Utforma samtyckesbannrar som följer GDPR

Cookiebannrar förföljer oss som en svärm irriterande flugor. Vissa är onödiga, andra ger bara sken av att följa GDPR och de flesta uppfyller inte kraven. Här är de viktigaste sakerna att tänka på.

1. Allt är inte GDPR:s fel!

Kravet på att få besökarens samtycke i förväg för vissa webbtjänster kommer inte från GDPR i sig, utan från artikel 5.3 i direktivet om integritet och elektronisk kommunikation:

Medlemsstaterna skall se till att lagring av information eller tillgång till information som redan lagrats i en abonnents eller användares terminalutrustning endast tillåts om den berörda abonnenten eller användaren har gett sitt samtycke på grundval av tydlig och uttömmande information som lämnats till honom, bland annat om syftet med behandlingen. .....

Eftersom direktivet har företräde framför GDPR kan dessa tjänster inte stödja sig på berättigat intresse enligt artikel 6.1 f i GDPR. I stället gäller samtycke enligt artikel 6.1 a.
GDPR anger i sin tur hur samtycket ska inhämtas.

2. När behövs samtycke?

a. Samtycke krävs inte, till exempel, för

• Enhetsuppgifter, till exempel IP-adress, skärmupplösning och operativsystem, som används för att visa eller skydda en webbplats eller app
• Strikt nödvändiga cookies för språk- och teckensnittsinställningar, inloggning, användarpreferenser, varukorgar och webbformulär (sessionscookies)
• Tjänster som förbättrar visningen, minskar laddningstiden eller optimerar webbplatsen, till exempel innehållsleveransnätverk (CDN) och webbteckensnitt

Som huvudregel behövs inget samtycke för cookies eller tjänster som krävs för att webbplatsen ska fungera eller för att tillhandahålla en tjänst som användaren uttryckligen har begärt. Om du bara använder sådana funktioner behöver du ingen cookie- eller samtyckesbanner. Det räcker att ta med relevant information i integritetspolicyn.

De välbekanta bannrarna med ”Vi använder cookies, bla bla bla… OK” är onödiga. De förvirrar besökarna och gör att människor ägnar dem allt mindre uppmärksamhet.

Verktyg som enbart används för statistisk webbanalys, exempelvis för att förbättra en webbplats, kräver vanligtvis inte heller samtycke. Matomo hör till denna kategori, särskilt eftersom det kan köras på egna servrar. Dessa tjänster kan stödja sig på berättigat intresse enligt artikel 6.1 f i GDPR. I vissa fall är det klokt att göra och dokumentera en intresseavvägning. Det är dock en dataskyddsfråga snarare än en fråga om bannerns utformning.

Google Analytics är ett undantag: tillsynsmyndigheterna betraktar det som ett spårningsverktyg, även om webbplatsägaren bara vill samla besöksstatistik. Därför kräver Google Analytics samtycke.

b. Samtycke krävs för:

• Statistisk analys och räckviddsmätning
• Beteende- eller platsbaserad annonsering
• Insticksprogram för sociala medier

Ett alternativ till insticksprogram för sociala medier är Heises tvåklickslösning, Shariff-knappen. Du kan också använda bilder eller ikoner som enbart länkar till plattformen. Då behövs inget samtycke; det räcker med relevant information i integritetspolicyn. Du kan dessutom visa ett meddelande när besökaren håller muspekaren över länken, till exempel ”Du kommer till Facebook-sidan”. Då blir det tydligare vad som händer.

För varje funktion som kräver samtycke gäller grundregeln: inhämta det INNAN du samlar in eller överför uppgifter.

3. Kartor, video och streamingtjänster

Vid den tid som artikeln beskriver fanns ännu ingen samsyn. Vissa dataskyddsexperter väntade sig att den planerade ePrivacyförordningen, som ursprungligen skulle träda i kraft samtidigt med GDPR, även skulle kräva förhandssamtycke för dessa tjänster. De ansåg att EU-domstolens avgöranden från hösten 2019 och den tyska högsta allmänna domstolens avgörande från maj 2020 pekade åt samma håll.

Den bayerska dataskyddsmyndigheten för den icke-offentliga sektorn (BayLDA) skrev på sin webbplats att videor kunde bäddas in utan förhandssamtycke om uppspelningen startade först efter ett aktivt klick och inga uppgifter överfördes dessförinnan. Detta kunde ordnas med en tvåklickslösning eller Embetty. Myndigheten rekommenderade också YouTubes utökade integritetsläge (no-cookie).

BayLDA hade en liknande syn på Google Maps: kartinnehållet skulle laddas först när besökaren aktivt begärde det, exempelvis genom ett extra klick i en tvåklickslösning.

Jag frågade BayLDA om saken. Vid den tidpunkten bekräftade myndigheten tolkningen ovan, men behövde fortfarande granska domskälen närmare. Den granskningen kunde leda till en ändrad bedömning.

Vill du ligga steget före kan du inhämta samtycke även för dessa tjänster. Det går alltid att vidta ytterligare dataskyddsåtgärder.

