Hva er et cookie-banner?

Hva er reglene for bruk av cookie-banner? Og hvordan får du et cookie-banner som både overholder reglene – og ikke går på akkord med nettstedets funksjoner?

Det er ganske sannsynlig at du har sett et cookie-banner før. I løpet av de siste årene har bruken av cookie-banner på nettsteder, med informasjon om innhenting av samtykker og lagring av cookies, økt drastisk. Disse pop-upene er et resultat av ePrivacy-direktivet fra 2002, også kjent som den europeiske cookie-loven. Men hvis man blir spurt om: hvorfor du trenger en cookie-banner, vil de fleste referere til GDPR. Så, hvis du er en webmaster eller en del av et markedsføringsteam, og lurer på hvorfor du bør ha en cookie-banner på ditt nettsted, vil denne artikkelen forklare nettopp dette.

Hva er et Cookie-banner?

Et cookie-banner fungerer som en pop-up på ditt nettsted, og informerer brukerne dine om at du bruker cookies. Du har sikkert lagt merke til dem. “Vi bruker cookies, dersom du fortsetter, aksepterer du dette”. Men det er ikke nok at et cookie-banner bare gir en bemerkning om cookies. Det skal også være en samtykke pop-up. Hvorfor? Fordi når du bruker cookies, og spesielt cookies som innhenter dine brukeres personlige data, er det noen personvernregler som må overholdes. De fleste av disse reglene regulerer prosessen av personlig informasjon. Og det er dette de fleste cookies innhenter: Personlig data om dine besøkende, som brukes til markedsføringsformål.

Hva er en cookie?

La oss først ta en rask titt på hva cookies er, og hvorfor de er underlagt visse regler. Cookies er små tekstfiler lagret i brukerens nettleser på nettstedet ditt. Disse filene inneholder for eksempel informasjon om brukerens språkinnstillinger og varer i handlekurven, og kan også oppbevare data som personlig identifiserbar informasjon. Cookies gjør egentlig to ting: De forbedrer brukeropplevelsen på ditt nettsted, og de sporer brukeratferd for å skreddersy profiler til markedsføringsformål. Personlig data inkluderer nettidentifisering, enhets-ID, bruker-ID, IP-adresse osv. Som regel plasseres cookies også på brukerens datamaskin og mobil, via ulike tjenester. Og siden cookies innhenter informasjon om dine brukere som direkte eller indirekte kan identifisere brukeren, er dette personlig informasjon og derfor underlagt loven. Vi har skrevet mer om cookies her.
Lenke: Hva er en cookie
Men hva sier egentlig personvernloven om cookies?

Cookie-bannere og juridiske krav

Trenger jeg virkelig et cookie-banner? Ja, dersom nettstedet ditt bruker cookies – både dine egne og fra tredjeparter – må du ha et cookie-banner. Kravene kommer i hovedsak fra det europeiske ePrivacy-direktivet (“cookie-loven”) fra 2002, men General Data Protection Regulation (GDPR) spiller også en stor rolle. Når vi ser nærmere på de nåværende personvernreglene, krever ePrivacy-direktivet at nettsteder innhenter velinformert samtykke til cookies og andre sporingsteknologier. Dette betyr at du kun er pålagt å informere dine brukere om cookies før de aktiveres. Imidlertid har GDPR endret på dette. Siden de fleste cookies innhenter dine besøkendes personlige informasjon (IP-adresse, geografisk informasjon, enhets-ID, bruker-ID osv.), og behandler dataene primært til markedsføringsformål, tar GDPR over. GDPR handler egentlig ikke om cookies, men om de data som cookies og andre sporingsteknologier behandler (f.eks. fingeravtrykk). I henhold til GDPR er du pålagt å innhente gyldig samtykke hos brukeren før behandling av personlig data, innhentet gjennom f.eks. cookies. Så, hva bør et cookie-banner inneholde?

For at et samtykke skal være gyldig må det være:

Du kan lese mer om EUs cookie-regelverk her:
Lenke: 3 EU cookie-regler du bør kjenne til.

