Cookies og samtykke – slik tester du en norsk nettside

En nettside blir ikke lovlig bare fordi den viser et cookie-banner. Første spørsmål er hvilke opplysninger nettstedet lagrer på eller henter fra brukerens enhet. Deretter må unntak, samtykke, videre behandling og teknisk blokkering vurderes.

Den enkleste løsningen for en liten bedrift er ofte å fjerne analyse, annonsepiksler og innbygginger som ikke gir nok verdi. Hvis nettstedet bare bruker teknologier som er omfattet av unntakene i ekomloven, sier Datatilsynet at det verken trenger eller bør ha et samtykkebanner.

Denne guiden er praktisk informasjon, ikke juridisk rådgivning. Bruk Datatilsynets gjeldende veiledning om cookies og sporing som primærkilde.

Gjeldende regel er ekomloven § 3-15

Ekomloven § 3-15 regulerer lagring av og tilgang til opplysninger i brukerens kommunikasjonsutstyr. Det kan være datamaskin, mobil, nettbrett eller annet utstyr.

Regelen gjelder ikke bare tradisjonelle cookies og ikke bare personopplysninger. Den kan også omfatte for eksempel:

• lokal lagring i nettleseren
• piksler og identifikatorer
• mobil- og web-SDK-er
• informasjon hentet fra enheten
• enkelte former for fingeravtrykk og lignende sporing

Nkom forklarer at den nye ekomloven krever at samtykke til cookies oppfyller kravene til gyldig samtykke etter personvernforordningen. Den gamle henvisningen til ekomloven § 2-7 b skal derfor ikke brukes som gjeldende hjemmel.

Når teknologien også behandler personopplysninger, gjelder personvernregelverket for den videre behandlingen. I praksis må nettstedet vurdere både tilgangen til enheten og hva som deretter skjer med dataene.

Det finnes to snevre unntak

Samtykke kreves ikke når lagringen eller tilgangen er:

1. utelukkende nødvendig for å overføre kommunikasjon i et elektronisk kommunikasjonsnett, eller
2. strengt nødvendig for å levere en informasjonssamfunnstjeneste brukeren uttrykkelig har bedt om

«Nyttig», «vanlig i bransjen» og «viktig for oss» betyr ikke strengt nødvendig.

Et sikkerhetsverktøy er ikke automatisk unntatt bare fordi leverandøren har plassert det i kategorien «nødvendig». Nettstedeieren må forstå funksjonen, databruken og om tjenesten kan leveres uten den.

Kartlegg mer enn cookie-listen

Begynn med en teknisk og organisatorisk inventarliste:

• navn på cookie eller annen lagringsnøkkel
• leverandør og domene
• hva som utløser den
• konkret formål
• hvilke data som lagres eller leses
• om data kan knyttes til en person eller enhet
• levetid
• mottakere og eventuelle egne formål
• kategori og begrunnelse
• hva som skjer når brukeren avviser eller trekker samtykke

Se gjennom:

• selve HTML-en og applikasjonen
• tag manager og konfigurasjon
• analyse- og annonsekontoer
• chat, skjema, video, kart og sosiale innbygginger
• CDN, sikkerhets- og ytelsesverktøy
• tredjepartsskrifter og mediebibliotek
• subdomener og separate bestillingsløsninger

En automatisk cookieskanner er et godt sporingsverktøy, men ikke et fullstendig bevis. Den kan gå glipp av teknologi som bare aktiveres etter innlogging, scrolling, bestemte klikk, geografisk plassering eller senere navigasjon.

Samtykke må være et reelt valg

For ikke-unntatt lagring og tilgang må samtykket være gyldig etter kravene i personvernforordningen. Datatilsynets samtykkeveiledning fremhever blant annet at samtykket skal være:

• frivillig
• spesifikt for tydelige formål
• informert
• utvetydig
• gitt ved en aktiv handling
• mulig å dokumentere
• like enkelt å trekke tilbake som å gi

Passivitet, videre bruk av siden og forhåndsavkryssede valg er ikke samtykke.

Brukeren må kunne si nei uten å bli møtt med en dårligere grunnfunksjon, med mindre en annen lovlig modell er grundig vurdert for den konkrete tjenesten. Et vanlig informasjonsnettsted bør ikke stenge innholdet fordi noen avslår analyse eller markedsføring.

Første lag i banneret

Første visning skal gi nok informasjon til et reelt valg uten å bli en full personvernerklæring. Den bør forklare:

• hvem som ber om samtykke
• hvilke formål som er valgfrie
• om tredjeparter mottar data
• at valget kan endres eller trekkes tilbake
• hvor mer detaljert informasjon finnes

Et nøytralt eksempel:

Vi vil bruke valgfrie verktøy til trafikkmåling og markedsføring. De kan lagre eller hente opplysninger på enheten din og dele data med leverandørene som er oppført i innstillingene. Du kan godta, avvise eller velge formål. Valget kan endres senere.