4. Krav på ett giltigt samtycke

Samtycket ska lämnas I FÖRVÄG, vara INFORMERAT och ges FRIVILLIGT. I praktiken innebär det följande:

a. I FÖRVÄG:
När någon först öppnar webbplatsen ska skript som kan samla in användaruppgifter och skicka dem till tredje part förbli avstängda.
b. INFORMERAT:
Beskriv tjänsterna kortfattat med enkelt språk och en tydlig struktur. Målet är att informera besökaren, inte överväldiga den.
c. FRIVILLIGT:
Förkryssa inte samtyckesrutor. Besökaren ska aktivt tacka ja, inte behöva ta bort en markering för att tacka nej.

Obs!
Allmänna formuleringar som ”Den här webbplatsen använder cookies för analys och reklam” eller ”…för att förbättra din surfupplevelse” räcker inte i sig. De förklarar inte tydligt vad som händer med uppgifterna.

Ett verkligt val innebär också att besökare kan använda webbplatsen även om de tackar nej till valfria tjänster.

5. Dokumentera och styrka samtycke

Du måste dokumentera samtycket och kunna visa att det har lämnats. Många dataskyddsexperter anser att teknisk dokumentation räcker, till exempel den daterade samtyckestexten, bannerns kod och version, tidsstämplar och användarens cookie-ID. Att samla in ytterligare personuppgifter enbart för att bevisa samtycket är onödigt och strider mot uppgiftsminimering.

6. Återkalla samtycke: möjlighet att tacka nej

Användaren kan återkalla sitt samtycke när som helst. Varje tjänst du använder måste därför erbjuda en fungerande möjlighet att avstå, som alltid är lätt att hitta och använda.

7. Hur ska en samtyckesbanner se ut?

Följande innehåll är obligatoriskt i bannern:

• Vem som är personuppgiftsansvarig, om det inte redan framgår tydligt på webbplatsen
• Namn på verktyget
• Ändamålet med behandlingen
• Mottagare av uppgifterna
• Information om att samtycket är frivilligt och kan återkallas, med möjlighet att göra det
• Länk till integritetspolicyn
• Tänk på placeringen: bannern får inte hindra åtkomst till juridisk information om webbplatsägaren eller integritetspolicyn.

Vilken information som krävs är fastställt, men du kan välja utformningen. Undermenyer kan hålla bannern överskådlig. Så här kan ett första informationslager som uppfyller minimikraven se ut:

Det här är bara ett möjligt sätt att utforma det första informationslagret, inte en mall som måste följas.

Det finns många plattformar för samtyckeshantering (CMP). Du kan jämföra deras funktioner på nätet. Några kända exempel är Cookiebot, Borlabs Cookie, Usercentrics och Consentmanager.

Ett verktyg för samtyckeshantering bör uppfylla följande grundkrav:

• Visa bannern direkt när någon besöker webbplatsen eller appen
• Hålla obligatorisk juridisk information tillgänglig, inklusive uppgifter om webbplatsägaren, allmänna villkor och integritetspolicyn
• Placera cookies eller behandla mobila annonsidentifierare först efter ett aktivt samtycke. Att fortsätta surfa, stänga bannern eller låta den försvinna automatiskt efter en viss tid räknas inte som samtycke.
• Låta besökaren använda webbplatsen eller appen även om cookies eller annonsidentifierare avvisas
• Opt-out funktion
• Tillhandahålla loggar och rapporter som gör det möjligt att styrka samtycke

Mer vägledning finns i den tyska dataskyddskonferensens vägledning för leverantörer av telemedietjänster och i frågor och svar om cookies och spårning från dataskyddsmyndigheten i Baden-Württemberg.

Välj den lösning som passar din webbplats, gärna med hjälp av din webbyrå. Vill du inte bygga en egen, jämför leverantörerna och deras funktioner.
Ur dataskyddssynpunkt bör du kontrollera om leverantören kan styrka sina påståenden om GDPR-efterlevnad och var servrarna finns.

8 Och marknadsföringen?

Många besökare vill inte bli spårade och klickar på ”Avvisa alla”. Det kan vara besvärligt för marknadsföring och analys, men de använder sin lagliga rätt att bestämma över informationen om sig själva.

På ett informationsmöte som jag deltog i delade en anställd hos svenska Jaohawi AB, leverantören bakom Consentmanager, några intressanta siffror:

Deras analyser visade att i genomsnitt 40–50 % av besökarna valde ”Acceptera alla tjänster”. Det betyder att 50–60 % inte gav sitt samtycke.

Enligt talaren kunde en förbättrad banner höja andelen som accepterar till omkring 65 %, eller cirka 70 % bland trogna återkommande kunder.

Han uppskattade att ungefär hälften av marknadsföringsuppgifterna saknas i rapporterna när en samtyckesbanner införs. Han föreslog att man tar statistisk hänsyn till dessa luckor när prognoser tas fram.

Du kan respektera integriteten och samtidigt förbättra bannerns placering, färger och formuleringar för att uppmuntra fler besökare att godkänna valfria tjänster.