Webbanalys enligt den tyska dataskyddslagen TTDSG

25 § handlar om åtkomst till användarens enhet. Cookies är bara ett sätt att få sådan åtkomst. Även andra tekniker omfattas, till exempel att läsa systemvariabler i webbläsaren med JavaScript.

TTDSG kräver samtycke för åtkomst som inte är nödvändig, via cookies eller avläsning av systemvariabler. I 25 § andra stycket beskrivs detta mer exakt, men med längre och mindre lättillgängligt juridiskt språk.

Tidigare omfattade samtyckesreglerna i den tyska telemedielagen cookies för marknadsföring och profilering. TTDSG gjorde det mer krävande att räkna besökare utan samtycke.

Spårning och besöksräkning

”Tracking” har ingen entydig definition. Vanligen menas att följa användare mellan sessioner och webbplatser. Google Analytics är ett välkänt exempel på sådan ingripande spårning. Samtycke krävs både av det skälet och på grund av cookierna. Du behöver alltså visa besökarna en cookiepopup. De är inte bara irriterande: ofta gör de också webbplatserna rättsstridiga, vilket min undersökning om Cookiegeddon visar.

För enkelhetens skull använder vi här ”tracking” även för vanlig besöksräkning. Då måste användarna kunna skiljas åt, annars räknas för många eller för få besök. Att räkna samma person som två unika besökare för att personen öppnar två sidor i följd ger missvisande statistik. Att räkna två personer som en för att de besöker samma sida är inte heller särskilt exakt.

Hur skiljer man då användarna åt? HTTP-protokollet, som används för att hämta webbsidor, är tillståndslöst: det minns inte tidigare förfrågningar. På egen hand känner det därför inte igen en återkommande besökare. Det är som någon utan minne som tror att samma förbipasserande är en ny person varje gång.

Cookies gav det minnet. Enligt den tolkning av TTDSG som diskuteras här kräver de samtycke även för enkel besöksräkning. Lagen talar om vad som är ”strikt nödvändigt”. Räkningscookies är inte det, av två skäl. För det första är ett exakt besöksantal inte oumbärligt—det kan diskuteras, men jag bedömer den strängare tolkningen som mer sannolik. För det andra går det att räkna utan cookies. Det är den andra punkten vi går vidare med.

Hur kan man skilja användare åt?

Vill du slippa be om samtycke är cookies inget alternativ.

Du kan skilja besökare åt utan cookies med den metadata som webbläsaren skickar till webbplatsen vid varje HTTP-anslutning.

Tekniker kallar detta ofta anslutnings- eller trafikuppgifter. Jurister kan mena något annat med de orden, så här använder vi den allmänna termen ”metadata”.

Metadata som följer med en webbförfrågan omfattar bland annat:

• Typ av webbläsare och webbläsarversion. Exempel: Mozilla Firefox version 95.3, underversion 47.11
• Typ och version av operativsystem. Exempel: Microsoft Windows 10, 64 bitar
• Önskat språk. Exempel: tyska
• Nätverksadress (IP-adress)
• Cache-inställning
• Begärd sida. Exempel: https://dr-dsgvo.de/
• Tidpunkten för förfrågan. Den skickas inte direkt, men servern vet när förfrågan kommer in.

Att använda denna metadata för att skilja användare åt utan cookies kallas webbläsarfingerprinting.

Fingerprinting kan göras mer exakt genom att hämta ytterligare information med JavaScript, till exempel:

• Skärmupplösning. Exempel: 1920×1080
• Storlek på webbläsarfönstret. Exempel: 1788×910
• Exempel: 24 bit
• Tidszon: Exempel: GMT+1

Dessa fingeravtrycksuppgifter måste begäras aktivt. Den tidigare nämnda metadatan kommer med anslutningen och kräver ingen extra förfrågan. Enligt min uppfattning lagras inte skärmupplösningen på enheten, men TTDSG kan tolkas annorlunda. Ett exempel är mobilens stående eller liggande läge: det ändras hela tiden och behöver inte sparas. När telefonen startas igen beror bildens orientering på hur du håller den, inte på läget före avstängningen.

