Sjekk cookie-banneret ditt

Slik fungerer verktøyet

Du limer inn en nettadresse, og vi henter siden fra serveren vår som en helt ny besøkende. Vi klikker ikke på banneret, vi svarer ikke på noe, vi aksepterer ingenting.

Alt serveren sender tilbake av informasjonskapsler i den forespørselen, er dermed satt før et samtykke kunne blitt gitt. Det er nettopp det som gjør funnene interessante: de er ikke et resultat av at noen trykket feil.

Vi kjenner igjen de vanligste kapslene og sier hvem de kommer fra, hva de gjør og hvor lenge de varer. De vi ikke kjenner igjen, står oppført som ukjente — vi gjetter ikke.

Til slutt ser vi etter en samtykkeløsning i koden, og sammenligner de to. Det mest avslørende resultatet er ikke fravær av banner, men et banner som finnes samtidig som kapslene settes uansett.

Hva sjekken ikke ser

Vi kjører ikke JavaScript. Kapsler som settes av skript i nettleseren etter at siden er lastet, er derfor ikke med i listen.

Det betyr at rapporten er et minimum, ikke en fasit. Står det tre kapsler i listen, kan det godt settes femten når siden faktisk åpnes i en nettleser.

Men det gjør funnene strengere, ikke mildere. Det vi fant, ble satt av serveren din uten at noen fikk mulighet til å si nei.

For en fullstendig oversikt må siden kjøres i en nettleser med utviklerverktøyet åpent, eller skannes av et verktøy som gjør det for deg. Det er en større jobb, og den er verdt å gjøre når grunnlaget først er ryddet.

Slik tolker du resultatet

Se på antallet kapsler til statistikk og markedsføring. Er det større enn null, har du et konkret problem som er verdt å ta tak i denne uken.

Se så på om det finnes en samtykkeløsning. Finnes den, og kapslene settes likevel, er løsningen feil koblet. Det er den vanligste feilen vi ser, og den gir en falsk trygghet som er verre enn ingen løsning.

Kapsler merket som nødvendige er som regel greit. Økter, handlekurv og sikkerhetstokener er ting nettsiden ikke fungerer uten, og de krever ikke samtykke.

Kapsler vi ikke kjenner igjen, bør sjekkes med den som har satt dem opp. De kan være helt legitime, men noen må kunne svare på hva de gjør.

Kategoriene

Informasjonskapsler deles vanligvis i tre, og det er kategorien, ikke teknologien, som avgjør om du trenger samtykke.

• Nødvendige: økt, handlekurv, innlogging og sikkerhet. Kreves for at siden skal fungere, og trenger ikke samtykke.
• Statistikk: Analytics, Hotjar, Clarity. Krever samtykke, selv når du bare vil vite hvor mange som besøkte siden.
• Markedsføring: annonsepiksler og målgruppebygging. Krever samtykke, og det er disse folk faktisk reagerer på.
• Samtykkekapselen selv er nødvendig. Den må jo huske svaret ditt.

Hva regelverket krever

Hovedregelen er enkel: alt som ikke er strengt nødvendig for tjenesten brukeren har bedt om, krever samtykke på forhånd.

Samtykket må være aktivt. Forhåndshuket avkrysning teller ikke, og «ved å bruke siden godtar du» teller ikke. Det skal være like lett å si nei som ja — i praksis betyr det at «Avvis alle» må være like synlig som «Godta alle».

Brukeren skal også kunne ombestemme seg. Det krever en måte å komme tilbake til valget på, ikke bare et banner som forsvinner for godt.

[VERIFISER: gjeldende krav i ekomloven og Datatilsynets siste veiledning om utforming av samtykkeløsninger.]

Utover jussen er det en praktisk side: et banner som er laget for å lure folk, irriterer folk. Og de som blir irritert, husker det.

Vanlige feil

De samme tingene går igjen på nesten alle nettsteder vi ser på.

• Banner som informerer i stedet for å spørre. Det er ikke et samtykke.
• «Godta alle» som en stor grønn knapp, og «Avvis» som en grå lenke i liten skrift.
• Taggene lastes uansett hva brukeren svarer, fordi ingen koblet banneret til tag manageren.
• Personvernerklæringen beskriver kapsler som ble fjernet for to år siden, og ikke dem som faktisk settes.
• Ingen mulighet til å trekke tilbake samtykket når det først er gitt.
• Kapsler uten Secure-flagg på en side som ellers kjører på https.

Hva det koster å rette

For de fleste bedrifter er dette en liten jobb med stor risikoreduksjon. En samtykkeløsning koster lite i lisens, og oppsettet tar en halv til en hel dag for noen som har gjort det før.

Det som tar tid, er kartleggingen: hvilke kapsler settes faktisk, hvem eier dem, og hva brukes de til. Den jobben kan ikke automatiseres helt, fordi noen må ta stilling til om et verktøy fortsatt skal være der.

Selve koblingen mellom samtykkeløsningen og tag manageren er teknisk enkel, men den må testes. Det er her det oftest går galt, og det er her ingen oppdager at det har gått galt.

Regn med at dere også bør oppdatere personvernerklæringen samtidig. Den skal beskrive det som faktisk skjer, ikke det som var meningen.

Når bør du få hjelp

Om dere har en samtykkeløsning og kapslene settes likevel, bør det ordnes nå. Det er den versjonen som er vanskeligst å forsvare, fordi den viser at dere kjente til kravet.

Om dere bruker mange verktøy og ingen har full oversikt, er en kartlegging det første steget. Den er også nyttig utover personvern: den avdekker gjerne et par abonnementer ingen bruker.

Og om dere skal bygge ny nettside, bør samtykke være med i kravspesifikasjonen. Det er billig å bygge inn, og kostbart å ettermontere på et ferdig oppsett.