En norsk cookie-kontroll må undersøke både valgene brukeren ser og teknologien som kjører før og etter valget. Et banner med gode knapper hjelper lite dersom analyse- eller annonsetjenester allerede har fått tilgang til opplysninger på brukerens enhet. Det praktiske resultatet er en oversikt over teknologiene, en begrunnet vurdering av unntak og dokumentasjon av at nettstedet følger brukerens valg.
Fra 1. januar 2025 gjelder den nye ekomloven § 3-15 om lagring av og tilgang til opplysninger i kommunikasjonsutstyr. Nkoms generelle veiledning om informasjonskapsler forklarer at samtykket må oppfylle GDPRs krav. Datatilsynet har en egen veiledning om samtykke til cookies og sporingsteknologi som bør brukes ved vurdering av grensesnittet og informasjonen.
Begynn med teknologi og formål, ikke bannerleverandør
Kartlegg hvilke tjenester som settes i gang på sidene: analyse, annonsering, video, kart, chat, innlogging, handlekurv og andre komponenter. Undersøk også teknologier som ikke bruker tradisjonelle cookie-filer. Bestemmelsen er teknologinøytral og gjelder lagring eller tilgang til opplysninger på utstyret, uavhengig av om opplysningene i seg selv er personopplysninger.
En leverandør kan bruke begreper som lokal lagring, piksler eller enhetsidentifikatorer. Beskriv hva løsningen faktisk gjør. Det avgjørende er ikke om leverandøren markedsfører produktet som «uten cookies», men hvilke handlinger som skjer på brukerens utstyr og hvilke dataflyter som oppstår.
Knytt gjennomgangen til systemkartleggingen. Registrer hvem som har lagt inn komponenten, hvem som eier formålet og hvem som kan endre innstillingene. En markedsføringsavdeling og et utviklerteam kan ellers installere parallelle løsninger uten at noen ser den samlede behandlingen.
Vurder de to unntakene konkret
Ekomloven har to snevre unntak fra samtykkekravet: teknisk lagring eller tilgang utelukkende for å overføre kommunikasjon i et elektronisk kommunikasjonsnett, og det som er strengt nødvendig for å levere en informasjonssamfunnstjeneste som brukeren uttrykkelig har bedt om. Unntakene skal knyttes til den aktuelle funksjonen, ikke hele leverandøren.
At noe er nyttig for virksomheten, gjør det ikke strengt nødvendig for brukerens forespurte tjeneste. En analysefunksjon som hjelper markedsføringen, er ikke automatisk nødvendig for at brukeren skal lese en artikkel. En handlekurvfunksjon må derimot vurderes opp mot brukerens konkrete bestilling og hvordan den teknisk leveres.
Skriv en kort begrunnelse for hver funksjon som får kjøre uten samtykke. Den bør angi hvilken tjeneste brukeren har bedt om, hvorfor lagringen eller tilgangen er nødvendig og hvordan formålet er avgrenset. Hvis samme teknologi også brukes til annonsering, må denne videre bruken undersøkes separat.
Bruk en utfylt kartlegging som utgangspunkt
En tenkt norsk nettbutikk kan lage følgende arbeidsark. Vurderingene er illustrerende og må kontrolleres mot den faktiske teknologien og funksjonen:
| Funksjon | Hva kunden ber om | Foreløpig håndtering | Kontrollspørsmål |
|---|---|---|---|
| Handlekurv | Legge varer i kurv og gjennomføre kjøp | Vurder snevert nødvendighetsunntak | Brukes identifikatoren også til andre formål? |
| Innlogging | Åpne egen kundekonto | Vurder nødvendig autentiseringsfunksjon | Hvor lenge trengs sesjonen, og hvem mottar data? |
| Annonsemåling | Ingen forespørsel om denne funksjonen | Hold tilbake til relevant gyldig samtykke | Starter annonsekall før valget? |
| Innebygd tredjepartsvideo | Se et bestemt videoinnhold | Undersøk teknologien og gi egnet valg eller alternativ | Hvilke opplysninger sendes ved sidelasting og avspilling? |
| Besøksanalyse | Nettbutikken ønsker statistikk | Ikke merk automatisk som nødvendig | Kan formålet oppnås med mindre innsamling? |
Skillet mellom «nødvendig» og «valgfritt» må bygge på vurderingen, ikke bare leverandørens standardkategorier. Ta med samme komponent på flere steder hvis bruken faktisk er forskjellig. En video på forsiden kan ha et annet lastemønster enn videoen brukeren aktivt åpner på en hjelpeside.
