Håndtering av informasjonskapsler: samtykke og sporere i e-handel

Regelverket for informasjonskapsler er ikke bare et spørsmål om GDPR. Det bygger på en egen rettsakt — det såkalte «direktivet om personvern og elektronisk kommunikasjon», gjennomført i fransk rett — som krever samtykke på forhånd til all lesing eller skriving av informasjon på brukerens terminal, uavhengig av om denne informasjonen utgjør en personopplysning eller ikke. Det er denne selvstendigheten som forklarer de fleste påleggene: en sporingsteknologi som ikke er en personopplysning, er likevel underlagt krav om samtykke.

Hva som omfattes, og hva som ikke gjør det

Virkeområdet er bredere enn ordet «informasjonskapsel» antyder. Alle metoder for lagring av eller tilgang til informasjon på terminalen omfattes: HTTP-informasjonskapsler, lokal lagring, usynlige piksler, enhetsidentifikatorer, digitalt fingeravtrykk av nettleseren.

To kategorier er unntatt fra samtykkekravet, og disse tolkes strengt:

• Sporingsteknologi som er strengt nødvendig for å levere en tjeneste som uttrykkelig er etterspurt av brukeren: kjøpskurv, sesjonsidentifikator, lagring av språkvalg, lastbalansering.
• Sporingsteknologi som har som eneste formål å muliggjøre eller lette elektronisk kommunikasjon.

Trafikkmåling befinner seg i en særskilt gråzone: den kan unntas fra samtykkekravet under strenge, kumulative vilkår — formålet må være begrenset til selve målingen, ingen sammenstilling med andre behandlinger, ingen overføring til tredjeparter, begrenset lagringstid. En utbredt analyseløsning som sammenstiller data mellom nettsteder eller overfører dem til sin leverandør, oppfyller ikke disse vilkårene.

Reglene for innsamling av samtykke

Tre krav strukturerer samtykkebanneret, og alle tre har vært gjenstand for sanksjoner.

Samtykket må gis på forhånd. Ingen ikke-unntatt sporingsteknologi kan lagres før brukeren har handlet. Lagring ved innlasting av siden, før noe klikk, er i seg selv en overtredelse — det er det bruddet som oftest konstateres.

Å avslå må være like enkelt som å godta. Et banner som viser en tydelig synlig knapp «Godta alle» og sender avslaget til et andre innstillingsnivå, oppfyller ikke dette kravet. Begge handlingene må være tilgjengelige på samme nivå og med samme antall klikk.

Samtykket må være frivillig, spesifikt, informert og utvetydig. Det kan ikke følge av fortsatt navigering, rulling på siden eller en forhåndsavkrysset boks. Det må innhentes for hvert formål separat, slik at brukeren kan godta trafikkmåling uten å godta målrettet annonsering.

I tillegg kommer tilbaketrekking, som må være like enkelt som det opprinnelige samtykket og tilgjengelig når som helst, noe som forutsetter et permanent tilgangspunkt på nettstedet.

Varighet og lagring

To forskjellige tidsperioder blandes ofte sammen.

Den levetiden til sporingsteknologien er i praksis begrenset til tretten måneder, uten automatisk forlengelse ved hvert nye besøk. Informasjonen som samles inn via denne sporingsteknologien, lagres bare i en begrenset periode utover dette.

Den gyldighetsperioden for samtykket er noe annet: brukerens valg, enten det er positivt eller negativt, må lagres for å unngå å spørre på nytt ved hvert besøk. Anbefalt praksis er å lagre dette valget i omkring seks måneder, og et avslag skal ikke etterprøves oftere enn et samtykke.

Til slutt må den databehandlingsansvarlige kunne dokumentere at samtykket er gyldig innhentet. Denne dokumentasjonen forutsetter at man for hver bruker logger hvilken versjon av banneret som ble vist, hvilke formål som ble presentert og hvilket valg som ble uttrykt. Uten denne loggføringen kan påstanden «vi innhenter samtykke» ikke bevises — samme bevislogikk som styrer godkjenning av de generelle vilkårene.

Delt ansvar

Et nettsted som integrerer tredjeparts sporingsteknologi — annonsenettverk, sosiale medier, analyseverktøy — fritas ikke for sitt ansvar. Utgiveren som bestemmer at en sporingsteknologi skal implementeres, fastsetter formålet med den og pådrar seg ansvar, også når sporingsteknologien tilhører en tredjepart.

