If\u00f8lge de nuv\u00e6rende cookieregler skal du indhente samtykke, f\u00f8r du m\u00e5 indsamle statistik om de bes\u00f8gende p\u00e5 dit website. Regler, der har givet anledning til bekymringer hos mange danske virksomheder, fordi et stort antal bes\u00f8gende siger nej til cookies, og dermed mister virksomhederne vigtig og v\u00e6rdifuld data om de bes\u00f8gende.<\/p>\n
Problemet bliver ikke mindre af, at myndigheder i andre lande tolker cookiereglerne mere lempeligt, og at mange virksomheder ikke f\u00f8lger reglerne og dermed opn\u00e5r en konkurrencefordel. Men nu er der godt nyt fra Erhvervsstyrelsen.<\/p>\n
Erhvervsstyrelsen udtaler i en pressemeddelelse d. 15. oktober 2021<\/a>, at de fremadrettet ikke vil prioritere tilsynet med hjemmesiders indhentning af simpel statistik. I pressemeddelelsen fremg\u00e5r det blandt andet, at:<\/p>\n I de aktuelle forhandlinger af en ny forordning om e-databeskyttelse bliver der lagt op til, at simple statistikcookies til trafikm\u00e5ling undtages fra samtykkekravet. […]\u00a0Erhvervsstyrelsen har derfor besluttet ikke at prioritere tilsynet med statistikcookies, s\u00e5fremt der er tale om cookies og lignende teknologier, der indsamler statistik til hjemmesideejerens egen brug, fx i form af trafikm\u00e5ling, som ikke bygger en brugerprofil af den bes\u00f8gende, eller hvor data gives videre til en tredjepart.<\/p><\/blockquote>\n De aktuelle forhandlinger, som Erhvervsstyrelsen henviser til, bygger blandt andet p\u00e5 et notat fra en arbejdsgruppe under EU<\/a>, der i 2012 fik til opgave at udarbejde anbefalinger til en revision af EU’s ePrivacy-direktiver. I anbefalingerne st\u00e5r f\u00f8lgende om statistikcookies:<\/p>\n However, the Working Party considers that first party analytics cookies are not likely to create a privacy risk when they are strictly limited to first party aggregated statistical purposes and when they are used by websites that already provide clear information about these cookies in their privacy policy as well as adequate privacy safeguards. Such safeguards are expected to include a user friendly mechanism to opt-out from any data collection and comprehensive anonymization mechanisms that are applied to other collected identifiable information such as IP addresses.<\/p><\/blockquote>\n Den nye ePrivacy-forordning skulle oprindeligt v\u00e6re tr\u00e5dt i kraft d. 25. maj 2018 samtidig med GDPR, men den er endnu ikke blevet vedtaget. Det skyldes blandt andet, at medlemslandende ikke har kunnet n\u00e5 til enighed om reglerne, og selvf\u00f8lgelig ogs\u00e5, at COVID-19 har fjernet en del af det politiske fokus fra en lang r\u00e6kke omr\u00e5der.<\/p>\n I et skriftligt svar til fagbladet Journalisten<\/a>\u00a0uddyber Erhvervsstyrelsen, at:<\/p>\n<\/div>\n<\/div>\n<\/div>\n Danske medier og hjemmesideejere i Danmark generelt er stadig underlagt reglerne i cookiebekendtg\u00f8relsen og GDPR. Erhvervsstyrelsen vil dog i en tilsynssag ikke forholde sig til simple statistikcookies, og det vil kunne have betydning for, hvordan danske medier og andre hjemmesideejere kan gennemf\u00f8re trafikm\u00e5linger.<\/p><\/blockquote>\n Det er med andre ord stadigv\u00e6k et lovkrav at indhente samtykke f\u00f8r brug af statistikcookies. Men udtalelsen fra erhvervsstyrelsen kan n\u00e6ppe tolkes p\u00e5 anden m\u00e5de end, at de nu vender det blinde \u00f8je til og stiltiende giver lov til indsamling af statistik uden samtykke \u2013 s\u00e5 l\u00e6nge en r\u00e6kke foruds\u00e6tninger (se herunder) er opfyldt.<\/p>\n Erhvervsstyrelsen kan som offentlig myndighed selvf\u00f8lgelig ikke direkte udtale, at danske virksomheder ikke beh\u00f8ver overholde dele af\u00a0cookiebekendtg\u00f8relsen. Udtalelsen om, at de “ikke vil prioritere tilsynet”, er nok den n\u00e6rmeste holdningstilkendegivelse, de kan give.<\/p>\n Den \u00e6ndrede praksis fra Erhvervsstyrelsen g\u00e6lder ikke alle statistikcookies, men alene simple statistikcookies til eget brug<\/em>. Lempelsen foruds\u00e6tter\u00a0samtidig, at du ikke bygger en brugerprofil af den bes\u00f8gende<\/em>, og at du\u00a0ikke videregiver data til en tredjepart<\/em>. Det er selvf\u00f8lgelig ogs\u00e5 et krav, at du overholder den g\u00e6ldende GDPR-lovgivning.