Cookies og samtykke: hvilke krav gælder for marketingmåling?

Hvad dækker marketingmåling – og hvorfor er teknologien afgørende?

Marketingmåling omfatter her alle teknologier, der gemmer eller får adgang til oplysninger på brugernes udstyr for at følge adfærd, måle effekt eller målrette annoncer. Cookiebekendtgørelsen og databeskyttelsesreglerne er teknologineutrale. Derfor gælder de ikke kun cookies, men også pixels, fingerprinting og unikke koder, der tildeles brugernes enheder, fx et reklame-ID.

En cookie er en lille tekstfil med data, der placeres på brugerens udstyr, når brugeren besøger en hjemmeside. Førstepartscookies sættes af tjenesten selv, mens tredjepartscookies sættes af en tredjepart. Levetiden varierer: Nogle slettes, når browservinduet lukkes, andre kan være aktive i flere år. Cookies bruges ofte til markedsføringsformål, hvor de besøgendes personoplysninger bruges til at personalisere annoncer.

Reglerne udløses, når du gemmer eller får adgang til oplysninger på brugernes udstyr. Det gælder også adgang til oplysninger på andre enheder end computere og telefoner, fx biler og IoT-devices. Start derfor kortlægningen med det tekniske spørgsmål: Skriver eller læser værktøjet på brugerens enhed?

Hvornår skal du indhente samtykke til marketingmåling?

Udgangspunktet er samtykke. Ifølge Datatilsynet og Digitaliseringsstyrelsen skal du indhente samtykke, medmindre der udelukkende er tale om teknisk nødvendige teknologier. Samtykke kræves derfor, hvis du bruger cookies eller lignende teknologier til fx besøgsstatistik eller til at vise personaliserede annoncer.

Du skal ofte også overholde GDPR, fordi oplysningerne kan være personoplysninger. Det gælder, selvom du hverken kender navn eller identitet på den person, hvis oplysninger du behandler. Oplysninger fra cookies, pixels og ID'er kan nemlig i sig selv eller i kombination med andre oplysninger udgøre personoplysninger.

Konsekvensen er direkte: Har du ikke et gyldigt samtykke, er behandlingen ulovlig. Cookiebekendtgørelsen gælder, når du gemmer eller får adgang til oplysninger på brugernes udstyr; Digitaliseringsstyrelsen fører tilsyn med bekendtgørelsen, og Datatilsynet har udarbejdet vejledningen i samarbejde med Digitaliseringsstyrelsen.

Forskelle mellem nødvendige og ikke-nødvendige cookies i dansk lovgivning

Fire krav til et gyldigt samtykke – og kravet om aktiv handling

Et gyldigt samtykke skal være frivilligt, specifikt, informeret og udtrykke en utvetydig viljestilkendegivelse. Derudover skal brugeren kunne trække sit samtykke tilbage lige så let, som det blev givet.

Forudindstillede acceptvalg er ikke gyldige. Samtykket skal gives ved en aktiv handling, og der må ikke bruges tvang eller vildledning. En forud afkrydset boks, en skjult afvisningsmulighed eller en acceptknap, der er gjort markant lettere at bruge end afvisning, lever ikke op til kravet om frivillighed og utvetydighed.

Tilbagetrækning er en del af gyldigheden, ikke en ekstra service. Sørg for, at brugeren kan ændre eller trække samtykke tilbage i samme grænseflade og med samme lethed, som samtykket blev givet. Ellers er behandlingen ulovlig.

Cookie walls og reelt fravalg af marketingmåling

Brugeren skal have et reelt valg. Adgangen til tjenesten må ikke begrænses, hvis brugeren afviser samtykke til ikke-nødvendige cookies. Cookie walls, der blokerer eller forringer adgangen, når samtykke ikke gives, strider derfor mod kravet om frivillighed.

Datatilsynet har modtaget en række henvendelser om cookie walls, siden tilsynet i begyndelsen af 2020 satte fokus på behandling af personoplysninger om hjemmesidebesøgende. Den opdaterede vejledning præciserer, at brugeren skal kunne afvise alle ikke-nødvendige cookies uden at blive mødt af en cookie wall, der begrænser adgangen.

I praksis betyder det, at 'Afvis alle ikke-nødvendige' skal være lige så synlig og let at vælge som 'Acceptér alle'. Hvis afvisning først er mulig via flere klik, eller hvis tjenesten kun kan bruges mod accept, er fravalget ikke reelt.

Praktisk samtykkeløsning: information, formål og dokumentation

Informationen skal være klar og forståelig. Brugeren skal informeres om formålene med cookies og om, hvilke tredjeparter der modtager oplysninger. Samtykket skal indhentes ved en aktiv handling, og virksomheden skal kunne dokumentere, at samtykke er givet.

Datatilsynet anbefaler at undersøge, hvilke teknologier der bruges, og kun at indsamle de oplysninger, du reelt har behov for. Det er ulovligt at indsamle flere personoplysninger, end du har behov for. Vælg derfor analyseværktøj og øvrige værktøjer efter organisationens faktiske behov, så værktøjet kun giver de oplysninger, der skal bruges.

Du kan bruge en leverandør til at stå for samtykkeløsningen, men ansvaret for at løsningen er tilstrækkelig, ligger hos dig. Leverandøren flytter ikke ansvaret for at indhente og dokumentere et gyldigt samtykke.

Trin-for-trin til god cookie-praksis i dansk marketingmåling

Kortlægning af marketingmåling og tredjeparters adgang

Kortlægningen skal omfatte alle anvendte cookies, pixels, scripts, plug-ins og tredjepartsværktøjer. Mange cookies sættes indirekte og uden at være tydeligt angivet i cookieindstillingerne. Der bør derfor foretages tekniske scanninger af løsningen med jævne mellemrum for at sikre, at ingen uautoriserede teknologier benyttes, og at der indhentes samtykke til de rette cookies.

Tredjepartsaktører kan skabe fælles dataansvar. Det kan fx ske, hvis sociale medier eller analyseplatforme får adgang til brugerdata via din digitale løsning. Afklar derfor rollerne: Er du dataansvarlig, er leverandøren databehandler, eller opstår der fælles dataansvar?

Der skal være klare databehandleraftaler med relevante leverandører, og du skal nøje vurdere, hvornår der opstår fælles dataansvar. Uden overblik over tredjeparters adgang kan du hverken styre samtykke eller dokumentere lovligheden.

Vigtige data om cookie-ansvar og overholdelse i Danmark

Oplysningspligt og løbende opdatering af samtykke

Cookievejledningen har særskilte afsnit om oplysningspligt, om hvor ofte et samtykke skal opdateres, og om hvem der har ansvaret. Det betyder, at overholdelse ikke er et engangsprojekt: Når marketingmålingen ændrer sig, skal information og samtykke tages op igen.

Ændringer, der typisk udløser et genbesøg, er nye cookies, pixels, scripts eller plug-ins, nye formål med målingen og nye tredjeparter, der får adgang til brugerdata. Den opdaterede vejledning forpligter virksomheder med en hjemmeside til aktivt at tage stilling til deres praksis.

Ansvaret følger ikke teknologien eller leverandøren. Virksomheden skal kunne dokumentere, at samtykket er gyldigt, at oplysningspligten er opfyldt, og at der ikke køres uautoriserede teknologier. Sæt derfor en fast rutine for scanning og gennemgang af samtykketeksten, så ændringer i marketingmålingen bliver fanget, før de tages i brug.

Udvikling i danske cookie-regler: vigtige skridt siden 2020