La brukeren velge uten skjulte hindringer
Et gyldig samtykke krever en aktiv og informert handling. Forhåndsvalgte avkryssinger, passivitet eller videre bruk av nettstedet er ikke en erstatning for dette. Valgene må også være frivillige og spesifikke for de aktuelle formålene.
Datatilsynet forklarer at avvisning ikke skal kreve ekstra klikk eller være mer brysomt. Hvis «godta alle» finnes på første nivå, skal brukeren også kunne avvise valgfrie formål like enkelt på samme nivå. Avvisning skal heller ikke skjules med svak synlighet eller tvetydig tekst.
Et praktisk oppsett kan ha tydelige valg for «Godta alle valgfrie», «Avvis valgfrie» og «Tilpass». Detaljvisningen kan skille ulike formål og la brukeren lagre valgene. Dette er et illustrerende grensesnitt, ikke et krav om akkurat disse knappetekstene. Kontroller at teksten samsvarer med funksjonen som faktisk utløses.
Gi kort informasjon som leder til konkrete detaljer
Første nivå bør forklare hvem som bruker teknologiene, hvilke formål som er aktuelle og hvordan brukeren kan velge. Detaljene må gjøre mottakere, lagring og behandling forståelige. Ikke beskriv omfattende profilering med et vagt løfte om «en bedre opplevelse».
Et eksempel kan være: «Vi bruker nødvendige funksjoner for handlekurv og innlogging. Med ditt valg kan vi også bruke besøksanalyse og annonsemåling. Du kan avvise valgfrie formål eller velge dem hver for seg. Du kan endre valget senere via lenken for personverninnstillinger.» Den ferdige informasjonen må bygge på verifiserte funksjoner og suppleres med de påkrevde detaljene.
Datatilsynets råd om separate formål er relevante når statistikk og markedsføring blandes. Hvis virksomheten bare bruker teknologier som faktisk omfattes av unntak, trenger den ikke et samtykkebanner for å late som brukeren kan velge bort en nødvendig funksjon. Relevant informasjon om behandlingen må likevel gis.
Kontroller hva som skjer før et valg
Start en ren nettleserøkt uten tidligere samtykkestatus. Undersøk hvilke forespørsler som sendes, hvilke data som lagres og hvilke skript som kjører. Se både på hovedsiden og representative undersider med ulike komponenter. Et korrekt resultat på forsiden dokumenterer ikke automatisk at en kampanjeside eller videomodul følger samme oppsett.
Registrer resultatet med tidspunkt, nettleser, side, versjon og observert handling. Unngå å samle reelle kundedata i kontrollen. Oppdiktede prøveopplysninger og tekniske referanser er ofte tilstrekkelig til å vise om et kall ble sendt før samtykke.
Hvis en valgfri komponent starter før valget, må den holdes tilbake på riktig sted. Å skjule banneret eller slette en cookie senere endrer ikke det som allerede ble gjort. Kontroller også serverbaserte integrasjoner; de kan videreformidle data selv om nettleseren viser færre tredjepartskall.
Prøv avvisning, delvalg og tilbaketrekking
Kontrollen bør omfatte minst fire forskjellige forløp: ingen handling, avvisning, et avgrenset ja og tilbaketrekking av et tidligere ja. Hvert forløp må vise at bare de relevante funksjonene aktiveres. En avvisning skal ikke i praksis føre til samme sporing som et samtykke.
Tilbaketrekking skal være like enkel som å gi samtykke. Ha en lett tilgjengelig vei tilbake til valgene, og kontroller at endringen faktisk stopper videre samtykkebasert bruk. Avklar hva som skjer med eksisterende identifikatorer og allerede innsamlede personopplysninger etter gjeldende regler og den beskrevne behandlingen.
