Installering af cookies kraever internetbrugerens aktive samtykke
Samtykke til installering af cookies på en internetbrugers computer er ikke gyldigt, hvis samtykket er givet ved et forudafkrydset felt. Samtykke kraever nemlig en aktiv adfaerd fra brugerens side, fastslår EU-Domstolen.
Sagen handlede om den tyske virksomhed Planet49. I 2013 havde virksomheden afholdt en online konkurrence for forbrugere i Tyskland. For at kunne deltage i konkurrencen blev internetbrugeren praesenteret for to afkrydsningsfelter.
I det ene af felterne skulle brugeren acceptere at blive kontaktet af en raekke virksomheder med reklametilbud. I det andet felt skulle brugeren give sit samtykke til at få installeret cookies på computeren.
Det første felt var ikke forudafkrydset. Det var kun muligt at deltage i konkurrencen, hvis der som minimum var sat kryds i dette felt. Det var derimod ikke et krav for deltagelse i konkurrencen, at det andet felt var krydset af. Dette felt var dog allerede krydset af på forhånd. Hvis brugeren ikke fjernede afkrydsningen, gav brugeren således også samtykke til, at virksomheden måtte installere cookies på den pågaeldendes computer. Installering af cookies gav virksomheden mulighed for at lagre oplysninger eller få adgang til oplysninger om brugeren.
Bundesverband der Verbraucherzentralen (sammenslutning af tyske forbrugerorganisationer, som svarer til det danske forbrugerklagenaevn) anlagde på baggrund heraf sag mod Planet49 ved Landgericht Frankfurt am Main (den regionale ret i første instans i Frankfurt am Main, Tyskland). Bundesverband påstod, at de pågaeldende samtykkeerklaeringer, som virksomheden havde anvendt, ikke opfyldt kravene til indhentelse af gyldigt samtykke.
Landgericht Frankfurt am Main gav Bundesverband delvist medhold. Efter at Planet49 havde appelleret denne afgørelse til Oberlandesgericht Frankfurt am Main (den regionale appeldomstol i Frankfurt am Main, Tyskland), som gav Planet49 medhold, indbragte Bundesverband sagen for Bundesgerichtshof (forbundsdomstol, Tyskland). Denne domstol besluttede at udsaette sagen og forelaegge to praejudicielle spørgsmål for EU-Domstolen.
N Det første spørgsmål omhandlede gyldigheden af et samtykke til installering af cookies, når samtykket er indhentet ved et forudafkrydset felt. Herunder om svaret på dette spørgsmål er anderledes, hvis de oplysninger, der lagres om brugeren, er personoplysninger.
N Det andet spørgsmål handlede om, hvorvidt virksomheden skal oplyse brugeren om, hvor laenge de installerede cookies bliver gemt, samt om tredjeparter har adgang til disse cookies.
Med hensyn til det første spørgsmål indledte EUDomstolen med at bemaerke, at brugen af cookies kun er tilladt på betingelse af, at brugeren har givet sit samtykke hertil, efter at brugeren har modtaget klare og fyldestgørende oplysninger om behandlingen af disse cookies. Det omfatter herunder oplysninger om formålet med behandlingen af dem.
Herefter definerede EUDomstolen, hvad der skal forstås ved »samtykke«.
Efter EU-reglerne defineres samtykke som »enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågaeldende selv, gøres til genstand for behandling«.
Kravet om viljestilkendegivelse indikerer, at der skal vaere tale om en aktiv og ikke passiv adfaerd fra brugerens side. Et samtykke givet ved hjaelp af et forudafkrydset felt indebaerer derfor ikke en aktiv adfaerd fra brugerens side. Et forudafkrydset felt gør det nemlig objektivt umuligt at afgøre, om brugeren faktisk har givet sit samtykke til behandlingen ved ikke at have fjernet afkrydsningen.
Desuden gør en forudafkrydsning det umuligt at vurdere, om samtykket lever op til at kravet om, at det skal vaere givet på en informeret måde. Det kan nemlig ikke udelukkes, at den pågaeldende ikke har laest den information, der ledsager det forudafkrydsede felt, eller at brugeren ikke har forstået feltet, inden vedkommende fortsaetter sin aktivitet på den pågaeldende hjemmeside. Herudover kan et forudafkrydset felt heller ikke leve op til kravet om, at samtykket skal vaere specifikt, eftersom det forudsaetter, at samtykket skal vedrøre praecis den pågaeldende behandling af oplysninger.
På baggrund heraf konkluderede EU-Domstolen derfor, at et samtykke til installering af cookies ikke er gyldigt, hvis samtykket er givet ved et forudafkrydset felt. EU-Domstolen praeciserede herefter, at dette gaelder, uanset om brugen af cookies vedrører personoplysninger eller ej.
For så vidt angår det andet spørgsmål bemaerkede EUDomstolen indledningsvis, at det, som naevnt, er et krav, at brugeren har givet sit samtykke til anvendelsen af cookies, efter at brugeren har modtaget klare og fyldestgørende oplysninger om bl.a. formålet med behandlingen af disse cookies. Oplysningerne skal desuden vaere let forståelige og tilstraekkeligt deltaljerede til, at brugeren kan forstå, hvordan de cookies, der installeres, fungerer.
Således skal brugeren, på baggrund af oplysningerne, vaere i stand til uden besvaer at forstå følgerne af at give det pågaeldende samtykke. Derfor skal brugeren også have oplysninger om de pågaeldende cookies funktionsvarighed. Det vil sige, hvornår de udløber. Endvidere skal brugeren oplyses om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej.
Dommen fra EU-Domstolen viser klart, at et forudafkrydset felt ikke kan udgøre et gyldigt samtykke, idet et gyldigt samtykke kraever en aktiv adfaerd fra internetbrugeren. Virksomheder bør derfor se på, om deres anvendelse af cookiesamtykke lever op til betingelserne for samtykke. Herunder bør virksomhederne også tjekke, om de oplysninger, der gives i forbindelse med indhentelse af samtykke, lever op til kravene om funktionsvarighed og videregivelse til tredjemand.
Dommen fra EUDomstolen viser klart, at et forudafkrydset felt ikke kan udgøre et gyldigt samtykke, idet et gyldigt samtykke kraever en aktiv adfaerd fra internetbrugeren.
I Danmark anvender mange erhvervsdrivende et såkaldt »cookiebanner«, som kraever, at brugeren ved et enkelt tryk på knappen »OK« giver samtykke til installering af cookies, hvorefter brugeren kan fortsaette sin aktivitet på den pågaeldende hjemmeside. Denne praksis er accepteret i Erhvervsstyrelsens vejledning, som senest er opdateret den 10. december 2019, hvilket er efter EU-Domstolens dom.
EU-Domstolens dom tager ikke stilling til, hvorvidt denne måde at indhente samtykke på er tilstraekkelig. Men man må gå ud fra, at Erhvervsstyrelsen i forbindelse med den seneste opdatering af vejledningen har taget konkret stilling til betydningen af EU-Domstolens dom i denne sammenhaeng og således har vurderet, at brugen af en »OK«-knap er tilstraekkelig til at udgøre en aktiv handling, og at anvendelsen af cookiebannere derfor fortsat er i overensstemmelse med EU-retten.