Samtykke eller legitim interesse: sådan beslutter du

I branchen findes der to lejre. Den ene siger: Den, der kun genkender virksomheder, har ikke brug for et samtykke, den legitime interesse rækker. Den anden siger: Uden samtykke i cookiebanneret kører der slet intet. Begge sider har en smule ret, fordi de taler om forskellige lag. Denne artikel adskiller lagene og giver dig til sidst fem spørgsmål i hånden.

Den er en nøgtern indplacering og ingen juridisk rådgivning. For din konkrete opsætning hører beslutningen hjemme hos din databeskyttelsesrådgivning.

Hvad der gælder forudgående: adgangen til slutudstyret

Før det handler om GDPR, stiller sig et andet spørgsmål: Får scriptet adgang til den besøgendes enhed? E-databeskyttelsesdirektivet (ePrivacy, art. 5, stk. 3) kræver i princippet et samtykke til at gemme oplysninger i slutudstyret og til at udlæse sådanne oplysninger. Undtaget er det, der teknisk er nødvendigt for den tjeneste, brugeren udtrykkeligt ønsker.

Gennemført er det i Tyskland i § 25 TDDDG og i Østrig i § 165 Abs. 3 TKG 2021. Begge regler gælder uafhængigt af, om der til sidst opstår personoplysninger. Afgørende er selve adgangen.

Det rammer mere end cookies:

• En post i browserens sessionslager (sessionStorage) er en lagring i slutudstyret.
• At udlæse skærmstørrelse og browsersprog er en udlæsning af oplysninger fra slutudstyret, selv om hver enkelt angivelse virker harmløs.
• Optagelser af klik og musebevægelser er under alle omstændigheder intet, en besøgende har brug for til visning af siden.

De tyske tilsynsmyndigheder fører hertil en streng linje: Rækkeviddemåling og statistik gælder som regel ikke som teknisk nødvendige. Den, der bruger et script, der foretager sådanne adgange, bør derfor gå ud fra et nødvendigt samtykke. Det er ikke et spørgsmål om smag, men den forudsætning, uden hvilken resten slet ikke nås.

Art. 6, stk. 1, litra a over for litra f

Først derefter kommer spørgsmålet, hvilket retsgrundlag i GDPR den efterfølgende behandling støtter sig til, så vidt den er personhenførbar.

Om en IP-adresse overhovedet er personhenførbar, afklarer IP-adresse og GDPR: er den personhenførbar?. Hvordan begge prøvetrin hænger sammen, viser Besøgergenkendelse og GDPR: en nøgtern indplacering.

Samtykke (litra a). Det skal være frivilligt, informeret, specifikt og utvetydigt. Det kan til enhver tid tilbagekaldes. Her er retsstillingen klar, så snart banneret er bygget ordentligt.

Legitim interesse (litra f). Her prøver du tre ting: Findes der en legitim interesse (for eksempel salgsforberedelse i B2B)? Er behandlingen nødvendig dertil? Og går de registrerede personers interesser eller grundlæggende rettigheder ikke forud? Betragtning 47 nævner som målestok de registreredes rimelige forventninger. Direkte markedsføring kan efter samme betragtning være en legitim interesse.

Dertil kommer indsigelsesretten efter art. 21: De registrerede kan gøre indsigelse mod behandlingen på litra f. Du skal gøre det praktisk muligt. Også oplysningspligterne efter art. 13 og 14 gælder i begge tilfælde.

Hvorfor adfærdsdata gør afvejningen sværere

En virksomhedstilordning alene lader sig for afvejningen ofte stadig begrunde godt: Oplysningen er knap. Formålet er klart. Det bliver sværere, så snart adfærd kommer til. Hvilke sider nogen læser, hvor længe vedkommende scroller, og hvor vedkommende klikker, siger meget om en person, selv om vedkommende kun fremstår som besøgende hos en virksomhed. En musevideo viser endnu mere. Jo finere observationen er, desto mindre forventer besøgende den. Tilsvarende svært bliver det at begrunde, at din interesse går forud.

