Samtykke eller berettiget interesse: slik avgjør du

I bransjen finnes det to leire. Den ene sier: Den som bare gjenkjenner bedrifter, trenger ikke samtykke, berettiget interesse holder. Den andre sier: Uten tilslutning i informasjonskapsel-banneret går ingenting. Begge sider har rett i en bit, fordi de snakker om forskjellige lag. Denne artikkelen skiller lagene og gir deg til slutt fem spørsmål å støtte deg på.

Den er en nøktern vurdering og ingen juridisk rådgivning. For ditt konkrete oppsett hører beslutningen hjemme hos personvernrådgivningen din.

Hva som gjelder først: tilgangen til sluttenheten

Før det gjelder GDPR, stilles et annet spørsmål: Får skriptet tilgang til den besøkendes enhet? ePrivacy-direktivet (art. 5 nr. 3) krever i prinsippet samtykke for lagring av informasjon i sluttenheten og for utlesing av slik informasjon. Unntatt er det som er teknisk nødvendig for tjenesten brukeren uttrykkelig har bedt om.

Dette er gjennomført i Tyskland i § 25 TDDDG og i Østerrike i § 165 Abs. 3 TKG 2021. Begge reglene gjelder uavhengig av om det til slutt oppstår personopplysninger. Avgjørende er selve tilgangen.

Det rammer mer enn informasjonskapsler:

• En oppføring i nettleserens øktlagring (sessionStorage) er en lagring i sluttenheten.
• Utlesing av skjermstørrelse og nettleserspråk er en utlesing av informasjon fra sluttenheten, selv om hver enkelt opplysning virker harmløs.
• Opptak av klikk og musebevegelser er uansett ikke noe en besøkende trenger for å få vist siden.

De tyske tilsynsmyndighetene har en streng linje her: Rekkeviddemåling og statistikk regnes som regel ikke som teknisk nødvendig. Den som bruker et skript som gjør slike tilganger, bør derfor gå ut fra at samtykke er nødvendig. Det er ikke et spørsmål om smak, men forutsetningen som må være på plass for at resten i det hele tatt nås.

Art. 6 nr. 1 bokstav a mot bokstav f

Først deretter kommer spørsmålet om hvilket rettslig grunnlag i GDPR den påfølgende behandlingen støtter seg på, så langt den er personhenførbar.

Om en IP-adresse i det hele tatt er en personopplysning, avklarer IP-adresse og GDPR: er den personopplysning?. Hvordan begge prøvingstrinnene henger sammen, viser Besøkergjenkjenning og GDPR: en nøktern vurdering.

Samtykke (bokstav a). Det må være frivillig, informert, bestemt og entydig. Det kan trekkes tilbake når som helst. Her er rettstilstanden klar så snart banneret er bygget rent.

Berettiget interesse (bokstav f). Her prøver du tre ting: Finnes det en berettiget interesse (for eksempel å innlede salg i B2B)? Er behandlingen nødvendig for det? Og går ikke de berørte personenes interesser eller grunnleggende rettigheter foran? Fortalepunkt 47 nevner som målestokk de registrertes rimelige forventninger. Direkte markedsføring kan etter samme fortalepunkt være en berettiget interesse.

Dertil kommer innsigelsesretten etter art. 21: De registrerte kan protestere mot behandling på bokstav f. Du må gjøre det praktisk mulig. Også informasjonspliktene etter art. 13 og 14 gjelder i begge tilfeller.

Hvorfor atferdsdata gjør avveiningen vanskeligere

En bedriftstilordning alene er for avveiningen ofte fortsatt godt å begrunne: Informasjonen er knapp. Formålet er klart. Det blir vanskeligere så snart atferd kommer til. Hvilke sider noen leser, hvor lenge vedkommende ruller og hvor det klikkes, sier mye om en person, selv om hun bare framstår som besøkende fra en bedrift. En musevideo viser enda mer. Jo finere observasjonen er, desto mindre venter de besøkende den. Tilsvarende vanskelig blir det å begrunne at din interesse går foran.

Dertil kommer et praktisk problem: Selv om du kunne vinne avveiningen, hjelper det deg ikke så lenge samtykkeplikten for tilgangen til enheten består. Samtykket er da uansett der. Mye taler for å bruke det også som rettslig grunnlag for behandlingen, i stedet for å pleie to grunnlag ved siden av hverandre.

Den praktiske veien: statistikkategori, skript først etterpå

Løsningen som i praksis oftest fungerer, er enkel:

1. Banneret ditt har en egen kategori, oftest «Statistikk» eller «Analyse».
2. Skriptet for besøkergjenkjenning laster først etter at den besøkende har sagt ja til denne kategorien.
3. Uten samtykke skjer det ingen tilgang til enheten og ingen forespørsel til tjenesten.

Teknisk går det via tag manager med Consent Mode eller via samtykkehåndteringen i banneret ditt. En veiledning for dette finner du i hjelpen under Samtykke i tag manager. Whovisit leverer for eksempel en tag-mal som venter på det gitte statistikksamtykket før den laster skriptet. For at veien skal bære, må banneret ditt imidlertid også faktisk gjengi kategorien og gi beslutningen rent videre til tag manager.

Også Google Analytics kjører som regel bak samme kategori. Hva Analytics avslører om bedrifter og hva ikke, står i Gjenkjenne bedrifter med Google Analytics: hva som går og ikke går.

Sveits: opt-out-logikk

I Sveits er utgangspunktet et annet. Telekommunikasjonsloven (art. 45c) krever at brukere informeres om behandlingen av data på enheten sin og kan avvise den. Det er altså en innsigelsesløsning i stedet for et forutgående samtykke. Den reviderte personvernloven (siden 1. september 2023) arbeider i prinsippet også med åpenhet og innsigelsesmulighet i stedet for en generell samtykkeplikt.

Har du besøkende fra Sveits og fra EU på samme side, gjelder likevel den strengere retten for EU-besøkende. Praktisk betyr det: Et enhetlig banner med samtykke er som regel den enkleste veien, også fordi du ikke sikkert kan skille besøkende etter land.

Din beslutningsvei i fem spørsmål

1. Får skriptet tilgang til enheten? (Lagring eller utlesing, også øktlagring, skjermstørrelse, språk.) Hvis ja, trenger du for DE og AT som regel samtykke. Videre til spørsmål 2.
2. Er tilgangen teknisk nødvendig for den ønskede visningen av siden? For statistikk og besøkergjenkjenning nesten alltid nei.
3. Har banneret ditt en kategori som passer til formålet? Hvis nei, tilpass det før du bygger inn skriptet.
4. Laster skriptet virkelig først etter samtykket? Kontroller i nettverksfanen i nettleseren din: Før samtykket skal ingen forespørsel gå til tjenesten.
5. Er informasjonen i personvernerklæringen fullstendig? Finnes det en vei til tilbakekall? Formål, behandlingsgrunnlag, mottaker, lagringstid.

Svarer du nei på spørsmål 1, kan du tenke på bokstav f. Det er ved fremgangsmåter med tilgang til sluttenheten i praksis sjeldent.

Kilder

• Direktiv 2002/58/EF (ePrivacy), art. 5 nr. 3
• GDPR, art. 6 nr. 1, art. 13, 14, 21 samt fortalepunkt 47
• § 25 TDDDG (Tyskland), § 165 Abs. 3 TKG 2021 (Østerrike)
• Art. 45c telekommunikasjonsloven (Sveits), personvernloven (Sveits) i versjonen fra 1. september 2023
• Veiledning fra Datenschutzkonferenz for leverandører av telemedier (gjeldende versjon)