Erhvervsstyrelsen stopper kontrol af cookie-samtykke til webstatistik

12. november 2021: Opdatering: Af en tidligere version af denne artikel fremgik det, at: “Under en række forudsætninger vil det være muligt at bruge cookies til webstatistik uden samtykke, men man kan ikke kan stoppe med at indhente samtykke uden først at have sikret sig, at alle reglerne er overholdt.” I betragtning af, at ingen regler er ændret – kun tilsynspraksis – er Danske Mediers anbefaling, at man fortsat tager afsæt i lovgivningen, der kræver samtykke til brug af statistikcookies, ind til der er kommet nærmere afklaring.

Erhvervsstyrelsen har meddelt, at de ligesom flere andre EU-lande fremadrettet ikke vil ”prioritere” at håndhæve krav om forudgående samtykke til ”cookies og lignende teknologier, der indsamler statistik til hjemmesideejerens egen brug, fx i form af trafikmåling, som ikke bygger en brugerprofil af den besøgende, eller hvor data gives videre til en tredjepart.” Bemærk, at krav om overholdelse af GDPR-reglerne naturligvis stadig gælder, og at det er Datatilsynet, der er tilsynsmyndighed på det område.

Meddelelsen følger en lang indsats fra Danske Mediers side over for Datatilsynet og Erhvervsstyrelsen for at sikre en hensigtsmæssig udlægning af loven på området, der tilgodeser både brugere og udgivere.

Slipper man for at indhente samtykke til statistik-cookies?

I betragtning af, at ingen regler reelt er ændret – kun tilsynspraksis – er det Danske Mediers anbefaling, at man fortsat tager afsæt i lovgivningen, der kræver samtykke til brug af statistikcookies.

Behandlingsgrundlag

GDPR fastsætter, at persondata kun må anvendes med et gyldigt behandlingsgrundlag. Cookies til webstatistik er persondata, fordi de indeholder et unikt ID, som gør det muligt at registrere hvor mange forskellige enheder, der er på en hjemmeside. Der skal derfor enten foreligge et samtykke, en kontrakt eller legitim interesse.

Hvis man ønsker at behandle persondata til webstatistik på grundlag af samtykke, skal det fortsat indhentes præcis som tidligere. Hvis man i stedet ønsker at benytte sig af legitim interesse skal man overholder alle de gældende krav i den forbindelse – herunder at:

1. Der foreligger en konkret interesseafvejning
2. Dataindsamlingen er minimeret og pseudonymiseret fra start
3. Der ikke finder videregivelse af persondata sted
4. Der ikke indsamles følsomme oplysninger
5. Data udelukkende anvendes til anonymiserede og aggregerede opgørelser

Bemærk i øvrigt, at der bør udvises særlige hensyn i forbindelse med trafikmåling af tjenester, der specifikt henvender sig til børn eller andre særlig sårbare grupper.

Danske Medier vil udgive en vejledning på området, når en række nærmere detaljer er afklaret med de relevante myndigheder, hvilket forventes klar i første kvartal 2022.