EU-domstolens avgjørelse om cookies

1. november 2019 avgjorde EU-domstolen – i saken mot det tyske nett-lotteriet Planet49, at alle nettsteder som bruker cookies må ha et cookie-banner som innhenter gyldige samtykker før cookies brukes. Dessuten kan ikke samtykke av cookies være forhåndsutfylt. Lenke: EU-domstolen sier at aktive samtykker kreves for sporing av cookies.
Dessuten kan ikke samtykke av cookies være forhåndsutfylt.

Lenke: EU-domstolen sier at aktive samtykker kreves for sporing av cookies.

Hva skal en cookie-banner inneholde?

For det første er de juridiske kravene for et cookie-banner ganske enkle. Et cookie-banner skal gi brukeren:

Denne informasjonen må også være tilgjengelig i din cookie-politikk. Og viktigst av alt: Cookie-banneret må gi brukeren mulighet til å enten akseptere eller avvise din bruk av cookies. Brukeren din må få valget til å kunne si, “cookies, nei takk”. Det er hele poenget med samtykket. Når du har fått din brukers samtykke, må du sørge for at det oppbevares på en sikker måte. Dette er for dokumentasjon til Datatilsynet ved eventuelt tilsyn. Det franske datatilsynet CNIL er for eksempel svært aktive. Lenke: CNIL to enforce cookie rules

Her er et eksempel på hvordan et lovmessig cookie-banner kan se ut. Lenke: Sjekkliste for å innhente gyldig samtykke.
Hva skal en cookie-banner inneholde?
For det første er de juridiske kravene for et cookie-banner ganske enkle. Et cookie-banner skal gi brukeren:
Tydelig informasjon om hvilke cookies eller andre tracking teknologier du bruker;
Hvem som eier cookies (kanskje deg eller en tredjepart);
Og hvor lenge dine cookies oppbevares i brukerens nettleser.
Denne informasjonen må også være tilgjengelig i din cookie-politikk. Og viktigst av alt: Cookie-banneret må gi brukeren mulighet til å enten akseptere eller avvise din bruk av cookies. Brukeren din må få valget til å kunne si, “cookies, nei takk”. Det er hele poenget med samtykket. Når du har fått din brukers samtykke, må du sørge for at det oppbevares på en sikker måte. Dette er for dokumentasjon til Datatilsynet ved eventuelt tilsyn. Det franske datatilsynet CNIL er for eksempel svært aktive. Lenke: CNIL to enforce cookie rules

Må jeg innhente samtykke før jeg bruker cookies?

Ja! ePrivacy-direktivet (artikkel 5(3)) krever en informert forhåndsgodkjenning til cookies, for oppbevaring eller tilgang til informasjon lagret på en brukers enhet. Med andre ord må du spør om dine brukere aksepterer dine cookies (og andre tracking teknologier), før disse brukes.

Medlemslandene skal sørge for at lagring av informasjon, eller tilgangen til informasjon som allerede er lagret, i enheten til brukeren, kun er tillatt dersom brukeren har avgitt et gyldig samtykke, og har fått klar og utfyllende informasjon (..) om formålet av behandlingen.

ePrivacy Directive 2002, revised 2009 pp. 26 article 5(3)

Dette skal selvsagt ikke hindre deg i å bruke teknisk nødvendige cookies. Dette gjelder cookies som er nødvendige for at nettsiden skal fungere. Lenke: Hvordan vet jeg hvilke cookies mitt nettsted bruker?
Likevel har kravene til samtykke blitt styrket av GDPR. Når dine cookies innhenter brukeres personlige data, er du pålagt å innhente gyldig samtykke før ditt nettsted lagrer eller får tilgang til cookies. Dette fremgår av Artikkel 6(1)(a): Behandling er kun lovlig dersom:

Brukeren har gitt samtykke til behandling av hans eller hennes personlige data til en eller flere spesifikke formål.

General Data Protection Regulation 2016, Article 6(1)

Les mer om forhåndsgodkjenning av cookies her:
Lenke: Hva er forhåndsgodkjenning av cookies?

Hvem gjelder GDPR for?

