Hvorfor undtagelsen er vigtig

Efter ePrivacy-direktivet (artikel 5, stk. 3) kræver det normalt forudgående samtykke at gemme eller læse oplysninger på en brugers enhed. Der er to undtagelser, og den, udgivere oftest støtter sig til, gælder lagring, der er strengt nødvendig for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om. Alt, hvad denne undtagelse ikke dækker, hører hjemme bag dit samtykkebanner.

Mange websteder strækker undtagelsen til også at omfatte analyse, A/B-test, frekvensbegrænsning af annoncer og personalisering. Myndighederne har gentagne gange afvist den læsning, så det betaler sig at forstå præcis, hvor grænsen går.

Den todelte test

Undtagelsen handler ikke om, hvad der er praktisk for dig. Den stiller to spørgsmål:

1. Har brugeren udtrykkeligt anmodet om tjenesten? At indlæse en artikel er en anmodning. At lægge en vare i kurven er en anmodning. At åbne en chatwidget, som du har skubbet ind på alle sider, er det ikke.
2. Er lagringen strengt nødvendig for at levere netop den tjeneste? Hvis tjenesten stadig ville virke, selv i en mindre bekvem form, uden cookien eller identifikatoren, er lagringen sandsynligvis ikke strengt nødvendig.

Bemærk, at »nødvendigt for vores forretningsmodel« ikke er det samme som »nødvendigt for den tjeneste, brugeren har bedt om«. Annonceindtægter holder et gratis websted i live, men identifikatorer til annoncetargeting er ikke nødvendige for at vise en artikel.

Almindeligt accepterede eksempler

• Session- og godkendelsescookies, der holder en logget ind bruger logget ind under en session.
• Indkøbskurv-cookies, der husker varerne, mens brugeren gennemfører købet.
• Load balancing-identifikatorer, der router en anmodning til den rigtige server.
• Sikkerhedscookies, der bruges til at opdage gentagne mislykkede loginforsøg eller til at forsvare mod forfalskede anmodninger.
• Selve samtykkeregistreringen, fordi det er nødvendigt at huske brugerens valg for at kunne overholde det.
• Grænsefladepræferencer, som brugeren bevidst har valgt, f.eks. sprog, når de gemmes for sessionen, eller fordi brugeren har valgt dem.

Almindeligt fejlklassificerede eksempler

• Analysecookies. Nogle myndigheder tillader begrænset, privatlivsvenlig målgruppemåling på snævre betingelser, men almindelige analysetags kræver generelt samtykke. Tjek vejledningen fra den myndighed, der gælder for dit publikum.
• Identifikatorer til annoncering og retargeting. De er aldrig nødvendige for at levere selve indholdet.
• Knapper til deling på sociale medier og indlejrede widgets, der sætter tredjepartscookies ved sideindlæsning.
• A/B-test og personalisering, som brugeren ikke har bedt om.
• Frekvensbegrænsning af annoncer. Det forbedrer brugeroplevelsen, men er ikke afgørende for at levere siden.

Varighed og omfang har stadig betydning

En cookie, der reelt er afgørende, kan stadig blive problematisk, hvis den lever længere eller indsamler mere, end funktionen kræver. En sessionscookie, der består i et år, eller en sikkerhedscookie, der også skriver en marketingprofil, mister sin beskyttelse. Hold levetiden kort og indholdet minimalt.

Dokumentér din begrundelse

For hver cookie eller lagringspost, du klassificerer som strengt nødvendig, skal du notere tre ting: den brugeranmodede funktion, den understøtter, hvorfor funktionen ville gå i stykker uden den, og dens levetid. En kort tabel ved siden af din cookieoversigt er nok. Når du gennemgår listen, så udfordr hver post: Hvis det eneste argument er »sådan har vi altid gjort«, så flyt den bag samtykke.

Undtagelsen gælder også andet end cookies. Local storage, session storage, device fingerprinting og SDK-identifikatorer i apps falder under samme logik i artikel 5, stk. 3, så tag dem med i gennemgangen.

Hvor FlexyConsent kommer ind

FlexyConsent er en Google-certificeret CMP (CMP ID 317), certificeret af IAB Europe og IAB Canada, med et banner på 57 sprog. En CMP lader dig holde ikke-nødvendige tags tilbage, indtil brugeren har valgt, mens dine reelt nødvendige elementer fortsat indlæses. Det er stadig dig, der afgør, hvilken kategori hver cookie tilhører, så hold din dokumenterede begrundelse opdateret.

Vigtigste pointer

• Undtagelsen dækker lagring, der er strengt nødvendig for en tjeneste, brugeren udtrykkeligt har anmodet om, ikke lagring, der er nødvendig for din omsætning.
• Session-, kurv-, load balancing-, sikkerheds- og samtykkeregistrerings-cookies er de typiske kvalificerende eksempler.
• Analyse, annoncering, sociale widgets og personalisering kræver generelt samtykke.
• Levetid og indhold har betydning: hold nødvendige cookies kortvarige og minimale.
• Anvend samme test på local storage, session storage og app-identifikatorer.
• Dokumentér begrundelsen for hvert element, du klassificerer som strengt nødvendigt, og gennemgå den jævnligt.