Har du styr på samtykker til cookies på din hjemmeside?

Få et hurtigt indblik i, hvad loven siger om cookies og samtykker til indsamling af data. Det er en forretningskritisk nødvendighed at forholde sig til, hvordan I håndterer GDPR- og cookielovgivningen, for selvom vi er i 2022, så er der mange, der endnu ikke overholder lovene. Derfor: Grib en kop kaffe og hank op i tålmodigheden. Vi skal forsøge at gøre det kort.

Opdateret januar 2022

Du kender måske bedst til cookies i form af den lille, irriterende pop-up, du skal klikke dig igennem, før du kan browse i fred på det website, du besøger. Men har du nogensinde forholdt dig til, hvad du rent faktisk giver dit samtykke til? Læst nærmere, før du trykker ’ja’? Hvis ikke, så er i dag forhåbentlig dagen, hvor det ændrer sig.

Har du så lagt mærke til, at der er forskellige typer pop-ups? Nogle beder dig blot om at sige ’OK’, mens andre er mere specifikke ift. formål og indsamling af data. Det er der en god grund til.

Førstnævnte overholder ikke loven. Den er et levn fra en tid, hvor brugerne havde langt mindre kontrol og indsigt – og hvor virksomhederne ikke behøvede at specificere, hvad de egentlig bruger data til. Artikelbilledet ovenfor er et eksempel på en forældet cookieløsning, der ikke overholder loven. Den er fra vores eget site for nogle år tilbage, og er naturligvis ikke længere i brug. Nu har vi denne, der specificerer formål m.m.:

Men lad os tage én ting ad gangen.

Med loven mener vi faktisk lovene. Der er nemlig to forskellige lovgivninger på spil.

Cookiebekendtgørelsen og Persondataforordningen sætter rammerne for cookies

Kravene til samtykke til cookies er blevet skærpet de seneste år. I skrivende stund skal samtykke til anvendelse af cookies overholde:

• Cookiebekendtgørelsen, der håndhæves af Erhvervsstyrelsen
• Persondataforordningen, som hører under Datatilsynet

Cookiebekendtgørelsen er den regulerende lovgivning på området.

Cookies er dog personhenførbare – dvs. de kan ledes tilbage til en specifik bruger. Derfor skal de også overholde Persondataforordningens krav til behandling af personoplysninger. Måske du kender den som GDPR?

Hvis du anvender cookies på dit website, er det nødvendigt at forholde sig til begge regelsæt samtidigt.

Heldigvis er de to myndigheder enige om formkravet til et gyldigt samtykke. Det er i princippet Persondataforordningens formkrav til samtykke. Selvom der er overlap i de to lovgivninger, så skal man stadig overholde hver enkelt lovgivning i dens helhed.

Hvad siger lovene tilsammen om cookies?

Med Cookiebekendtgørelsen kræver Erhvervsstyrelsen, at man informerer om alle cookies og hvilke formål, disse har. Erhvervstilsynet udsendte i februar 2020 en ny vejledning, hvor kravene til cookiesamtykkeformatet blev skærpet.

Formålet med det nye cookiesamtykke er at give brugeren et reelt valg – hvilke cookies vil de samtykke til at virksomheden sætter – og dermed give dem mere kontrol over de data og oplysninger, virksomheden får adgang til.

Tilsammen siger Cookiebekendtgørelsen og Persondataforordningen følgende:

Samtykke til cookies

Jeres virksomhed skal ikke blot informere om cookieformål, men indhente samtykke til dem. Samtidig er der krav til udførlig logging af samtykker samt hvor længe, et samtykke er gyldigt. Virksomheden skal forholde sig til at:

• Indsamle samtykke til cookies, inden cookies bliver sat (det gælder dog ikke de ’strengt nødvendige cookies’)
• Føre log over samtykker som skal kunne dokumentere: Tidspunkt for samtykke, formål med dataindsamling samt information om hvilke cookieformål, brugeren har givet samtykke til
• En brugers samtykke er gyldigt i 12 måneder, derefter skal brugeren forny det
• Dokumentation for samtykke skal gemmes i 5 år

