Datatilsynet sætter fokus på bl.a. cookiesamtykker

Datatilsynet vil i 2021 bl.a. have fokus på behandling af oplysninger om hjemmesidebesøgende (cookies) og overførsel af personoplysninger til 3. lande. Det oplyser Datatilsynet på sin hjemmeside.

Der er derfor en god anledning til at genopfriske, hvad du som hjemmesideejer skal være opmærksom på, når der sættes cookies på din hjemmeside.

Kravene til indhentelse af samtykke til cookies, som bruges til indsamling af oplysninger om hjemmesidebesøgende og reklamering, er blev strammet gevaldigt siden efteråret 2019.

Vi ser alligevel netbutikker uden cookiebanner, og vi ser stadig, at samtykke forsøges indhentet ved at skrive, at kunden giver samtykke ved at klikke videre ind på siden. Det er i strid med reglerne.

Vi ser også, at virksomheder, der handler BtB, tror, at reglerne ikke gælder for dem. Det gør de!

Du skal overholde både cookiebekendtgørelsen og GDPR
I Cookiebekendtgørelsen stilles der krav om, at der indhentes et samtykke før placering af en cookie (eller brug af andre tilsvarende teknologier) eller adgang til at læse en cookie på en persons device, medmindre der er tale om såkaldte teknisk nødvendige cookies.

Efter GDPR kan cookieidentifikatorer og oplysninger, der indsamles ved hjælp af cookies, og som kan henføres til personer, være personoplysninger – også selvom du ikke kender navnet på den person, der har besøgt din side. Derfor skal reglerne i GDPR (Databeskyttelsesforordningen) også overholdes. Behandling af oplysninger om hjemmesidebesøgende kræver normalt besøgendes samtykke. Indsamling af oplysninger til brug for egen statistik kan efter en konkret vurdering foretages efter interesseafvejningsreglen. Bruges der et webanalyseværktøj til indhentelse af oplysninger om personer, der besøger din side, og betyder det, at der videregives oplysninger til andre dataansvarlige, kan interesseafvejningsreglen ikke anvendes.

Man kan formentlig indhente samtykke til både cookies og behandling af personoplysninger i samme cookiebanner. Desværre har hverken Datatilsynet eller Erhvervsstyrelsen udtalt sig om dette.

Tjekliste cookiebanner

• Du skal i dit cookiebanner oplyse til hvilke formål, siden bruger cookies. Det kan fx være til statistik eller til markedsføring.
• Der skal være mulighed for at sige ja til cookies og for at afslå cookies i cookiebanneret.
• Muligheden for at sige ja og nej skal tilbydes lige tydeligt.
• Den besøgende skal have mulighed for at vælge, hvilke af formålene han eller hun vil give samtykke til.
• Det skal fremgå af teksten, at samtykket kan trækkes tilbage.
• Du skal kunne dokumentere dine samtykker.
• Der skal være en let tilgængelig adgang på siden til at tilbagekalde samtykket.
• Cookies skal holdes tilbage, indtil den besøgende har givet samtykke.
• Du skal som minimum linke til en underside, hvor den besøgende kan se 1) navnet på de virksomheder, der sætter cookies, 2) cookiens formål og 3) udløbsdato.
• Hvis virksomheden videregiver oplysninger til fx Google, Facebook eller andre 3. parter, der bruger de oplysninger, de modtager til egne formål, skal de nævnes i banneret, eller der skal være en ”fold-ud-menu” eller et link til oplysning om disse virksomheder.
• Du bør have et link til din persondatapolitik, hvor du oplyser mere om, hvordan du behandler de personoplysninger, du har indsamlet, og om de registreredes rettigheder.
• Har du et såkaldt ”plug-in” fra 3. part, skal du have en aftale med denne 3. part om fælles eller delt dataansvar. Fx har Facebook sådan en aftale på sin side, som du kan acceptere. Du skal orientere om aftalen i din persondatapolitik.

Datatilsynet har i sin vejledning om ”Behandling af oplysninger om hjemmesidebesøgende” lavet nedenstående eksempel på, hvordan oplysningskravene kan opfyldes.

Hvordan får jeg et samtykkebanner?
Nogle virksomheder laver deres egen cookieløsning. Andre bruger nogle standardløsninger, som udbydes på markedet. Disse løsninger indeholder et banner, du kan bruge. De scanner også jævnligt din side for nye cookies og opdaterer dine informationer. De opbevarer også dokumentation for indsamlede samtykker. Det er derimod som regel dit eget ansvar, at teksterne i banneret er korrekte, og at du giver de krævede oplysninger i din persondatapolitik om, hvordan du behandler personoplysninger.

Har du spørgsmål til cookies, er du velkommen til at kontakte chefkonsulent Tina Morell Nielsen eller chefkonsulent Carsten Rose Lundberg.

Læs hele Datatilsynets vejledning om behandling af oplysninger om hjemmesidebesøgende Vejledning om behandling af personoplysninger om hjemmesidebesøgende (datatilsynet.dk)

Se en video om krav til cookies. Her får du eksempler på, hvad der er rigtigt og forkert. Det tager ca. en time at se den. Har du styr på dine cookies?

Læs mere om Datatilsynets fokusområder her Særlige fokusområder for dele af Datatilsynets tilsynsaktiviteter i 2021