GDPR cookies krav: slik blir nettsiden din lovlig
Lanserer du en liten nettside, dukker spørsmålet om GDPR cookies krav fort opp. Kort sagt må besøkende samtykke før nettsiden din lagrer cookies som ikke er strengt nødvendige. Her får du svarene du trenger for å publisere trygt, enten du er gründer, utvikler eller privatperson med en helt ny side.
TL;DR: Nettsiden din må ha samtykke før du setter sporings-, analyse- og markedsføringscookies. Strengt nødvendige cookies kan du sette uten samtykke. Et enkelt banner med «Godta» og «Avvis» er nok for de fleste små nettsider. Reglene gjelder også nettsider som i seg selv ikke lagrer personopplysninger.
Hva betyr GDPR cookies krav i praksis?
GDPR cookies krav betyr at du må innhente informert samtykke fra besøkende før nettsiden din lagrer cookies på enheten deres. Kravet kommer ikke bare fra GDPR (General Data Protection Regulation, på norsk personvernforordningen), men også fra ekomloven med tilhørende forskrift, som Nkom fører tilsyn med. I praksis betyr det et cookie-banner, en oversikt over hvilke cookies nettsiden bruker, og en måte for besøkende å trekke samtykket tilbake.
For en liten nettside er bildet ofte enkelt. Bruker du ingen cookies som måler besøk eller viser annonser, trenger du kanskje ikke samtykke i det hele tatt. Laster du inn Google Analytics, Facebook-piksel eller lignende, må du ha samtykke på plass før besøkende kommer.
Når nettsiden din er i lanseringsfasen, gjerne med et ferskt .no-domene fra 99 kroner i året, er det naturlig å rydde opp i dette samtidig.
Når må nettsiden din ha cookie-samtykke?
Hovedregelen er at alle cookies som ikke er strengt nødvendige krever samtykke. Det er ingen nedre grense for hvor lite nettsiden din sporer, og ingen unntak bare fordi siden er liten.
Cookies som er unntatt fra samtykke
Strengt nødvendige cookies krever ikke samtykke. Det gjelder blant annet innlogging, huske varer i en handlekurv og lastbalansering mellom servere. Disse kan du sette fritt, men du bør fortsatt beskrive dem i personvernerklæringen.
Cookies som krever samtykke
Analysecookies som Google Analytics, markedsføringscookies og sporingspiksler krever informert samtykke. Besøkende skal forstå hva de sier ja til, og de skal kunne avslå uten at nettsiden blir ubrukelig.
En vanlig misforståelse er at samtykke bare gjelder hvis du behandler personopplysninger. Det stemmer ikke. Cookie-reglene i ekomloven gjelder uavhengig av om cookie-en inneholder personopplysninger eller ikke.
Slik lager du et lovlig cookie-banner
Du trenger verken advokat eller dyrt programvareabonnement for å komme i mål. Her er stegene de fleste små nettsider trenger.
- Kartlegg alle cookies. Åpne nettleserens utviklerverktøy eller bruk et analyseverktøy, og skriv opp alt nettsiden din setter.
- Grupper cookies. Del dem inn i nødvendige, statistiske og markedsføring, og beskriv hver av dem i personvernerklæringen med formål, varighet og aktør.
- Legg inn et banner. Besøkende skal kunne godta alle, godta nødvendige eller velge selv. «Godta» skal aldri være eneste mulighet.
- Blokker sporing før samtykke. Last inn Google Analytics og andre sporingsskript først etter at besøkende har valgt.
- Tilby tilbaketrekking. Ha en lenke i bunnteksten som åpner banneret igjen, slik at folk kan endre valget sitt når som helst.
Test oppsettet før du annonserer nettsiden offentlig. Åpne den i et privat vindu, sjekk at ingen tredjepartscookies settes før du har valgt, og at valget ditt huskes ved neste besøk. Fungerer det i nettleseren din, fungerer det mest sannsynlig for leserne dine også.
Hva skjer hvis du ikke følger nettside-kravene?
Cookie-regelverket overvåkes av Nkom, mens Datatilsynet fører tilsyn med personvernet etter GDPR. Brudd kan gi pålegg om retting, og i ytterste konsekvens gebyrer. For en liten nettside er sannsynligheten for bøter lav, men en klage fra en besøkende kan sette i gang en prosess.
Den største risikoen er likevel tillit. En nettside som ber om samtykke på en ryddig måte virker seriøs, mens et banner som vanskelig lar seg avslå, gjør det motsatte. Styrer du DNS-innstillingene for domenet ditt i et moderne kontrollpanel, er du allerede vant til å ta kontroll over det tekniske.
Vanlige spørsmål om cookies og samtykke
Må en statisk nettside ha cookie-banner?
Nei, ikke nødvendigvis. Setter siden ingen cookies utover strengt nødvendige, har du ingen samtykkeplikt. Mange enkle sider bruker likevel skrifttyper eller karttjenester som setter cookies. Sjekk koden, og ta et bevisst valg.
Er Google Analytics ulovlig uten samtykke?
Å laste inn Google Analytics uten samtykke er i strid med reglene. Du kan bruke tjenesten lovlig med samtykke på plass, eller velge en konfigurasjon som ikke setter cookies. Vær også oppmerksom på at overføringer av data til land utenfor EØS, blant annet USA, har blitt problematisert av tilsynsmyndigheter i flere europeiske land.
Hva koster det å følge reglene?
Lite. Gratisverktøy og open source-skript dekker behovet til mange små nettsider. Bruker du WordPress, finnes det både gratis og betalte cookie-plugins med ferdig samtykkelogikk. Det viktigste er ikke verktøyet, men at samtykket er reelt.
Oppsummering
GDPR cookies krav handler i bunn og grunn om å respektere besøkendes valg. Kartlegg hvilke cookies nettsiden din setter, innhent samtykke før du laster inn sporings- og analysecookies, og la folk avslå uten at siden går i stykker. Alt sammen er fullt gjennomførbart for en liten nettside.
Og mens du er i lanseringsfasen: sørg for at domenet ditt er på plass. Et .no-domene gir deg full kontroll over DNS-oppsettet, med transparent prising og norsk eierskap. Sikre domenet ditt hos Feno i dag.