Brugernes rettigheder

Brugerne har med de senere års skærpelse af cookie- og samtykkelovgivningen fået mere kontrol over egne data. Samtidig er gennemsigtigheden styrket. Brugernes ret til nemmere til- og fravalg stiller krav til virksomheden:

• Det skal være muligt for brugerne at give et specifikt samtykke, baseret på cookieformål (funktionelle, statistiske, marketing-cookies)
• En bruger skal til enhver tid kunne fravælge brugen af cookies
• En bruger skal til enhver tid kunne ændre sine samtykker
• En bruger skal kunne søge indsigt i sit samtykke (dokumentation)

Information der er til at forstå

Det er ikke nok at have en juridisk korrekt tekst på virksomhedens website, der redegør for cookieformålene. Brugerne skal kunne forstå indholdet. Det betyder, at:

• En bruger skal kunne søge specifik information om brugen af cookies og tracking på din hjemmeside i en decideret cookiepolitik, inden et samtykke bliver givet: Beskrivelse af formålet med cookies, hvilke tredjeparter der sætter dem og hvad data bruges til
• Der skal fremvises en deklaration som bl.a. indeholder hvor lang tid en cookie gemmes og en beskrivelse af tredjeparter (virksomheder), dataene deles med
• Informationerne i cookiebanner og cookiepolitik skal skrives i samme sprog som på resten af websitet – og flere sprogversioner kræver også cookiebeskrivelser på flere sprog

Læs også: Din guide - 5 trin til datadrevet markedsføring

Nok er det en forholdsvis lille opgave – men den er forretningskritisk

Vi har hjulpet en lang række virksomheder med at leve op til cookielovgivningen. Hvis forvirringen hersker, så lad os give jer en hånd. For os er det ikke en stor opgave – men for jer er den forretningskritisk.

GORM Agency har et samarbejde med Cookie Information A/S. Ved at kombinere vores ekspertise med deres, kan vi tilbyde jer en komplet løsning, der sikrer, at jeres brugere bliver korrekt informeret og kan samtykke til/fra cookies. Det betyder også, at I modtager et gyldigt cookiesamtykke fra brugerne, og at samtykket og den påkrævede dokumentation bliver sikkert opbevaret – og kan fremskaffes, hvis de tilsynsførende myndigheder kræver det.

Løsningen giver jer tryghed

Med GORM Agencys løsning sikrer du og din virksomhed, at jeres cookiebanner og cookiepolitik altid er opdateret og følger både Cookiebekendtgørelsen og Persondataforordningen. Kort beskrevet indbefatter løsningen:

1. Automatisk scanning af jeres website og automatisk opdatering af cookiepolitik og deklaration af cookies
2. En cookiepolitik fra Cookie Information A/S, som overholder gældende cookielov og Persondataforordningen (GDPR)
3. Design af samtykkebanneret, så det passer til jeres website, brand og logo
4. Lagring af brugernes samtykke (opbevares i 5 år)
5. Fuldt ansvar for og opbevaring af jeres brugeres samtykke til cookies

Læs også: Vi styrker vores kunders forretning med datadrevet marketing

Vi sørger for det hele – sammen med jeres dygtige folk

Når I samarbejder med os, står vi for design, tekst, implementering og opsætning. Det vil typisk foregå i et tæt samarbejde med jeres interne it-folk, Google Tag Manager-ansvarlige og så videre.

Vi udarbejder også forslag til selve samtykkebanneret. Vi anbefaler bl.a., at I vælger et såkaldt overlay-banner, hvor samtykkebanneret ligger midt på skærmen “ovenpå” websitet (se gorm.agency for et eksempel).

Vi benytter som udgangspunkt Cookie Informations A/S' standard-cookiepolitik, der er juridisk på plads.

Som med så meget andet teknik, så skal samtykkeløsningen og cookiepolitikken implementeres, hvilket vi er ansvarlige for. Det kræver:

• Kortlægning af alle målepunkter, som er hardcoded (kodet på siden, evt. inline)
• Overgang til al tracking via et Tag Management-system
• Adgang til websitets CMS eller backend for at kunne indsætte de nødvendige koder korrekt
• Dyb forståelse af Tag Management for korrekt implementering af diverse tracking-værktøjer og deres cookies