Cookiebanner og GDPR: hvad kræver loven egentlig?

Reglerne er ikke så indviklede, som folk tror. De er bare anderledes, end de fleste hjemmesider opfører sig. Vi er ikke advokater, men det her er de spørgsmål, vi bliver stillet, og hvad reglerne siger.

Skal jeg overhovedet have et cookiebanner?

Kun hvis din side sætter cookies, der ikke er teknisk nødvendige. Teknisk nødvendige cookies — login, indkøbskurv, sprogvalg — kræver ikke samtykke.

Har din side hverken statistik, annoncering eller indlejrede videoer, skal du ikke have et banner. Og så slipper dine besøgende for at klikke sig forbi noget, ingen af jer ønsker.

Men alle andre har jo et?

Ja, fordi alle andre har Google Analytics. Det er valget, ikke loven, der skaber bannerret.

Hvornår må cookien sættes?

Efter samtykket, aldrig før. Det er her de fleste sider fejler: bannerret vises, mens sporingen allerede kører i baggrunden. Så er samtykket meningsløst, og overtrædelsen er sket, før nogen nåede at trykke.

Skal "afvis" være lige så nemt som "accepter"?

Ja. Det står direkte i vejledningen: det skal altid være lige så nemt at afvise som at give samtykke.

Et banner med en stor grøn "Accepter alle" og et lille gråt link til "Indstillinger", hvor man skal klikke tre gange for at sige nej, lever ikke op til det. Det er samtidig det mest udbredte design i Danmark.

Må boksene være krydset af på forhånd?

Nej. Forudafkrydsede felter og skydere, der står på "til", er ikke gyldigt samtykke. Brugeren skal foretage et aktivt valg.

Må jeg spærre siden, indtil folk siger ja?

En "cookievæg" uden et rimeligt alternativ er som udgangspunkt ikke gyldigt samtykke. Samtykke skal være frivilligt, og det er det ikke, hvis prisen for at sige nej er at blive lukket ude.

Skal jeg kunne bevise det?

Ja. Du skal kunne dokumentere hvad samtykket dækkede, hvornår det blev givet, og hvilken løsning der blev brugt. Det er derfor de fleste bruger en samtykkeløsning frem for at bygge banneret selv.

Hvem holder øje?

Digitaliseringsstyrelsen fører tilsyn med cookiereglerne, i samarbejde med Datatilsynet, som tager sig af persondata i øvrigt. Det er ikke et område, der ligger stille — der er givet påbud til meget store aktører.

Den nemme vej ud

Den enkleste måde at overholde cookiereglerne på er at lade være med at sætte cookies, der kræver samtykke.

Det lyder som en spøg, men det er en reel mulighed for langt de fleste firmahjemmesider. Hvad du giver afkald på, er Google Analytics. Hvad du får: ingen banner, hurtigere side, ingen dokumentationspligt, og et privatlivsafsnit, der er sandt uden at nogen skal formulere sig uden om noget.

Vil du stadig vide, hvor mange der besøger siden, findes der statistikværktøjer, der ikke bruger cookies og ikke følger den enkelte person. Så er du tilbage i den kategori, der ikke skal spørge om lov.

Det her er ikke juridisk rådgivning. Er du i tvivl om din konkrete situation, så få en advokat til at kigge på den — det er billigere end et påbud.