CookieHawk › Guider › Krav til cookie-samtykke i Norge
Hva kreves egentlig av et cookie-samtykke i Norge?
Kravet handler ikke om å ha et banner. Det handler om å ha et gyldig samtykke før nettstedet lagrer eller henter noe på enheten til den besøkende. Her er hva som skal til, og hvor de fleste banner faktisk svikter.
Denne guiden er skrevet for å være praktisk nyttig, ikke som juridisk rådgivning. Er du i tvil om din konkrete situasjon, bør du snakke med en jurist.
Hovedregelen
Etter ekomloven § 3-15 kreves som hovedregel informasjon og gyldig samtykke før noen lagrer opplysninger i, eller henter opplysninger fra, kommunikasjonsutstyret til en bruker. Informasjonskapsler er det vanligste eksempelet, men regelen er teknologinøytral: den gjelder også lokal lagring i nettleseren og lignende teknikker.
Legg merke til hva regelen faktisk knytter seg til. Den gjelder lagring og lesing på enheten — ikke om dataene er personopplysninger. Derfor kan en cookie omfattes selv om du mener den ikke identifiserer noen.
De to unntakene, og hvorfor de er smalere enn folk tror
Det finnes to unntak fra samtykkekravet:
- Lagring eller lesing som utelukkende har som formål å overføre kommunikasjon i et elektronisk kommunikasjonsnett.
- Lagring eller lesing som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om.
Ordene «utelukkende» og «strengt nødvendig» er det som gjør unntakene smale. En handlekurv som husker hva du la i den, er strengt nødvendig for nettbutikken du ba om. Et statistikkverktøy som forteller deg hvor mange som besøkte siden, er det ikke — uansett hvor nyttig det er for deg.
I praksis betyr det at analyse og annonsering nesten alltid krever samtykke.
Hva som gjør et samtykke gyldig
Selve samtykkestandarden følger av personvernforordningen. Et gyldig samtykke skal være frivillig, spesifikt, informert og utvetydig, og gis ved en aktiv handling.
- Frivillig: den besøkende må reelt kunne si nei uten å miste tilgang til det hun kom for.
- Spesifikt: samtykke per formål. Ett felles ja til «cookies» er ikke spesifikt.
- Informert: hun må vite hva hun sier ja til, hvem som får dataene og hva de brukes til.
- Utvetydig og aktivt: forhåndsavkryssede bokser, «ved å fortsette godtar du», eller det å bla videre, er ikke samtykke.
- Mulig å trekke tilbake: det skal være like enkelt å ombestemme seg som å si ja.
Der banner faktisk svikter
Etter å ha testet en god del norske nettsteder ser vi de samme feilene igjen og igjen. De fleste handler ikke om teksten i banneret, men om hva som skjer bak det.
1. Sporing lastes før valget
Det vanligste av alt. Banneret vises pent, men måleverktøyene har allerede sendt data i det siden lastet. Da er samtykket i praksis uten betydning: behandlingen har alt skjedd.
2. Nei har ingen effekt
Banneret registrerer avvisningen, men blokkerer ikke skriptene. Det ser riktig ut i grensesnittet og er feil i koden. Slik tester du det selv.
3. Avvis er vanskeligere enn godta
«Godta alle» som stor farget knapp, og avvisning gjemt bak «Innstillinger» og to klikk til. Da er ikke samtykket frivillig i praksis, selv om det formelt er mulig å si nei. Begge valgene bør være like tilgjengelige i første lag.
4. Ingen reell mulighet til å ombestemme seg
Har den besøkende først sagt ja, må hun kunne trekke det tilbake like lett. En lenke i bunnteksten eller et lite ikon som alltid er tilgjengelig, løser dette.
5. Cookie-oversikten stemmer ikke
Mange nettsteder har en liste over informasjonskapsler som ble skrevet én gang og aldri oppdatert. Legger en plugin til et nytt sporingsverktøy, står det ingen steder. Da er informasjonen ikke lenger riktig, og samtykket ikke lenger informert.
Du må kunne vise at samtykket ble gitt
Personvernforordningen legger dokumentasjonsplikten på den behandlingsansvarlige. Blir du spurt, holder det ikke å si at nettstedet har et banner — du må kunne vise at denne besøkende faktisk samtykket, til hva, og når.
I praksis betyr det at valgene bør logges: tidspunkt, hva som ble valgt, og hvilken versjon av banneret og personvernerklæringen som gjaldt da. Uten det finnes samtykket bare i den besøkendes egen nettleser, og der kan du ikke hente det fram.
En praktisk rekkefølge
- Finn ut hva nettstedet faktisk laster i dag, før du endrer noe. Uten dette utgangspunktet vet du ikke om en endring hjalp.
- Sorter det du finner i nødvendig, funksjonelt, statistikk og markedsføring.
- Sørg for at alt utenom det nødvendige er blokkert til den besøkende har sagt ja.
- Gi banneret et likeverdig nei i første lag, og en måte å ombestemme seg på.
- Oppdater cookie-oversikten så den beskriver det som faktisk settes.
- Test på nytt, og test igjen etter hver oppdatering av tema eller plugin.
Vanlige spørsmål
Trenger jeg cookie-banner hvis jeg bare bruker Google Analytics?
Ja, som hovedregel. Analyse er ikke strengt nødvendig for å levere nettstedet den besøkende ba om, så det faller utenfor unntakene og krever samtykke. Det gjelder selv om du har slått av annonsefunksjoner i Analytics.
Holder det at banneret sier «ved å bruke siden godtar du cookies»?
Nei. Samtykke krever en aktiv handling. Å fortsette å bruke nettstedet, bla nedover eller lukke et varsel er ikke en utvetydig viljeserklæring.
Må «Avvis alle» være like synlig som «Godta alle»?
Utgangspunktet er at samtykket skal være frivillig. Er det å avvise merkbart vanskeligere enn å godta, svekker det frivilligheten. Å gi begge valgene lik plass og lik utforming i første lag er den enkleste måten å unngå diskusjonen.
Gjelder reglene for nettsteder uten innlogging og uten netthandel?
Ja. Regelen knytter seg til lagring og lesing på enheten, ikke til hva slags nettsted du driver. En enkel bedriftsside med Analytics omfattes.
Hva med nettsteder som bare har besøkende utenfor Norge?
Da kan andre lands regler komme til anvendelse i tillegg. Kravene i EØS bygger på det samme regelverket, så et oppsett som er i orden her, er som regel et godt utgangspunkt — men vurder det konkret hvis hovedmarkedet ditt er et annet.
Vil du vite om ditt eget oppsett holder?
Den gratis sjekken viser hva nettstedet ditt gjør før den besøkende har valgt, og hva som fortsatt skjer etter «Avvis alle». Det er en teknisk observasjon, ikke en juridisk vurdering — men den viser deg faktagrunnlaget.
Sjekk nettstedet gratisCookieHawk leveres av Webkompaniet AS · org.nr. 999 529 860 · Oslo · Vilkår · Personvern