Samtycke eller berättigat intresse: så avgör du

I branschen finns två läger. Det ena säger: Den som bara känner igen företag behöver inget samtycke, det berättigade intresset räcker. Det andra säger: Utan godkännande i cookiebannern går ingenting. Båda sidor har rätt på sitt sätt, eftersom de talar om olika skikt. Den här artikeln skiljer skikten åt och ger dig i slutet fem frågor att utgå från.

Den är en nykter bedömning och ingen juridisk rådgivning. För din konkreta uppsättning hör beslutet hemma hos din dataskyddsrådgivning.

Vad som gäller först: åtkomsten till slutenheten

Innan det handlar om GDPR uppstår en annan fråga: Kommer skriptet åt besökarens enhet? ePrivacy-direktivet (art. 5.3) kräver i princip ett samtycke för lagring av information i slutenheten och för läsning av sådan information. Undantaget är det som är tekniskt nödvändigt för den tjänst användaren uttryckligen har begärt.

Genomfört är det i Tyskland i § 25 TDDDG och i Österrike i § 165 Abs. 3 TKG 2021. Båda reglerna gäller oberoende av om personuppgifter till slut uppstår. Avgörande är själva åtkomsten.

Det träffar mer än cookies:

• En post i webbläsarens sessionslagring (sessionStorage) är en lagring i slutenheten.
• Att läsa skärmstorlek och webbläsarspråk är en läsning av information ur slutenheten, även om varje enskild uppgift verkar harmlös.
• Inspelningar av klick och musrörelser är i vilket fall inget som en besökare behöver för att sidan ska visas.

De tyska tillsynsmyndigheterna för en sträng linje i frågan: Räckviddsmätning och statistik gäller som regel inte som tekniskt nödvändiga. Den som använder ett skript som gör sådana åtkomster bör därför utgå från att ett samtycke krävs. Det är ingen smaksak utan förutsättningen utan vilken resten inte ens nås.

Art. 6.1 bokstav a mot bokstav f

Först därefter kommer frågan om vilken rättslig grund i GDPR den efterföljande behandlingen stöder sig på, i den mån den är personrelaterad.

Om en IP-adress över huvud taget är en personuppgift klargör IP-adress och GDPR: är den en personuppgift?. Hur båda prövningsstegen hänger ihop visar Besöksigenkänning och GDPR: en nykter bedömning.

Samtycke (bokstav a). Det måste vara frivilligt, informerat, bestämt och otvetydigt. Det går att återkalla när som helst. Rättsläget är därvid tydligt så snart bannern är rent byggd.

Berättigat intresse (bokstav f). Här prövar du tre saker: Finns ett berättigat intresse (till exempel inledande av försäljning i B2B)? Är behandlingen nödvändig för det? Och väger inte de berörda personernas intressen eller grundläggande rättigheter tyngre? Skäl 47 nämner som måttstock de registrerades rimliga förväntningar. Direktmarknadsföring kan enligt samma skäl vara ett berättigat intresse.

Därtill kommer rätten att invända enligt art. 21: Registrerade kan invända mot behandling som stöder sig på bokstav f. Du måste göra det praktiskt möjligt. Också informationsskyldigheterna enligt art. 13 och 14 gäller i båda fallen.

Varför beteendeuppgifter försvårar avvägningen

En företagskoppling ensam är för avvägningen ofta ännu lätt att motivera: Informationen är knapp. Ändamålet är tydligt. Det blir svårare så snart beteende tillkommer. Vilka sidor någon läser, hur länge hon scrollar och var hon klickar säger mycket om en person, även om hon bara syns som besökare från ett företag. En musvideo visar ännu mer. Ju finare observationen är, desto mindre väntar sig besökarna den. Desto svårare blir det att motivera att ditt intresse väger tyngre.

Därtill kommer ett praktiskt problem: Även om du kunde vinna avvägningen hjälper det dig inte så länge samtyckeskravet för åtkomsten till enheten finns. Samtycket finns då ändå. Mycket talar för att också använda det som rättslig grund för behandlingen, i stället för att sköta två grunder sida vid sida.

Den praktiska vägen: statistikkategori, skript först därefter

Lösningen som oftast fungerar i praktiken är enkel:

1. Din banner har en egen kategori, oftast „Statistik“ eller „Analys“.
2. Skriptet för besöksigenkänning laddas först när besökaren har godkänt den kategorin.
3. Utan godkännande sker ingen åtkomst till enheten och ingen förfrågan till tjänsten.

Tekniskt går det via din tag manager med Consent Mode eller via samtyckeshanteringen i din banner. En anvisning för det hittar du i hjälpen under Samtycke i tag manager. Whovisit levererar till exempel en tagmall som väntar på det lämnade statistiksamtycket innan den laddar skriptet. För att vägen ska bära måste din banner dock verkligen avbilda kategorin och föra beslutet rent vidare till tag manager.

Också Google Analytics körs som regel bakom samma kategori. Vad Analytics avslöjar om företag och vad det inte gör står i Känna igen företag med Google Analytics: vad som går och inte går.

Schweiz: opt-out-logik

I Schweiz är utgångsläget ett annat. Telekommunikationslagen (art. 45c) kräver att användare informeras om behandlingen av uppgifter på deras enhet och kan avvisa den. Det är alltså en invändningslösning i stället för ett föregående samtycke. Den reviderade dataskyddslagen (sedan 1 september 2023) arbetar i princip också med transparens och invändningsmöjlighet i stället för en generell samtyckesplikt.

Har du besökare från Schweiz och EU på samma sida gäller för EU-besökarna ändå den strängare rätten. Praktiskt betyder det: En enhetlig banner med samtycke är oftast den enklaste vägen, också för att du inte säkert kan skilja besökare åt efter land.

Din beslutsväg i fem frågor

1. Kommer skriptet åt enheten? (Lagring eller läsning, även sessionslagring, skärmstorlek, språk.) Om ja behöver du för DE och AT som regel ett samtycke. Vidare till fråga 2.
2. Är åtkomsten tekniskt nödvändig för den önskade visningen av sidan? Vid statistik och besöksigenkänning nästan alltid nej.
3. Har din banner en kategori som passar ändamålet? Om nej, anpassa den innan du bygger in skriptet.
4. Laddas skriptet verkligen först efter godkännandet? Kontrollera i webbläsarens nätverksflik: Före godkännandet får ingen förfrågan gå till tjänsten.
5. Är informationen i dataskyddsinformationen fullständig? Finns det en väg till återkallelse? Ändamål, rättslig grund, mottagare, lagringstid.

Svarar du nej på fråga 1 kan du fundera på bokstav f. Det är vid förfaranden med åtkomst till slutenheten praktiskt sällsynt.

Källor

• Direktiv 2002/58/EG (ePrivacy), art. 5.3
• GDPR, art. 6.1, art. 13, 14, 21 samt skäl 47
• § 25 TDDDG (Tyskland), § 165 Abs. 3 TKG 2021 (Österrike)
• Art. 45c telekommunikationslagen (Schweiz), dataskyddslagen (Schweiz) i lydelsen av den 1 september 2023
• Vägledning från Datenschutzkonferenz för leverantörer av telemedier (aktuell version)