GDPR gjelder for alle som ønsker å behandle personlig data til en EU/EØS-borger, uansett om behandlingen foregår i EU/EØS eller ikke. Med andre ord kan du ha et nettsted hvor som helst i verden – Italia, Russland, Chile, Togo – men dersom nettstedet selger varer eller tjenester til en EU/EØS-borger, og i prosessen også innhenter EU/EØS-borgerens personlige data, gjelder reglene for GDPR. Men hva sier alle de andre internasjonale reglene om cookies og cookie-bannere?

Denne forskriften [GDPR] gjelder for behandling av personopplysninger av brukere som er i EU, av en databehandler som ikke befinner seg i EU, hvor behandlingen er relatert til: (a) tilbud om varer eller tjenester, uavhengig om det kreves betaling fra brukeren, til en bruker i EU; eller (b) overvåking av deres atferd så langt deres atferd foregår innenfor EU. 3.

GDPR Article 3(2) Territorial scope

Andre viktige regelverk for cookie-bannere

Cookie-bannere og CCPA
California Consumer Privacy Act (CCPA) er en personvernlov utformet for å fremme personvern og forbrukerbeskyttelse av innbyggerne i California, USA. CCPA kontrollerer hvordan bedrifter innhenter, deler og behandler personlig informasjon (PI) av innbyggerne i California. Du kan lese mer her:
Lenke: Hva er CCPA?

Cookie-bannere og PDPA
PDPA er Thailand’s Personvernlov fra 2019. Regelverket trådte i kraft 1. juni 2021. PDPA ligner på GDPR, da det gjelder for behandling av personlig data som cookies innhenter og lagrer på brukeres enheter, dvs. deres datamaskiner, nettbrett og smarttelefoner. PDPA setter regler for hvordan eiere av nettsteder og apper får innhente og behandle deres brukeres personlige data, f.eks. gjennom bruk av cookies. Du kan lese mer her:
Lenke: PDPA og cookies

Cookie-bannere og LGPD LGPD, eller Lei Geral de Protecao de Dados, er Brasil’s versjon av EUs GDPR. LPGD gjelder for enhver bedrift, organisasjon eller person som behandler personlig data til innbyggere i Brasil, uansett hvor bedriften, organisasjonen eller personen oppholder seg. Dette gjelder også for cookies og cookie-bannere. Du kan lese mer om LGPD her: Lenke: Hva er LGPD?

Hvordan fungerer et cookie-banner?

Et cookie-banner lager en pop-up når brukeren besøker et nettsted for første gang. Det gir brukeren informasjon om de cookies som benyttes av det pågjeldende nettstedet. Denne informasjonen kan automatisk lages av profesjonelle løsninger og oppdateres for eksempel daglig eller ukentlig. Et godt cookiebanner sørger også for at du overholder personvernreglene, ved å unngå bruk av cookies før brukeren har avgitt samtykke til dette. Du kan bruke de data du innhenter via samtykker til å optimere ditt cookie-banner, og dermed øke samtykkeraten på ditt nettsted.

Hvordan kan Cookie Information hjelpe deg?

Vi har en av Europas mest benyttede samtykkeløsninger, og kan tilby deg førsteklasses cookie-bannere som overholder GDPR og cookie-reglene. Våre bannere er samtykke pop-uper som overholder ePrivacy, CCPA, LGPD, PDPA og øvrige personvernregler. Våre cookie pop-uper kan enkelt skreddersys og tilpasses din bedrifts farger, logo og visuelle identitet. Det du får er en lovmessig samtykkeløsning som bygger tillit hos dine brukere. Nå som vi er en del av Trusted Google Partners, får du også programmet Consent Mode, slik at du kan optimere data selv om brukeren avviser cookies. Akseptraten til cookies ved bruk av våre cookie-bannere er i gjennomsnitt 73.88%, men vi har også nettsteder med over 90%. Og med Googles nye funksjon Conversion Modeling med Consent Mode, kan Google forutsi klikk-til-konvertering på annonser på opp til 70% av brukerne som avviser cookies.
Lenke: Hva er Conversion modeling?