Knappene kan for eksempel være:

• Godta alle
• Avvis valgfrie
• Velg formål

Hvis nettstedet bare ber om samtykke til ett formål, kan en enklere løsning være mer forståelig. Ikke legg til kategorier som ikke brukes.

Godta og avvise skal være like enkelt

Datatilsynet sier at avvisning ikke skal kreve flere klikk eller være mer brysomt enn samtykke. Alternativet skal heller ikke skjules eller gis lavere oppmerksomhetsverdi.

Unngå:

• stor, sterk Godta alle-knapp og en nesten usynlig avvisningslenke
• Godta på første lag, men avvisning bak flere menyer
• ledende tekst om at sporing «gir den beste opplevelsen»
• dobbelt negative brytere
• forhåndsvalgte formål
• et stort banner som kommer tilbake etter hvert avslag

Bruk samme visuelle nivå, klart språk og samme antall steg for godta og avvise.

Skill formålene

Et samtykke må være spesifikt. Ikke slå sammen uavhengige formål i ett obligatorisk valg.

En mulig inndeling er:

Kategorien alene er ikke nok. I detaljvisningen bør brukeren se leverandører, konkrete formål, cookies eller teknologier og levetid.

Ikke plasser en annonsepiksel i «analyse» fordi den også gir statistikk. Hvis leverandøren kan bruke data til annonseprofiler eller egne formål, må dette komme frem og rollefordelingen vurderes.

Blokker før samtykke – ikke etterpå

Et banner er meningsløst hvis skript, piksler eller innbygginger allerede har sendt data når banneret vises.

Teknisk må nettstedet:

1. laste uten valgfrie verktøy ved første besøk
2. aktivere bare formål brukeren har valgt
3. beholde valget på en forholdsmessig måte
4. stoppe videre valgfri behandling når samtykket trekkes tilbake
5. håndtere nye leverandører eller formål med nytt valg der det kreves

En tag manager gjør blokkering mulig, men er også en vanlig feilkilde. En trigger som aktiveres på page_view kan sende data før samtykkestatus er lest. Test nettverkstrafikken, ikke bare konfigurasjonsskjermen.

Innebygde videoer, kart og sosiale innlegg kan legges bak en plassholder. Da lastes tredjeparten først når brukeren velger funksjonen eller gir nødvendig samtykke.

Slik tester du nettstedet

Bruk en ny nettleserprofil eller slett lagring mellom testene.

Test 1: Før noe valg

• Åpne nettverksloggen før siden lastes.
• Kontroller cookies, lokal lagring og forespørsler til tredjeparter.
• Ingen valgfrie leverandører skal starte.
• Banneret skal vise godta og avvise like tilgjengelig.

Test 2: Avvis

• Velg avvisning.
• Naviger gjennom flere sidetyper.
• Utløs video, kart, skjema og andre relevante funksjoner.
• Kontroller at avviste formål fortsatt er blokkert.
• Last siden på nytt og bekreft at valget respekteres.

Test 3: Velg bare ett formål

• Tillat analyse, men ikke markedsføring.
• Kontroller at bare godkjente leverandører starter.
• Verifiser cookies, nettverkskall og samtykkedata.

Test 4: Trekk tilbake

• Finn innstillingene fra alle sider.
• Trekk tilbake tidligere samtykke.
• Kontroller at nye kall stopper.
• Bekreft hvordan eksisterende identifikatorer og personopplysninger håndteres.

Test 5: Flere visninger

Test mobil og desktop, førsteside og undersider, subdomener og relevante språk. Banneret må ikke dekke nødvendige kontroller eller gjøre siden ubrukelig med tastatur og skjermleser.

Dokumenter tidspunkt, versjon, testmiljø og resultat. Gjenta testen når tag manager, publiseringsløsning, analyse, annonser eller innbygginger endres.

Gjør tilbaketrekking synlig

Brukeren skal ikke måtte lete gjennom personvernerklæringen eller slette alle nettleserdata for å endre valget.

En fast lenke i bunnteksten som Cookie-innstillinger kan åpne samme valgsystem. Når samtykke trekkes tilbake, må nettstedet stoppe behandlingen som var basert på samtykket. Vurder også sletting eller annen håndtering av data som allerede er samlet inn.

Unngå å gjøre tilbaketrekking til en e-postprosess hvis samtykket ble gitt med ett klikk på nettstedet.

