Brug af cookies på hjemmesider kræver aktivt samtykke

Lagring af en persons oplysninger eller opnåelse af adgang til en persons oplysninger igennem cookies er kun tilladt, hvis brugeren har givet sit samtykke hertil. Det fremgår af artikel 5, stk. 3 i direktiv 2002/58 (e-databeskyttelsesdirektivet).

Det fremgår dog ikke af bestemmelsen, hvilken måde dette samtykke skal gives på. Det er nu blevet fastslået i EU-Domstolens dom af 1. oktober 2019.

Sagen for EU-Domstolen

Anmodningen om den præjudicielle afgørelse om anvendelsen af cookies var indgivet af den tyske forbundsdomstol Bundesgerichtshof.

I sagen for den tyske domstol havde en tysk virksomhed, Planet49, oprettet en konkurrence online, hvor man ved tilmelding til konkurrencen skulle afgive accept til cookies. Accepten var på forhånd afgivet, da der allerede var krydset af i en boks på hjemmesiden, at man accepterede cookies (den såkaldte opt-out løsning).

Spørgsmålet i sagen var derfor, hvorvidt denne ordning på hjemmesiden kunne anses for at være et gyldigt samtykke til brug af cookies fra brugerne af hjemmesiden, som tilmeldte sig konkurrencen.

Bundesverband der Verbraucherzentralen, som er et tysk forbund for forbrugerbeskyttelse, anlagde sag mod Planet49 med påstand om, at der ikke var indhentet gyldigt samtykke om cookies ved denne ordning.

Kravet om samtykke

EU-Domstolen lagde i sin afgørelse til grund, at det kræver et aktivt samtykke, før samtykket kan anses for at være gyldigt. Det fremgår af Databeskyttelsesforordningen, at et samtykke skal være en frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorefter det forudsætter en aktiv adfærd fra brugeren.

Ved et forudafkrydset felt på en hjemmeside kan det ikke udelukkes, at den pågældende bruger ikke har læst den information, der har ledsaget feltet, og det kan ikke udelukkes, at der ikke har været et samtykke fra brugeren. Det er derfor nødvendigt for et gyldigt samtykke, at der er foretaget en aktiv handling fra brugerens side.

EU-Domstolen lagde herudover til grund i sagen, at det ikke havde betydning, om de oplysninger, man fik adgang til via cookies, var personoplysninger eller ej, da artikel 5, stk. 3 i direktiv 2002/58 henviser til ”oplysninger” generelt uden at specificere, at disse skal være personoplysninger.

Datatilsynet har for nyligt lavet en opdateret vejledning om kravene til samtykke.

Krav om oplysninger

Herudover blev der i sagen også stillet spørgsmål til omfanget af virksomheders oplysningspligt i forbindelse med kravet om fyldestgørende information ved brug af cookies, som fremgår af artikel 5, stk. 3 i direktiv 2002/58. Spørgsmålet i sagen var, hvorvidt oplysningerne, der skal gives, også skal indeholde oplysninger om cookiernes funktionsvarighed og om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej. Det blev i sagen fremhævet, at brugeren skal være i stand til uden besvær at bestemme følgerne af det eventuelle samtykke og ligeledes, at oplysningerne skal være let forståelige og tilstrækkeligt detaljerede til, at brugeren kan forstå, hvordan de cookies, som anvendes, fungerer. EU-Domstolen sagde derfor, at oplysningerne skal omfatte cookiernes funktionsvarighed og oplysninger om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej.

Dommen kan få stor betydning for mange virksomheder, da der på en del hjemmesider på forhånd er blevet afkrydset et felt til brugerens accept af cookies – den såkaldte ”opt-out” løsning for accept af cookies.

Vi anbefaler derfor, at man tjekker op på virksomhedens hjemmeside/-r, for at se om den/de er i overensstemmelse med EU-Domstolens skærpede krav til accept af cookies. Der kan ikke længere anvendes ”opt-out” løsninger med forudafkrydsede felter. I stedet skal man anvende en ”opt-in” løsning, hvor brugeren selv kan krydse et felt af til accept af cookies. Herudover skal man være opmærksom på, om man har givet tilstrækkelige oplysninger til brugerne af ens hjemmeside om cookies og deres funktion.

Erhvervsstyrelsen offentliggjorde en ny guide på deres hjemmeside i juli 2019 om brug af cookies.