<\/p>\n Udtalelsen fra Erhvervsstyrelsen er kortfattet og efterlader meget til fri fortolkning. Her er vores fortolkning af situationen, hvis du vil indsamle bes\u00f8gsstatistik uden samtykke:<\/p>\n GDPR omhandler virksomheders behandling af personoplysninger (dvs. enhver information om en identificeret person). Indsamling af statistik uden samtykke foruds\u00e6tter, at du ikke indsamler persondata. I statistiksammenh\u00e6nge drejer det sig typisk om:<\/p>\n Hvis du bruger Google Analytics 4, anonymiseres IP-adresser automatisk. Hvis du bruger en \u00e6ldre version af Google Analytics, skal du selv sl\u00e5 anonymisering af IP-adresser til (se guide<\/a>) \u2013 det har sj\u00e6ldent de store datam\u00e6ssige konsekvenser, udover at geografisk placering af de bes\u00f8gende p\u00e5 byniveau besv\u00e6rligg\u00f8res.<\/p>\n Persondata i webadresser kan eksempelvis forekomme, hvis du giver dine bes\u00f8gende mulighed for at oprette en konto, og brugernavnet indg\u00e5r i webadressen (eksempelvis website.dk\/konto\/brugernavn). Det kan ogs\u00e5 forekomme, hvis du i forbindelse med kampagner bruger persondata, eksempelvis mailadresser, som parametre i dine webadresser.<\/p>\n Erhvervsstyrelsen skriver, at lempelsen kun g\u00e6lder “simple statistikcookies” uden yderligere forklaring.\u00a0En s\u00f8gning efter “simple statistikcookies” p\u00e5 Google giver kun tre resultater, hvoraf alle tre er citater fra Erhvervsstyrelsens pressemeddelelse.<\/p>\n Vores vurdering er, at almindelige cookies fra g\u00e6nge statistiksystemer som Google Analytics og Adobe Analytics falder under kategorien “simple statistikcookies”.\u00a0Eksempler p\u00e5 statistiksystemer, som sandsynligvis ikke falder under kategorien, er:<\/p>\n Ovenn\u00e6vnte er naturligvis kun spekulationer, og vi kan ikke med sikkerhed vide, hvad Erhvervsstyrelsen ligger i begrebet “simple statikcookies”.<\/p>\n Indsamling af statistik uden samtykke foruds\u00e6tter, at du ikke videregiver data til tredjepart. Du m\u00e5\u00a0godt bruge et tredjepartsv\u00e6rkt\u00f8j som Google Analytics til indsamling af dataene, men du m\u00e5 som dataansvarlig ikke give dataene videre til Google.<\/p>\n Du kan forhindre datadeling til Google ved at \u00e6ndre dine indstillinger for datadeling i Google Analytics (se guide<\/a>). Indstillingerne giver dig mulighed for at udelukke Google fra at f\u00e5 adgang til dataene, eksempelvis i forbindelse med teknisk support.<\/p>\n Du b\u00f8r desuden undg\u00e5 at sammenkoble Google Analytics med\u00a0Googles markedsf\u00f8ringsv\u00e6rkt\u00f8jer som eksempelvis Google Ads. P\u00e5 den m\u00e5de sikrer du, at alle statistikdata udelukkende kan tilg\u00e5s via din Google Analytics-konto.<\/p>\n Indsamling af statistik uden samtykke foruds\u00e6tter, at du ikke opbygger brugerprofiler af de bes\u00f8gende. N\u00e5r Erhvervsstyrelsen taler om “opbygning af brugerprofiler”, mener de med al sandsynlighed sporing, der tilvejebringer oplysninger om k\u00f8n, aldersgruppe og interesser. Alts\u00e5 en type data, der typisk bruges i markedsf\u00f8rings\u00f8jemed.<\/p>\n Google Analytics giver mulighed for sporing af demografi og interesser. Denne type sporing indsamler oplysninger om dine bes\u00f8gendes alder og k\u00f8n samt de interesser, de giver udtryk for i deres rejse- og k\u00f8bsaktiviteter online. Du kan sl\u00e5 denne sporing fra \u2013 hvis du tidligere manuelt har sl\u00e5et den til \u2013 via dine kontoindstillinger (se guide<\/a>).<\/p>\n Ligesom Erhvervsstyrelsen kan vi selvf\u00f8lgelig ikke direkte opfordre dig til at bryde reglerne i cookiebekendtg\u00f8relsen. Men hvis du overholder foruds\u00e6tningerne n\u00e6vnt i forrige afsnit, er risikoen ved at indsamle statistik uden samtykke \u2013 og dermed bryde reglerne \u2013 minimeret eller m\u00e5ske helt ikke-eksisterende.<\/p>\n Hvis vi tager Erhvervsstyrelsens ord for gode varer \u2013 at de i en “tilsynssag ikke [vil] forholde sig til simple statistikcookies” \u2013 vil det ikke have nogen negativ konsekvens at bryde reglerne. Den eneste konsekvens vil v\u00e6re positiv: at du f\u00e5r adgang til mere pr\u00e6cist data, og at du nu bedre kan bruge data i Google Analytics som et retvisende beslutningsgrundlag, n\u00e5r du skal evaluere din digitale tilstedev\u00e6relse og effekten af dine digitale marketingindsatser.<\/p>\n Men tiden vil udtalelsen fra Erhvervsstyrelsen sandsynligvis blive uddybet og konkretiseret, s\u00e5 vi alle bliver en lille smule klogere p\u00e5, hvad de rent faktisk mener. Og en sk\u00f8nne dag \u2013 n\u00e5r EU-kommissionen er n\u00e5et til enighed \u2013 kommer der en ny og bedre ePrivacy-lovgivning fra EU.<\/p>\n
\nStatistikindsamling uden samtykke<\/h2>\n
Du skal overholde GDPR-lovgivningen<\/h3>\n
\n
Du m\u00e5 kun bruge simple statistikcookies<\/h3>\n
\n
Du m\u00e5 ikke videregive data til tredjepart<\/h3>\n
Du m\u00e5 ikke opbygge brugerprofiler af de bes\u00f8gende<\/h3>\n
\nHvad s\u00e5 nu?<\/h2>\n
Opdatering d. 30. oktober 2021<\/h3>\n