Ny EU-dom om internetsiders brug af cookies

Kravene til, hvordan hjemmesideudbydere skal indhente samtykke fra besøgende på hjemmesiden til placering af cookies er et af omdrejningspunkterne i en ny EU-dom afsagt den 1. oktober 2019.

I den konkrete sag, der angik en internetkonkurrence organiseret af en tysk virksomhed, var afkrydsningsfeltet til accept af cookies krydset af i forvejen. Hvis brugeren af hjemmesiden ikke aktivt fravalgte afkrydsningen, gav brugeren dermed samtykke til hjemmesidens placering af cookies, herunder placering af såkaldte ”tracking cookies”, der kan følge brugeren af hjemmesiden rundt på nettet igennem flere browser-sessioner (i modsætning til de såkaldte ”session cookies”, der ophører ved i løbet af eller ved udgangen af en browser-session).

Spørgsmålet var herefter, om det forhåndsafkrydsede acceptfelt til hjemmesidens placering af cookies udgjorde et gyldigt samtykke efter reglerne om cookies.

Tre vigtige pointer fra EU-Domstolens afgørelse

EU-domstolen afviser i sin afgørelse, at udbydere af hjemmesider kan placere cookies ved brug af ”passivt samtykke”, herunder ved brug af en forhåndsafkrydset acceptfelt som i den konkrete sag. Der skal med andre ord en aktiv handling fra brugeren til, før samtykket er gyldigt og det skal objektivt kunne afgøres, om brugeren har givet sit samtykke.  

DI Handel har i en meddelelse om den ændrede praksis om brug af cookies på internetsider, oplistet tre vigtige pointer fra EU-Domstolens afgørelse:

• Et samtykke er ikke gyldigt, hvis brugeren skal fravælge et forhåndsafkrydset felt. Passivt samtykke er ikke et gyldigt samtykke til placering af cookies. Der skal en aktiv handling til, som er udslag af brugerens egen frie vilje.

• Cookie-reglerne gælder, uanset om der behandles persondata eller ej ved placering af cookies på hjemmesidebrugernes computer eller andet digitale udstyr.

• Det er et krav, at brugerne oplyses om hjemmesidens brug af cookies, herunder om formålene med cookies, adgangen til at afslå cookies samt vejledning om, hvordan slutbrugeren anvender en sådan adgang samt oplysning om hvem, der sætter cookies på hjemmesiden (inkl. tredjeparter/tredjepartscookies).

Du kan læse hele EU-domstolens afgørelse her.

Kommende ny forordning

Der verserer mellem EU-Kommissionen, Rådet og EU-parlamentet trepartsforhandlinger med henblik på at vedtage en ny forordning vedrørende respekt for privatlivets fred og beskyttelse af persondata ved kommunikation på internetsider, der skal erstatte ”e-privacy”-direktivet fra 2002.

Forslaget er fortsat under forhandling og dets betydning for de gældende cookieregler og forventet ikrafttrædelsestidspunkt kendes derfor endnu ikke nøjagtigt.

Lund Elmer Sandagers kommentarer

EU-dommens bekræftelse af, at der kræves en aktiv handling hos brugeren af en internetside til accept af cookies, er i fin tråd med de krav til samtykke, der gælder på persondataområdet, herunder kravene til frivilligt og utvetydigt samtykke ifølge GDPR.

EU-Dommen er alligevel væsentlig, da Erhvervsstyrelsens vejledning om cookies fra 2013 kan tolkes på den måde, at samtykke til placering af cookies kan indhentes på andre måder end et udtrykkeligt, aktivt samtykke, herunder ved (aktiv) brug af en hjemmeside, der anvender cookies.

Med EU-dommen er der ikke længere tvivl om, at placering af cookies på brugernes computerudstyr kræver aktivt samtykke.

I lyset af den nye EU-dom anbefaler vi, at virksomheder, der anvender cookies på deres hjemmeside, gennemgår deres proces for indhentelse og dokumentation af samtykke fra brugerne af hjemmesiden til at anvende cookies. I den forbindelse er det vigtigt at bemærke, at der stadig er visse forskelle på et samtykke efter cookie-reglerne og et samtykke ifølge GDPR. F.eks. er det ikke et krav, at hjemmesider kan fungere uden brug af cookies eller lignende teknologier, hvorfor brugerens afvisning af cookies i sidste ende kan medføre, at den eneste mulighed er at forlade hjemmesiden.

Har du brug for rådgivning om GDPR og for hjælp til at sikre, at du overholder reglerne i forhold til cookies på internetsider, er du velkommen til at Lund Elmer Sandagers specialister i GDPR og databeskyttelse, advokat Anders Linde Reislev eller associeret partner, advokat Torsten Hylleberg.