De nuvarande reglerna för kakor
Enligt de nuvarande reglerna för cookies måste du få samtycke innan du kan samla in statistik om besökare på din webbplats. Regler som har väckt oro bland många danska företag eftersom ett stort antal besökare tackar nej till cookies och företagen förlorar viktig och värdefull information om besökarna.
Problemet blir inte mindre av att myndigheterna i andra länder tolkar kakreglerna mildare, och många företag följer inte reglerna och får på så sätt en konkurrensfördel. Men nu finns det goda nyheter från den danska näringslivsmyndigheten.
Vad säger den danska näringslivsmyndigheten?
Danska näringslivsmyndigheten i ett pressmeddelande av den 15 oktober 2021.att de inte kommer att prioritera övervakningen av webbplatsers insamling av enkel statistik i framtiden. I pressmeddelandet sägs bland annat följande:
I de pågående förhandlingarna om en ny förordning om integritet och elektronisk kommunikation planeras det att enkla statistiska cookies för trafikmätning ska undantas från kravet på samtycke. [...] Näringslivsmyndigheten har därför beslutat att inte prioritera övervakningen av statistiska cookies när det gäller cookies och liknande teknik som samlar in statistik för webbplatsägarens eget bruk, t.ex. i form av trafikmätning, som inte bygger upp en användarprofil av besökaren eller där uppgifter lämnas vidare till en tredje part.
De pågående förhandlingar som den danska näringslivsmyndigheten hänvisar till grundar sig bland annat på följande en kommentar från en EU-arbetsgruppsom 2012 fick i uppdrag att lämna rekommendationer för en översyn av EU:s direktiv om integritet och elektronisk kommunikation. Rekommendationerna innehåller följande om statistiska kakor:
Arbetsgruppen anser dock att analyscookies från första part sannolikt inte skapar någon risk för den personliga integriteten när de är strikt begränsade till aggregerade statistiska ändamål från första part och när de används av webbplatser som redan ger tydlig information om dessa cookies i sin integritetspolicy och som har tillräckliga integritetsskyddsåtgärder. Sådana skyddsåtgärder förväntas omfatta en användarvänlig mekanism för att välja bort all datainsamling och omfattande anonymiseringsmekanismer som tillämpas på annan insamlad identifierbar information, t.ex. IP-adresser.
Den nya förordningen om integritet och elektronisk kommunikation skulle ursprungligen ha trätt i kraft den 25 maj 2018 samtidigt som dataskyddsförordningen, men den har ännu inte antagits. Detta beror delvis på att medlemsstaterna inte har kunnat enas om reglerna, och COVID-19 har naturligtvis tagit bort en del av det politiska fokuset från ett stort antal områden.
I och skriftligt svar till tidskriften Journalisten Erhvervsstyrelsen utvecklar detta:
Danska medier och webbplatsägare i Danmark i allmänhet omfattas fortfarande av reglerna i Cookie Order och GDPR. I ett tillsynsärende kommer den danska näringslivsmyndigheten dock inte att behandla enkla statistikcookies, vilket kan påverka hur danska medier och andra webbplatsägare kan genomföra trafikmätningar.
Med andra ord är det fortfarande ett juridiskt krav att få samtycke innan man använder statistiska cookies. Men uttalandet från den danska näringslivsmyndigheten kan knappast tolkas på något annat sätt än att de nu blundar och underförstått tillåter insamling av statistik utan samtycke - så länge ett antal villkor (se nedan) uppfylls.
Som offentlig myndighet kan den danska näringslivsmyndigheten naturligtvis inte direkt säga att danska företag inte behöver följa delar av kakförordningen. Uttalandet att de "inte kommer att prioritera övervakning" är förmodligen det närmaste de kan komma.
Insamling av statistik utan samtycke
Den ändrade praxisen från den danska näringslivsmyndigheten gäller inte alla statistikkakor, utan endast enkla statistikcookies för din egen användning. För att få hjälp krävs också att du bygger inte upp en användarprofil av besökarenoch att du inte lämnar ut uppgifter till tredje part. Naturligtvis är det också ett krav att du följer den tillämpliga GDPR-lagstiftningen.
Uttalandet från den danska näringslivsmyndigheten är kortfattat och lämnar mycket utrymme för tolkning. Här är vår tolkning av situationen om du vill samla in besöksstatistik utan samtycke:
Du måste följa GDPR-lagstiftningen
Dataskyddsförordningen handlar om företags behandling av personuppgifter (dvs. all information om en identifierad person). Att samla in statistik utan samtycke innebär att du inte samlar in personuppgifter. I statistiska sammanhang innebär detta vanligtvis:
- IP-adresser
- Personuppgifter i webbadresser
Om du använder Google Analytics 4 anonymiseras IP-adresserna automatiskt. Om du använder en äldre version av Google Analytics måste du själv aktivera IP-anonymisering (se vägledning) - detta har sällan några större konsekvenser för data, förutom att det försvårar den geografiska lokaliseringen av besökare på stadsnivå.
