Hantering av cookies: samtycke och spårare i e-handel

Regleringen av cookies begränsar sig inte till GDPR. Den bygger på en separat text — det så kallade direktivet om integritet och elektronisk kommunikation, införlivat i fransk rätt — som kräver föregående samtycke innan information läses eller skrivs på användarens terminal, oavsett om denna information utgör en personuppgift eller inte. Det är denna oberoende ställning som förklarar de flesta anmärkningarna: en icke-personlig spårare omfattas fortfarande av kravet på samtycke.

Vad som omfattas, och vad som inte gör det

Tillämpningsområdet är bredare än ordet ”cookie” antyder. Alla metoder för lagring av eller åtkomst till information på terminalen omfattas: HTTP-cookies, lokal lagring, osynliga pixlar, enhetsidentifierare, digitalt fingeravtryck från webbläsaren.

Två kategorier omfattas inte av kravet på samtycke, och dessa tolkas strikt:

• Spårare som är strikt nödvändiga för att tillhandahålla en tjänst som användaren uttryckligen har begärt: varukorg, sessionsidentifierare, sparat språkval, lastbalansering.
• Spårare vars enda syfte är att möjliggöra eller underlätta en kommunikation på elektronisk väg.

Trafikmätning befinner sig i en särskild gråzon: den kan undantas från kravet på samtycke under strikta, kumulativa villkor — syftet begränsat till enbart mätningen, ingen korsning med andra behandlingar, ingen överföring till tredje part, begränsad lagringstid. En vanligt förekommande analyslösning som korsar data mellan webbplatser eller överför dem till sin utgivare uppfyller inte dessa villkor.

Reglerna för inhämtning

Tre krav strukturerar samtyckesbanderollen, och vart och ett av dem har föranlett sanktioner.

Samtycket måste vara föregående. Ingen spårare som inte är undantagen får placeras innan användaren har agerat. Att placera en spårare redan när sidan laddas, före all klickning, utgör i sig en överträdelse — det är den vanligast konstaterade bristen.

Att avböja ska vara lika enkelt som att godta. En banderoll som visar en tydlig knapp ”Godkänn allt” men skickar avböjandet till en andra inställningsnivå uppfyller inte detta krav. Båda handlingarna måste vara tillgängliga på samma nivå och med lika många klick.

Samtycket måste vara fritt, specifikt, informerat och otvetydigt. Det kan inte följa av att man fortsätter att surfa, att man rullar sidan eller av en förikryssad ruta. Det måste inhämtas per ändamål, och användaren måste kunna godkänna trafikmätningen utan att godkänna riktad reklam.

Till detta kommer återkallelsen, som måste vara lika enkel som det ursprungliga samtycket och tillgänglig när som helst, vilket förutsätter en permanent åtkomstpunkt på webbplatsen.

Tidsperioder och lagring

Två olika tidsperioder blandas ofta samman.

Spårarnas livstid är i praktiken begränsad till tretton månader, utan automatisk förlängning vid varje nytt besök. Informationen som samlas in via dessa spårare lagras endast under begränsad tid därefter.

Samtyckets giltighetstid är en annan sak: användarens val, oavsett om det är positivt eller negativt, måste lagras för att undvika att fråga på nytt vid varje besök. Rekommenderad praxis är att bevara detta val i cirka sex månader, och ett avböjande får inte omprövas oftare än ett godkännande.

Den ansvariga måste slutligen kunna bevisa att samtycket har inhämtats på ett giltigt sätt. Detta bevis förutsätter loggning, för varje användare, av vilken version av banderollen som visades, vilka ändamål som presenterades och vilket val som gjordes. Utan denna loggning går påståendet ”vi inhämtar samtycke” inte att styrka — samma bevislogik som gäller för godkännande av allmänna villkor.

Det delade ansvaret

En webbplats som integrerar tredjepartsspårare — annonsnätverk, sociala medier, analysverktyg — undantas inte från sitt ansvar. Utgivaren som beslutar om placeringen av en spårare bestämmer dess ändamål och bär ansvaret för det, även när spåraren tillhör en tredje part.

