EU-domstolen har afsagt en ny præjudiciel afgørelse om brugen af cookies. Afgørelsen slår fast, at placering af cookies kræver en aktiv viljestilkendegivelse fra brugeren. Det vil sige, at brugeren skal handle aktivt, før samtykket anses for gyldigt afgivet.
EU-domstolen fastslår dermed, at samtykkekravet i det nuværende E-privacy direktiv fra 2002 (2002/58/EF) skal fortolkes i overensstemmelse med reglerne i databeskyttelsesforordningen.
Sagen omhandlede den tyske virksomhed, Planet49, som afholdt en salgsfremmende konkurrence på internetwebstedet www.dein-macbook.de.
Der var to felter i forbindelse med brugerens oplysning af postnummer, navn og adresse, hvoraf det ene felt, som omhandlede, at Planet49 efter registreringen til konkurrencen kunne installere cookies, var forudafkrydset. Det andet felt omhandlede, at brugeren angav at være indforstået med, at sponsorer og samarbejdspartnere kunne informere brugeren om tilbud. Der skulle sættes et kryds i dette felt, før brugeren kunne deltage i den salgsfremmende konkurrence.
Bundesverband anlagde sag ved Landgericht Frankfurt am Main, som gav delvist medhold i søgsmålet. Den tyske virksomhed appellerede afgørelsen til Oberlandesgericht Frankfurt am Main, som fandt at den tyske virksomhed godt gyldigt kunne indhente samtykke på denne måde, selvom afkrydsningsfeltet var forudafkrydset, blandt andet fordi, at brugeren havde kendskab til muligheden for at vælge dette felt fra. Bundesverband iværksatte en revisionsappel og Bundesgerichtshof, der her skulle træffe afgørelse, valgte at forelægge sagen for EU-Domstolen.
De præjudicielle spørgsmål angik, om samtykket kunne anses for gyldigt, idet feltet var forudafkrydset, og hvilke oplysninger tjenesteudbyderen skal give brugeren, før de anses for at være klare og fyldestgørende.
E-privacy direktivet angiver, at placering af cookies kan ske, såfremt brugeren får klare og fyldestgørende oplysninger, bl.a. om formålet med behandlingen, funktionsvarighed og om tredjemands mulighed for at få adgang til disse cookies. Derudover betinger E-privacy direktivet, at brugeren samtykker til placeringen (Undtaget samtykkekravet er imidlertid ”nødvendige” cookies, der forudsætter anvendelsen af hjemmesiden, fx indkøbskurven).
Med afgørelsen fastslår EU-domstolen, at ovennævnte betingelser skal forstås i overensstemmelse med reglerne i databeskyttelsesforordningen, og at der kan skeles til de tilhørende præambler til databeskyttelsesforordningen.
Kravet til et gyldigt samtykke efter databeskyttelsesforordningen er, at samtykket skal være en frivillig, specifik, informeret og utvetydig viljestilkendegivelse.
I den tilhørende præambeltekst til databeskyttelsesforordningen fremgår det blandt andet, at et samtykke kan være, at man sætter kryds i et felt ved besøg på eksempelvis et websted. Det tilføjes i forlængelse heraf, at forudafkrydsede felter ikke kan udgøre et samtykke.
Det forhold, at en bruger trykker på knappen for at deltage i en salgsfremmende konkurrence er ikke tilstrækkeligt til, at brugeren gyldigt har givet samtykke til placeringen af cookies.
I lyset af afgørelsen vurderer vi, at det ikke længere vil være muligt at henvise til cookiepolitikken første gang hjemmesiden besøges, herunder at brugeren ved at klikke videre accepterer placeringen af cookies.
På baggrund af afgørelsen vurderer vi derfor, at mange hjemmesider skal ændre deres måde at oplyse om anvendelsen af cookies samt opdatere hjemmesiden, så cookies fremadrettet ikke placeres uden et forudgående gyldigt samtykke.
I mange tilfælde benytter hjemmesider sig tilmed af profilering og analysering af brugerdata eller deler personoplysninger indsamlet via cookies med tredjemand. For disse tilfælde stiller databeskyttelsesforordningen også særlige regler, som skal overholdes.
Hvis du har spørgsmål eller brug for hjælp til at få justeret din cookiepolitik, så den er i overensstemmelse med reglerne, så er vores IT-team og GDPR-team klar til at hjælpe dig.