Dertil kommer et praktisk problem: Selv hvis du kunne vinde afvejningen, hjælper det dig ikke, så længe samtykkepligten for adgangen til enheden består. Samtykket er så under alle omstændigheder der. Meget taler for også at bruge det som retsgrundlag for behandlingen i stedet for at pleje to grundlag ved siden af hinanden.

Den praktiske vej: statistikkategori, script først bagefter

Den løsning, der i praksis oftest fungerer, er enkel:

1. Dit banner har en egen kategori, oftest „Statistik“ eller „Analyse“.
2. Besøgergenkendelsesscriptet indlæses først, efter at den besøgende har accepteret denne kategori.
3. Uden accept finder ingen adgang til enheden sted og ingen forespørgsel til tjenesten.

Teknisk går det via din Tag Manager med Consent Mode eller via dit banners samtykkestyring. En vejledning dertil finder du i hjælpen under Samtykke i Tag Manager. Whovisit leverer for eksempel en tagskabelon, der venter på det givne statistiksamtykke, før den indlæser scriptet. For at vejen bærer, skal dit banner dog også virkelig afbilde kategorien og give beslutningen ordentligt videre til Tag Manager.

Også Google Analytics kører som regel bag samme kategori. Hvad Analytics afslører om virksomheder, og hvad ikke, står i Genkend virksomheder med Google Analytics: hvad der kan lade sig gøre, og hvad ikke.

Schweiz: opt-out-logik

I Schweiz er udgangspunktet et andet. Fernmeldegesetz (art. 45c) kræver, at brugere informeres om behandlingen af data på deres enhed og kan afvise den. Det er altså en indsigelsesløsning i stedet for et forudgående samtykke. Den reviderede databeskyttelseslov (siden 1. september 2023) arbejder i princippet også med gennemsigtighed og indsigelsesmulighed i stedet for en generel samtykkepligt.

Hvis du har besøgende fra Schweiz og fra EU på samme side, gælder for EU-besøgende alligevel den strengere ret. Praktisk betyder det: Et ensartet banner med samtykke er som regel den enkleste vej, også fordi du ikke sikkert kan adskille besøgende efter land.

Din beslutningsvej i fem spørgsmål

1. Får scriptet adgang til enheden? (Lagring eller udlæsning, også sessionslager, skærmstørrelse, sprog.) Hvis ja, har du til DE og AT som regel brug for et samtykke. Videre til spørgsmål 2.
2. Er adgangen teknisk nødvendig for den ønskede visning af siden? Ved statistik og besøgergenkendelse næsten altid nej.
3. Har dit banner en kategori, der passer til formålet? Hvis nej, tilpas det, før du bygger scriptet ind.
4. Indlæses scriptet virkelig først efter samtykket? Kontrollér i din browsers netværksfane: Før samtykket må der ikke gå nogen forespørgsel til tjenesten.
5. Er informationen i privatlivspolitikken fuldstændig? Findes der en vej til tilbagekaldelse? Formål, retsgrundlag, modtager, opbevaringstid.

Svarer du ved spørgsmål 1 nej, kan du tænke over litra f. Det er ved procedurer med adgang til slutudstyret praktisk sjældent.

Kilder

• Direktiv 2002/58/EF (ePrivacy), art. 5, stk. 3
• GDPR, art. 6, stk. 1, art. 13, 14, 21 samt betragtning 47
• § 25 TDDDG (Tyskland), § 165 Abs. 3 TKG 2021 (Østrig)
• Art. 45c Fernmeldegesetz (Schweiz), Datenschutzgesetz (Schweiz) i den version, der gælder fra 1. september 2023
• Orientierungshilfe der Datenschutzkonferenz für Anbieter von Telemedien (aktuel version)