Två praktiska konsekvenser. En uppdaterad inventering av de spårare som faktiskt placeras ut är nödvändig, och den bör kontrolleras under verkliga förhållanden snarare än utifrån leverantörernas dokumentation: taggar som läggs till av marknadsföringsverktyg missas ofta i den deklarerade inventeringen. Och relationerna med tredje part måste regleras avtalsmässigt, med tydlig identifiering av vem som är personuppgiftsansvarig och vem som är personuppgiftsbiträde.

Sanktioner och kontroller

Överträdelser av reglerna om spårare omfattas av en egen ordning: de sanktioneras med stöd av den särskilda texten, vilket gör det möjligt för den nationella tillsynsmyndigheten att agera direkt, utan att gå via den europeiska samarbetsmekanismen. Det förklarar hastigheten och storleken på besluten som fattas i detta område.

Kontrollerna riktas i första hand mot tre punkter som kan verifieras utifrån: att spårare placeras innan samtycke ges, asymmetrin mellan att godta och att avböja, samt att spårare kvarstår efter ett avböjande. Dessa tre punkter kan verifieras på några minuter med en webbläsares utvecklarverktyg, vilket gör exponeringen konstant.

Användningsscenarier

Nätbutik med reklam. Separera ändamålen — funktion, trafikmätning, reklam — och möjliggör ett separat samtycke för vardera. Varukorgens spårare omfattas inte av kravet på samtycke, medan spårare för retargeting alltid gör det. Det är en central punkt i det rättsliga ramverket för en nätbutik.

Presentationssajt med trafikmätning. Kontrollera om den valda konfigurationen uppfyller undantagsvillkoren. Om ja krävs ingen banderoll för detta ändamål; om nej krävs samtycke som för alla andra spårare.

Ombyggnad av webbplats. Genomför en inventering av spårare i testmiljön innan produktionssättning, och gör om den i produktionsmiljön: verktyg som läggs till av marknadsavdelningen efter leverans är den vanligaste orsaken till avvikelser. Denna disciplin ansluter till kraven som beskrivs för säkra betalningsstandarder.

Vanliga frågor

Kräver alla cookies samtycke? Nej. De som är strikt nödvändiga för en tjänst som uttryckligen har begärts — varukorg, session, språkinställning — är undantagna, liksom de som enbart tjänar till att möjliggöra en kommunikation. Undantaget tolkas strikt.

Innebär fortsatt surfning samtycke? Nej. Samtycket måste vara otvetydigt och följa av en aktiv handling. Varken att rulla sidan, att fortsätta surfa eller en förikryssad ruta räcker.

Måste det vara lika enkelt att avböja som att godta? Ja. De två alternativen måste presenteras på samma nivå, med jämförbar ansträngning. Att gömma avböjandet bakom en inställningsmeny utgör en tydlig överträdelse.

Hur länge ska man bevara användarens val? Valet, oavsett om det är positivt eller negativt, bevaras för att undvika att fråga på nytt vid varje besök — i praktiken cirka sex månader. Detta skiljer sig från spårarnas livstid, som är begränsad till tretton månader.

Är trafikmätning undantagen? Endast under strikta, kumulativa villkor: ändamål begränsat till mätningen, ingen korsning, ingen överföring till tredje part, begränsad lagring. De flesta konsumentlösningar uppfyller inte dessa krav i standardkonfiguration.

Vem ansvarar för tredjepartsspårare? Webbplatsens utgivare, så snart denne beslutar om deras placering och ändamål. Ansvaret överförs inte till leverantören av spåraren.

Att komma ihåg

Tre överträdelser står för merparten av sanktionerna, och alla tre kan konstateras utifrån på några minuter: spårare som placeras innan samtycke getts, ett avböjande som är dyrare att uttrycka än ett godkännande, samt spårare som kvarstår trots ett avböjande.

Två åtgärder möter detta varaktigt. En inventering av spårare som verifieras under verkliga förhållanden och inte utifrån dokumentation, och som görs om efter varje produktionssättning. Och en loggning av samtycket som registrerar vilken version av banderollen som visades, vilka ändamål som presenterades och vilket val som gjordes — utan den kan efterlevnad hävdas men inte styrkas, vilket i praktiken innebär samma sak vid en kontroll.