur sem eru ekki nauðsynlegar).
• Innleiða afþökkunaraðferðir fyrir gesti frá Bandaríkjunum (Do Not Sell/Share-hlekk, GPC-stuðning).
• Nota hærri staðalinn sjálfgefið ef landfræðileg greining er óhagkvæm. Samþykki á ESB-stigi uppfyllir nánast öll lögsagnarumdæmi.

Yfirþjóðlegt gildissvið

Einn af mikilvægustu þáttum nútíma persónuverndarreglna er yfirþjóðlegt gildissvið þeirra. GDPR (2. mgr. 3. gr.) gildir um stofnanir utan ESB sem:

• Bjóða vörur eða þjónustu til einstaklinga í ESB (jafnvel þótt hún sé ókeypis — vefur sem er aðgengilegur í ESB og beinir sér að notendum í ESB fellur undir þetta), eða
• Vakta hegðun einstaklinga í ESB (greining og eftirfylgni með auglýsingum teljast vöktun).

Þetta þýðir að bandarískt fyrirtæki sem keyrir Google Analytics á vef sem fær umferð frá ESB fellur, tæknilega séð, undir GDPR og smákökukröfur ePrivacy-tilskipunarinnar. Framfylgd gagnvart stofnunum utan ESB hefur sögulega verið takmörkuð en fer vaxandi, sérstaklega gagnvart stórum fyrirtækjum. Hagnýta áhættan fyrir smærri stofnanir ræðst af sýnileika og fjölda kvartana, en lagaskyldan er til staðar óháð stærð.

Landslag framfylgdar

Framfylgd á reglufylgni með smákökum hefur aukist verulega frá árinu 2020. Helstu þróunartrendir:

Hver framfylgir

Í ESB framfylgja innlend persónuverndaryfirvöld (DPA) bæði ePrivacy-tilskipuninni og GDPR. Meðal athyglisverðra virkra yfirvalda eru CNIL (Frakkland), Garante (Ítalía), Datatilsynet (Danmörk og Noregur), BfDI (Þýskaland á alríkisstigi) og APD (Belgía). EDPB samræmir framfylgd yfir landamæri.

Í Bandaríkjunum framfylgja ríkissaksóknari Kaliforníu og persónuverndarstofnun Kaliforníu CCPA/CPRA. Ríkissaksóknarar framfylgja öðrum ríkislögum.

Hvernig þau framfylgja

• Rannsóknir í kjölfar kvartana. Mest framfylgd hefst með kvörtun notanda til persónuverndaryfirvalds. Kvörtunin setur af stað rannsókn á smákökuvenjum vefsins.
• Yfirferðarrannsóknir. Persónuverndaryfirvöld framkvæma reglulega geiraviða yfirferðir og skanna hundruð vefsvæða fyrir reglufylgni með smákökum. CNIL, ítalska Garante og danska Datatilsynet hafa öll framkvæmt opinberar yfirferðir.
• Kvartanir frjálsra félagasamtaka. Persónuverndarsamtök á borð við noyb (undir stjórn Max Schrems) hafa lagt fram fjöldakvartanir gegn hundruðum vefsvæða og skapað umtalsvert magn framfylgdar. Kvartanir noyb vegna smákökuborða einar hafa leitt til tuga framfylgdaraðgerða um allt ESB.

Viðurlög

GDPR-sektir fyrir smákökubrot geta numið allt að 20 milljónum evra eða 4% af árlegri heimsveltu, hvort sem er hærra. Í reynd hafa sektir fyrir smákökubrot verið á bilinu frá viðvörunum (fyrir smáar stofnanir með minniháttar brot) upp í 150 milljónir evra (Google, CNIL, 2022). Þróunin stefnir í átt að hærri sektum og tíðari framfylgd.

Fyrir utan sektir fylgir vanefndum áhætta fyrir orðspor, tjón á trausti neytenda og rekstrarkostnaður við bráðaúrbætur samkvæmt fyrirmælum yfirvalda.

Passiro hjálpar þér að rata um þessa reglulegu flækju með sjálfvirkri reglufylgni sem aðlagast lögunum sem eiga við um gesti þína. Kynntu þér hvernig Passiro einfaldar reglufylgni með smákökum þvert á lögsagnarumdæmi.