- Artikkel 5 nr. 3 i direktiv 2002/58/EC krever brukerens samtykke før informasjon lagres på enheten deres eller leses fra den.
- To smale unntak står i den samme artikkelen: overføring av en kommunikasjon, og det som er strengt nødvendig for en tjeneste brukeren uttrykkelig har bedt om.
- Samtykke har den betydningen GDPR gir det: frivillig, spesifikt, informert, utvetydig, og like enkelt å trekke tilbake som å gi.
Et cookie-banner er ofte det første en ny besøkende ser av produktet ditt. Det er også en av de få skjermene der EU-retten former hva grensesnittet ditt må gjøre. Regelen er kort. Det meste av forvirringen rundt den kommer av at man leser sammendrag av sammendrag i stedet for teksten.
Denne veiledningen er ikke juridisk rådgivning, og den sier ingenting om hvorvidt produktet ditt oppfyller loven. Den vurderingen er det du og rådgiverne dine som gjør. Det den gjør, er å legge fram hva de to tekstene sier, med enkle ord, med en lenke til hver artikkel så du kan lese originalen.
Regelen i én setning
Før produktet ditt lagrer noe på en brukers enhet, eller leser noe som allerede er lagret der, må brukeren si ja, og de må få vite klart hva det er til.
Kilden er direktiv 2002/58/EC av 12. juli 2002 om behandling av personopplysninger og personvern i sektoren for elektronisk kommunikasjon. Dets eget korte navn er direktivet om personvern og elektronisk kommunikasjon. Ordlyden i artikkel 5 nr. 3 som gjelder i dag, ble innført ved direktiv 2009/136/EC av 25. november 2009, som endret det.
Etter den ordlyden er det å lagre informasjon, eller å få tilgang til informasjon som allerede er lagret, i terminalutstyret til en abonnent eller bruker bare tillatt på vilkår av at den det gjelder, har gitt samtykke etter å ha fått klar og fullstendig informasjon, blant annet om formålene med behandlingen.
Den når deg gjennom nasjonal lov
Et direktiv er rettet til medlemsstatene, ikke til virksomheter. Artikkel 5 nr. 3 åpner med ordene «Member States shall ensure», medlemsstatene skal sikre, og hvert land skriver regelen inn i sin egen lov. Teksten du må svare for i et gitt marked, er altså det landets nasjonale lov, lest sammen med direktivet. Trenger du den nøyaktige nasjonale ordlyden, be rådgiverne dine om selve loven, ikke et sammendrag av den.
Hva artikkelen dekker
Artikkelen bruker aldri ordet «cookie». Den snakker om informasjon som lagres på, eller leses fra, brukerens enhet. Den beskriver lagring og lesing, ikke en bestemt teknologi.
Den snakker også om informasjon, ikke om personopplysninger.
Hva «strengt nødvendig» dekker
Det samme leddet nevner to tilfeller som ikke krever samtykke. Med artikkelens egne ord er den ikke til hinder for teknisk lagring eller tilgang:
- utelukkende med det formål å gjennomføre overføringen av en kommunikasjon over et elektronisk kommunikasjonsnett; eller
- som er strengt nødvendig for at tilbyderen av en informasjonssamfunnstjeneste som abonnenten eller brukeren uttrykkelig har bedt om, skal kunne levere tjenesten.
To uttrykk bærer vekten i det andre tilfellet. «Strengt nødvendig» er smalere enn nyttig, praktisk eller bra for virksomheten. «Uttrykkelig har bedt om» peker på tjenesten brukeren ba om, ikke på alt rundt den. Alt utenfor begge tilfellene venter på et ja.
Hva gyldig samtykke betyr
ePrivacy-teksten definerer samtykke ved å vise til det gamle personverndirektivet, direktiv 95/46/EC. Artikkel 94 nr. 2 i GDPR sier at henvisninger til det opphevede direktivet skal leses som henvisninger til GDPR. Det er altså GDPRs definisjon som gjelder.
Artikkel 4 nr. 11 i GDPR definerer samtykke som enhver frivillig, spesifikk, informert og utvetydig viljesytring fra personen, der de ved en erklæring eller en klar bekreftende handling gir uttrykk for at de er enige.
Artikkel 7 legger til vilkår. Den behandlingsansvarlige må kunne vise at personen har samtykket. Der samtykke bes om i en erklæring som også gjelder andre forhold, må anmodningen kunne skilles klart fra dem, på et klart og enkelt språk. Personen kan trekke samtykket tilbake når som helst, får vite det før de gir det, og det skal være like enkelt å trekke tilbake som å gi.
To fortalepunkter i den samme forordningen sier det enda tydeligere. Fortalepunkt 32 sier at taushet, forhåndsavkryssede bokser eller passivitet ikke bør utgjøre samtykke. Fortalepunkt 42 sier at samtykke ikke bør anses som frivillig hvis personen ikke har et reelt eller fritt valg, eller ikke kan nekte eller trekke det tilbake uten å bli skadelidende.
Lagt ved siden av et grensesnitt blir de vilkårene en kort liste: ingenting krysset av på forhånd, et nei som er et reelt valg, et klart formål for hver forespørsel, og en vei ut igjen som ikke er vanskeligere enn veien inn.
Spørsmål å stille teamet ditt
Du trenger ikke lese hver linje av koden i produktet ditt for å styre dette. Noen få spørsmål, stilt én gang, viser hvor produktet står:
- Hva lagres på, eller leses fra, en brukers enhet når en side lastes første gang, før noen har rørt banneret?
- Hvilke av de elementene ville produktet ikke fungert uten, for tjenesten brukeren faktisk ba om? Hvem bestemte det, og er det skrevet ned?
- Er det å si nei ett steg, som å si ja, på den samme skjermen og med den samme vekten?
- Sier hver forespørsel hva den er til, med ord en bruker ville forstå?
- Hvor går en bruker for å ombestemme seg senere, og får den endringen virkning?
- Kan vi vise hva en gitt bruker sa ja til, hvis vi blir spurt?
Svarene hører til teamet ditt og rådgiverne dine. Spørsmålene er dine å stille, og de lar deg løfte blikket fra ordlyden i banneret til hva produktet faktisk gjør.
For det bredere designspørsmålet, hvor mye personopplysninger en funksjon samler inn, beholder og viser i utgangspunktet, se Innebygd personvern, for produktledere.
Der vi kommer inn
Vi gir ikke juridisk rådgivning, og ingenting på denne siden er et løfte om at noe produkt oppfyller loven. Det forblir en vurdering for deg og rådgiverne dine.
Hvis teamets svar avdekker hull, er det å tette dem før en kunde eller en revisor spør, den typen arbeid som beskrives i Harden security before the questionnaire arrives (på engelsk). Arbeidet leveres i ditt eget kodelager. Koden vi bygger for deg, tilhører deg. Du bestemmer hva som leveres. Ingenting når brukerne dine uten din godkjenning.
Det starter med en samtale, helt uforpliktende.