Informer om teknologiene

En cookie- eller sporingsoversikt kan bruke denne strukturen:

Ikke bruk bare leverandørens tekniske navn. Forklar konsekvensen slik at en vanlig besøkende forstår hva valget innebærer.

Oppdater listen når teknologien endres. En bannerplattform kan automatisk oppdage nye cookies, men virksomheten må fortsatt forstå formål, roller og databruk.

Vurder personvernreglene i tillegg

Hvis cookies eller andre verktøy behandler personopplysninger, må nettstedet også oppfylle krav til blant annet:

• behandlingsansvar og eventuelt felles behandlingsansvar
• dataminimering og lagringstid
• informasjon og rettigheter
• leverandøravtaler
• overføring utenfor EØS
• informasjonssikkerhet
• dokumentasjon av samtykke

At en bruker samtykker, gjør ikke unødvendig eller uforholdsmessig datainnsamling automatisk lovlig. Samtykket gjelder beskrevne formål, og virksomheten må følge øvrige personvernprinsipper.

Bruk GDPR-sjekklisten for nettsider for hele behandlingen rundt skjema, hosting, leverandører, sletting og avvik.

Særlig varsomhet for helse, barn og sårbare grupper

Et besøk på en side om diagnose, behandling, krisehjelp, religion eller andre sensitive forhold kan i seg selv gi informasjon om personens interesser eller situasjon. Ikke send slike sidevisninger til annonse- og profileringsverktøy uten en grundig vurdering.

Datatilsynets tilsyn med sporingsverktøy har vist problemer med blant annet villedende informasjon, skjeve valg og deling fra sensitive nettsteder. Minimer verktøyene og vurder om analyse kan gjøres uten individsporing.

For behandlingspraksiser viser guiden til nettside og e-post for psykolog eller klinikk konkrete avgrensninger.

Vanlige feil

Lanseringssjekkliste

• Cookies og annen enhetslagring er kartlagt.
• Alle tredjeparter og tagger er identifisert.
• Hvert unntak etter § 3-15 er begrunnet.
• Valgfrie teknologier er blokkert før samtykke.
• Godta og avvise er like enkle og tydelige.
• Formål kan velges separat når de er uavhengige.
• Ingen valg er forhåndsavkrysset.
• Informasjonen navngir formål og relevante mottakere.
• Brukeren kan endre eller trekke tilbake valget.
• Samtykke kan dokumenteres uten unødvendig identifisering.
• Avvisning, delvalg og tilbaketrekking er nettverkstestet.
• Cookie-oversikt og personvernerklæring stemmer med løsningen.
• Endringer i tagger og innbygginger utløser ny kontroll.

Vanlige spørsmål

Må alle norske nettsider ha cookie-banner?

Nei. Hvis nettstedet bare bruker teknologier som omfattes av de snevre unntakene i ekomloven § 3-15, sier Datatilsynet at dere verken trenger eller bør ha banner.

Er analyse en nødvendig cookie?

Ikke bare fordi virksomheten ønsker statistikk. Strengt nødvendig vurderes ut fra tjenesten brukeren uttrykkelig har bedt om, ikke hva som er nyttig for nettstedeieren.

Kan vi laste Google Analytics før samtykke hvis IP anonymiseres?

Ikke legg til grunn at en innstilling alene fjerner samtykkekravet. Vurder lagring og tilgang på enheten, all videre behandling, leverandørens rolle og hvilke data som faktisk sendes.

Holder det med en OK-knapp?

Nei når samtykke kreves. Brukeren må kunne forstå formålene, avvise like enkelt og gjøre et aktivt, spesifikt valg.

Må brukeren kunne trekke tilbake samtykket?

Ja. Det skal være like enkelt å trekke tilbake som å gi. En synlig lenke til cookie-innstillinger er en vanlig løsning.

Gjør en samtykkeplattform nettsiden lovlig automatisk?

Nei. Plattformen må konfigureres riktig, og nettsiden må testes. Nettstedeieren er ansvarlig for at teknologien, informasjonen og valgene fungerer i praksis.

En enklere nettside kan være et konkurransefortrinn

En rask side uten annonsepiksler, unødvendige innbygginger og individsporing kan laste fortere, gi færre avbrytelser og kreve mindre forvaltning. Banneret bør være et resultat av teknologien dere faktisk trenger, ikke en standardkomponent på alle nettsteder.

Vymo kan lage én enkel bedriftsnettside med hosting gratis i 12 måneder . Hvis siden skal bruke analyse, markedsføring, video, kart eller andre tredjepartsverktøy, må dette avklares og testes før publisering.