Tekniker som canvasfingerprinting samlar in fler uppgifter för att lättare skilja användare åt. Att detta är en form av enhetsåtkomst som kräver samtycke är dock i stort sett okontroversiellt.

Det juridiskt säkraste är att inte aktivt läsa någon ytterligare metadata från användarens enhet.

Utmaningen är att behålla tillräcklig datakvalitet för att räkna besökarna korrekt.

Räkna besökare utan samtycke

Trackboxx visar att minimal spårning kan fungera utan cookies eller åtkomst till enheten, och därmed utan samtycke.

Trackboxx använder bara metadata som redan följer med varje sidförfrågan. Inga extra avläsningar görs i webbläsaren. En strikt tolkning av TTDSG skulle kräva samtycke för sådana extra åtkomster.

Trackboxx använder inga cookies, inte ens sessionscookies, om inte kunden väljer andra inställningar. En cookie för en session är mindre ingripande än en som finns kvar i en månad—dess livslängd. Juridiskt skiljer TTDSG dock inte mellan sessionscookies och beständiga cookies, utan bara mellan nödvändiga och onödiga cookies eller åtkomster.

Eftersom Trackboxx inte gör någon enhetsåtkomst i TTDSG:s mening krävs inget samtycke enligt den lagen.

GDPR och TTDSG

GDPR gäller också. Dess krav behöver bedömas efter TTDSG:s regler om cookies och annan åtkomst. GDPR är EU:s allmänna dataskyddsförordning. På tyska förkortas den DS-GVO, ofta skrivet DSGVO utan bindestreck i texter för en bred publik.

GDPR omfattar personuppgifter, även sådana som kan kopplas till en person. Att kunna skilja en användare från andra kan räcka. EU-domstolen fastslog 2016 att IP-adresser kan vara personuppgifter; den tyska högsta allmänna domstolen bekräftade avgörandet 2017.

Du kan därför inte bara spara IP-adressen för att räkna besökare bättre. Enligt denna tolkning av artikel 6 GDPR skulle okrypterad lagring sannolikt kräva samtycke.

För att undvika det kravet lagrar Trackboxx inte IP-adresserna i sig. De pseudonymiseras i kombination med andra värden.

En tidsbegränsad nyckel tillämpas på kombinationen av IP-adress, webbläsarversion, operativsystemsversion och aktuell kalenderdag. Trackboxx-databasen innehåller därför inga IP-adresser. I teorin skulle en adress bara kunna återskapas ur de krypterade uppgifterna om besökaren återkom samma dag. Det behövs inte: nästa förfrågan ger IP-adressen på nytt. Metoden uppfyller de GDPR-krav som beskrivs här, med pseudonymiserad lagring grundad på berättigat intresse—en rättslig grund vid sidan av samtycke.

Till skillnad från samtycke kräver berättigat intresse ingen irriterande cookiepopup. Att slippa den ger också större rättssäkerhet: popupfönster omfattas av många krav, bland annat från artiklarna 7 och 13 GDPR. En samtyckesförfrågan måste exempelvis ange var och hur samtycket kan återkallas. Den obligatoriska informationen saknas ofta.

IP-adresser ändras vanligtvis med tiden, tydligen mer sällan på kabelanslutningar än på DSL. De ändras dock inte precis när någon öppnar en webbplats, så besökaren kan med stor sannolikhet kännas igen under samma dag. I företagsnätverk blir det svårare om centrala uppdateringar ger alla samma webbläsar- och systemversioner. I praktiken har denna osäkerhet liten betydelse.

Slutsats

Du kan mäta besök och förbättra innehåll utan cookies eller störande och felkänsliga popupfönster. Verktyg som Trackboxx erbjuder en integritetsvänlig lösning som uppfyller de TTDSG- och GDPR-krav som beskrivs här.

Datakvaliteten behöver inte bli sämre än vid besöksräkning med cookies. Förutom juridisk osäkerhet har sådana system en annan svaghet: alla kan radera cookies manuellt eller med verktyg som CCleaner och antivirusprogram. Då försvinner spårarens minne. Den fungerar inte bättre än Trackboxx, men behöver fortfarande samtycke. Företagsnätverk ger inte heller någon fördel: större organisationer raderar regelbundet cookies från medarbetarnas datorer enligt säkerhetspolicyn.