Nye cookieregler: Kan komme tilsyn

Nyttårsaften kom med nye regler for informasjonskapsler, populært kalt cookies.

Nå er det ikke lenger nok at standardinnstillingen i nettleseren tillater cookies. Brukeren må gi et frivilling, spesifikt, informert og utvetydig samtykke. Det må gis gjennom en aktiv handling, være dokumenterbart og like lett å trekke tilbake som å gi.

− Kravene til et gyldig samtykke innebærer blant annet at det skal være like lett å si nei som å si ja til å samtykke. Dersom det er mer komplisert å si nei, eller nei-alternativet ikke gis sammenlignbar oppmerksomhet som ja-alternativet, får ikke brukeren et rettferdig valg, skriver Datatilsynet i en nyhetsmelding om de nye reglene.

Selv om fokuset i første omgang er veiledning, utelukker de ikke at det kan komme tilsyn om etterlevelsen.

Ingen overgangsordning

Da den nye ekomloven ble sanksjonert av Kongen i statsråd midt i julestria, overrasket det at innstrammingene for informasjonskapsler, populært kalt cookies, skulle gjelde allerede fra 1. januar.

Loven har ingen virkningsfrist eller overgangsordning. Allerede nå er det de nye reglene nettsideeierene må etterleve, bekrefter Datatilsynet, som deler tilsynsmyndighet for de nye reglene med Nasjonal kommunikasjonsmyndighet (Nkom).

− Vi har imidlertid forståelse for at det var kort tid til å omstille seg for virksomheter før ikrafttredelsen, og Datatilsynets hovedfokus den første tiden vil være å gi virksomheter veiledning om regelendringene. I tillegg må vi behandle eventuelle klager vi mottar, sier Anders Sæve Obrestad, Juridisk seniorrådgiver i Datatilsynet.

− Kan vi vente at Datatilsynet eller Nkom gjør tilsyn med etterlevelse av disse reglene på eget initiativ, eller vil det først skje ved eventuelle klager?

− Vi har også hjemmel til egeninitiert tilsyn med bestemmelsen, men vårt fokus i den første tiden vil som nevnt være veiledning, svarer Obrestad.

Også Nkom har forståelse for at regelverket er nytt.

− Det er viktig at virksomhetene får noe tid til å omstille seg det nye regelverket. Ved eventuelle klager vil det foretas en konkret vurdering av om det bør iverksettes tilsyn, og eventuelt rollefordelingen mellom Datatilsynet og Nkom. Ut over dette vil Nkom vurdere behovet for tilsyn på lik linje med tilsyn på andre områder, sier Julie Nordland Vigsnes, seniorrådgiver i Nkom.

− Gjør valgalternativene likeverdige

Med innføringen av ny lov, følger Norge etter resten av Europa, og krever mye tydeligere samtykke for å spore brukere på nett. I praksis betyr det at det skal være like lett å takke nei til cookies, som å takke ja.

− Dersom det er mer komplisert å si nei, eller nei-alternativet ikke gis sammenlignbar oppmerksomhet som ja-alternativet, får ikke brukeren et rettferdig valg, skriver Datatilsynet på egne nettsider.

− Kan vi forstå dette som at det å ha en grønn «godta»-knapp, og en knapp med samme farge som bakgrunnen for å avslå, så vil det ikke regnes som et gyldig samtykke?

− Hvorvidt samtykke oppfyller kravet til å være «frivillig» og «informert» må vurderes konkret etter omstendighetene. Vi anbefaler at man gjør valgalternativene likeverdige, og at man ikke «gjemmer» bort nei-alternativet, svarer Obrestad.

Snevre unntak

Det er to unntak fra kravet til samtykke. Både Datatilsynet og Nkom beskriver unntakene som snevre.

Kravet til samtykke gjelder ikke for teknisk lagring av eller adgang til opplysninger:

1. Utelukkende for det formål å overføre kommunikasjon i et elektronisk kommunikasjonsnett, eller
2. Som er strengt nødvendig for å levere en informasjonssamfunnstjeneste etter den aktuelle sluttbrukerens eller brukerens uttrykkelige forespørsel

− Det første unntaket retter seg først og fremst mot ekomtilbydere, særlig tilbyder av tilgang til internett der bruken av informasjonskapsler er nødvendig for å sikre en enkel og hurtig oppkobling til internett, forklarer Vigsnes og peker på forarbeidene til loven, der det kommer frem at slik teknisk lagring for eksempel kan være knyttet til midlertidige sesjonsnøkler til autentisering og autorisering på toppen av ordinær TLS.

Det andre unntaket gjelder bare der bruk av informasjonskapselen er en forutsetning for å kunne levere tjenesten, altså «strengt nødvendig».

− Unntaket får kun anvendelse for informasjonskapsler eller lignende teknologi som er plassert for at en nettside skal kunne fungere rent teknisk, sier Vigsnes.

Det betyr blant annet at økonomiske hensyn ikke regnes som strengt nødvendig, noe mediebransjen har reagert på. At du trenger å spore brukerne for å få annonseinntekter, og de inntektene er nødvendige for å holde liv i nettstedet, er altså ikke godt nok.

− Det er også viktig å være klar over at bestemmelsen gjelder for lagring og tilgang til alle slags opplysninger. Bestemmelsen gjelder altså uavhengig av om det er snakk om personopplysninger eller ikke, skriver Datatilsynet.