Personuppgifter i webbadresser kan till exempel förekomma om du låter dina besökare skapa ett konto och användarnamnet ingår i webbadressen (t.ex. website.dk/account/username). Det kan också hända om du använder personuppgifter, t.ex. e-postadresser, som parametrar i webbadresser för kampanjer.
Du får endast använda enkla statistikcookies
Den danska näringslivsmyndigheten skriver att lättnaden endast gäller "enkla statistikkakor" utan ytterligare förklaring. En sökning på "simple statistics cookies" på Google ger endast tre resultat, som alla tre är citat från Näringslivsmyndighetens pressmeddelande.
Vår bedömning är att vanliga cookies från vanliga statistiksystem som Google Analytics och Adobe Analytics faller under kategorin "enkla statistiska cookies". Exempel på statistiska system som sannolikt inte faller in i denna kategori är:
- Hotjar - visualiserar användarnas rörelser och handlingar på din webbplats.
- Facebook Pixel - gör det möjligt att bygga upp en målgrupp på Facebook och andra ställen.
- LinkedIn Insights - gör det möjligt att bygga upp en målgrupp på LinkedIn och andra ställen.
- Leadfeeder - visar vilka specifika företag som besöker din webbplats.
Ovanstående är naturligtvis bara spekulationer, och vi kan inte veta säkert vad den danska näringslivsmyndigheten menar med termen "enkla statiska cookies".
Du får inte lämna ut uppgifter till tredje part.
Insamling av statistik utan samtycke kräver att du inte lämnar ut uppgifter till tredje part. Du kan använda ett tredjepartsverktyg som Google Analytics för att samla in uppgifterna, men som personuppgiftsansvarig får du inte överföra uppgifterna till Google.
Du kan förhindra att data delas med Google genom att ändra inställningarna för datadelning i Google Analytics (se vägledningInställningarna gör det möjligt för dig att utesluta Google från att få tillgång till uppgifterna, till exempel för teknisk support.
Du bör också undvika att koppla samman Google Analytics med Googles marknadsföringsverktyg, till exempel Google Ads. Detta säkerställer att alla statistiska uppgifter endast kan nås via ditt Google Analytics-konto.
Du får inte bygga upp användarprofiler av besökare.
Insamling av statistik utan samtycke kräver att du inte skapar användarprofiler av besökare. När den danska näringslivsmyndigheten talar om att "bygga upp användarprofiler" menar de förmodligen spårning, som ger information om kön, åldersgrupp och intressen. Med andra ord, en typ av uppgifter som vanligtvis används i marknadsföringssyfte.
Google Analytics gör det möjligt att spåra demografiska uppgifter och intressen. Den här typen av spårning samlar in information om dina besökares ålder och kön, samt de intressen som de uttrycker i sina resor och inköp online. Du kan stänga av denna spårning - om du tidigare har aktiverat den manuellt - via dina kontoinställningar (se vägledning).
Vad händer nu?
Precis som Näringslivsmyndigheten kan vi naturligtvis inte direkt uppmana dig att bryta mot reglerna i Cookieförordningen. Men om du följer de villkor som nämns i föregående avsnitt är risken för att samla in statistik utan samtycke - och därmed bryta mot reglerna - minimerad eller kanske obefintlig.
Om vi tar den danska näringslivsmyndighetens ord på allvar - att de i ett "tillsynsärende inte kommer att behandla enkla statistikkakor" - kommer det inte att få några negativa konsekvenser om man bryter mot reglerna. Den enda positiva konsekvensen är att du får tillgång till mer exakta data och att du nu bättre kan använda data i Google Analytics som ett korrekt beslutsunderlag när du utvärderar din digitala närvaro och effekten av dina digitala marknadsföringsinsatser.
Men med tiden kommer förmodligen uttalandet från den danska näringslivsmyndigheten att utvecklas och konkretiseras, så att vi alla blir lite tydligare om vad de faktiskt betyder. Och en dag - när EU-kommissionen har nått en överenskommelse - kommer det att finnas en ny och bättre ePrivacy-lag från EU.
Uppdatering den 30 oktober 2021
Den danska näringslivsmyndigheten har i ett nytt pressmeddelande förtydligade sitt tidigare tillkännagivande. I pressmeddelandet skriver de bland annat att:
Statistiska cookies, som till exempel erbjuds av kostnadsfria analysverktyg, där dessa tredje parter också har tillgång till att använda de insamlade uppgifterna, kommer att fortsätta att vara en prioritet för styrelsens tillsyn. Bestämmelserna i dataskyddsförordningen och dataskyddslagen fortsätter således att gälla i den mån personuppgifter om webbplatsbesökare samlas in och behandlas.
Det nya yttrandet tillför inget nytt, utan understryker bara att du måste uppfylla de villkor som nämns tidigare i detta inlägg om du vill samla in statistik utan samtycke.