En kontrolltabell kan ha kolonnene «handling», «forventet resultat», «observert resultat» og «ansvarlig for avvik». For eksempel kan «avvis valgfrie» forventes å stoppe både analyse og annonsemåling. Hvis ett annonsekall fortsatt sendes, skal funnet stå åpent til det er rettet og kontrollert igjen. Ingen grønn status bør gis bare fordi banneret har registrert et nei.
Skill utstyrstilgang fra øvrig behandling av personopplysninger
Et samtykke etter ekomloven løser ikke automatisk alle spørsmål om videre behandling av personopplysninger. Undersøk roller, grunnlag, informasjon, mottakere, lagring og rettigheter etter GDPR. IP-adresser og andre identifikatorer kan være personopplysninger også når et verktøy bruker koder i stedet for navn.
Ved tredjelandsoverføringer må riktig overføringsgrunnlag og nødvendige vurderinger foreligge. Bruk TIA-arbeidsmåten når den er relevant. Ikke anta at en europeisk salgspartner eller et norsk fakturaselskap betyr at alle behandlingsledd ligger i EØS.
I nettbutikken bør cookie-valgene holdes atskilt fra nødvendig ordrebehandling og valg om markedsføring. Personvern gjennom ordreflyten og rutinen for markedsføringsprotester dekker andre deler av kundens forhold til virksomheten. Et nei til annonsemåling skal ikke feilaktig slettes eller overstyres når kunden senere bestiller en vare.
Bevar dokumentasjon uten å samle mer enn nødvendig
Virksomheten må kunne dokumentere gyldige samtykker der den bygger på dem. Beskriv hvilken informasjonsversjon og hvilke valg som var tilgjengelige, samt nødvendig dokumentasjon av det faktiske valget. Ikke legg en full nettleserhistorikk i samtykkeloggen dersom det ikke trengs for formålet.
Vurder lagring og tilgang til dokumentasjonen særskilt. En teknisk identifikator i en samtykkelogg kan i seg selv være personrelatert. Begrens hvem som kan hente den ut, og forklar hvordan dokumentasjonen brukes ved spørsmål eller klager. Dataminimering gjelder også kontrollsystemet som skal vise etterlevelse.
Eksempel på et kontrollert feilfunn
I en tenkt gjennomgang viser nettbutikkens ordinære produktsider ingen valgfrie kall etter avvisning, mens en gammel kampanjeside fortsatt laster annonsemålingen direkte. Kontrollarket kan beskrive funnet slik: «Avvisning er registrert, men kampanjemalen starter leverandørens skript uten å lese samtykkestatus. Utviklingsansvarlig flytter oppstarten til den godkjente mekanismen og fjerner det direkte innlegget. Markedsansvarlig kontrollerer andre sider med samme mal.»
Etter rettingen gjennomføres det samme forløpet på nytt i en ren økt. Dokumenter både at det uønskede kallet er borte ved avvisning, og at eventuell tillatt måling starter bare når riktig formål velges. Dette skiller en utført retting fra en planlagt retting. Hvis samtykkestatus ikke kan leses på grunn av en feil, bør løsningen håndtere situasjonen uten å anta at brukeren har sagt ja til valgfrie funksjoner.
Gjenta kontrollen når nettstedet endres
En ny kampanje, videoleverandør eller endring i taggstyringen kan omgå tidligere sperrer. Legg derfor kontroll av teknologier og samtykke inn i endringsprosessen. Gi noen ansvar for å oppdatere oversikten, vurdere nye formål og kontrollere relevante sider før bruk.
Sluttleveransen bør vise komponentliste, begrunnede unntak, informasjonsversjon, grensesnittets valg og observerte resultater for hvert kontrollforløp. Bevar også åpne feil med eiere og frister. Da kan virksomheten vise hvordan den norske cookie-ordningen faktisk fungerer og oppdage avvik når nye deler av nettstedet tas i bruk.