To praktiske konsekvenser. En oppdatert oversikt over sporingsteknologien som faktisk er lagret, er uunngåelig, og den bør kontrolleres under reelle forhold snarere enn ut fra leverandørenes dokumentasjon: koder lagt til av markedsføringsverktøy unnslipper ofte den erklærte oversikten. Og forholdet til tredjeparter må reguleres kontraktuelt, med en tydelig avklaring av hvem som er behandlingsansvarlig og hvem som er databehandler.

Sanksjoner og kontroller

Brudd på reglene om sporingsteknologi hører under et eget regelverk: det sanksjoneres med grunnlag i særlovgivningen, noe som gjør at det nasjonale tilsynsorganet kan handle direkte, uten å gå gjennom den europeiske samarbeidsmekanismen. Dette forklarer både hastigheten og størrelsen på beslutningene som fattes på området.

Kontrollene fokuserer primært på tre punkter som kan konstateres utenfra: lagring av sporingsteknologi før samtykke, asymmetri mellom å godta og å avslå, og at sporingsteknologi vedvarer etter et avslag. Disse tre punktene kan verifiseres på få minutter med en nettlesers utviklerverktøy, noe som gjør eksponeringen permanent.

Brukstilfeller

Nettbutikk med annonsering. Del opp formålene — drift, trafikkmåling, annonsering — og sørg for at det kan gis separat samtykke for hver av dem. Sporingsteknologien til kjøpskurven er ikke underlagt samtykkekravet, mens den som brukes til retargeting-annonsering, alltid er det. Dette er et strukturerende punkt i det juridiske rammeverket for en nettbutikk.

Presentasjonsnettsted med trafikkmåling. Kontroller om den valgte konfigurasjonen oppfyller unntaksvilkårene. Hvis ja, er det ikke nødvendig med noe banner for dette formålet; hvis nei, er samtykke nødvendig på samme måte som for annen sporingsteknologi.

Redesign av nettsted. Gjennomfør oversikten over sporingsteknologien i testmiljøet før produksjonssetting, og gjør det på nytt i produksjonsmiljøet: verktøy lagt til av markedsføringsteamene etter leveringen er den vanligste kilden til avvik. Denne disiplinen sammenfaller med kravene som er beskrevet for standarder for sikker betaling.

Ofte stilte spørsmål

Krever alle informasjonskapsler samtykke? Nei. De som er strengt nødvendige for en tjeneste som uttrykkelig er etterspurt — kjøpskurv, sesjon, språkpreferanse — er unntatt, i tillegg til de som utelukkende brukes til å muliggjøre kommunikasjon. Unntaket tolkes strengt.

Regnes fortsatt navigering som samtykke? Nei. Samtykket må være utvetydig og følge av en aktiv handling. Verken rulling, fortsatt navigering eller en forhåndsavkrysset boks er tilstrekkelig.

Må det være like enkelt å avslå som å godta? Ja. Begge alternativene må presenteres på samme nivå, med tilsvarende innsats. Å plassere avslaget bak en innstillingsmeny er et klart brudd.

Hvor lenge skal brukerens valg lagres? Valget, både positivt og negativt, lagres for å unngå å spørre på nytt ved hvert besøk — i praksis omkring seks måneder. Dette er noe annet enn levetiden til sporingsteknologien, som er begrenset til tretten måneder.

Er trafikkmåling unntatt? Bare under strenge, kumulative vilkår: formålet begrenset til selve målingen, ingen sammenstilling, ingen overføring til tredjeparter, begrenset lagring. De fleste allment tilgjengelige løsningene oppfyller ikke disse vilkårene i standardkonfigurasjonen.

Hvem er ansvarlig for tredjeparts sporingsteknologi? Nettstedets utgiver, så snart vedkommende bestemmer hvordan og til hvilket formål den skal implementeres. Ansvaret overføres ikke til leverandøren av sporingsteknologien.

Det viktigste å huske

Tre typer brudd står for det meste av sanksjonene, og alle tre kan konstateres utenfra på få minutter: sporingsteknologi som lagres før noe samtykke er gitt, et avslag som krever mer innsats å uttrykke enn et samtykke, og sporingsteknologi som vedvarer selv etter et avslag.

To ordninger gir varig svar på dette. En oversikt over sporingsteknologien som kontrolleres under reelle forhold og ikke ut fra dokumentasjon, og som gjøres på nytt etter hver produksjonssetting. Og en loggføring av samtykket som registrerer hvilken versjon av banneret som ble vist, hvilke formål som ble presentert og hvilket valg som ble uttrykt — uten den er samsvaret hevdet, men ikke dokumenterbart, noe som utgjør det samme ved en kontroll.