Cookie-reglementet har ledt til en overflod af samtykke-anmodninger for internetbrugere, skriver EU-Kommissionen i et forslag til en revision af ePrivacy-direktivet, der blandt andet rummer de kontroversielle cookie-regler.
De allestedsnærværende cookie-bokse er blevet udskældt af alt fra privacy-forkæmpere, forbrugsforeninger og jurister. Og EU's forslag udløste i sidste uge en række glade overskrifter om, at cookie-boksen endelig var på vej til it-fortiden.
Version2 skrev selv historien i december, da nyhedsbureauet Reuters fik fingrene i et udkast til det forslag som nu er offentliggjort.
Men trods EU-Kommissionens ambitioner er det langt fra sikkert, at regel-reformen kan opfylde løftet om færre cookie-bokse, selvom de muligvis kan lede til færre cookies.
Behov for samtykke falder ikke
I den nemme ende af skalaen vil EU gøre det mere klart, at man ikke behøver at bede om lov til at sætte førsteparts cookies, der blot får hjemmesiden til at fungere - fx ved at huske indholdet af en indkøbsvogn.
Hos IT-Politisk Forening er formand Jesper Lund positiv over for potentielt færre cookie-bokse. Det er dog ikke i skelnen mellem samtykke at udviklingen skal komme, vurderer han.
»Det eneste, du efter det nye forslag kan uden samtykke, som kræver samtykke i dag, er webstatistik. Og det gælder formentlig ikke engang tjenester som Google Analytics. Reelt vil behovet for at give samtykke ikke falde særlig meget, for det er de færreste hjemmesider, der udelukkende har passiv webstatistik,« forklarer han til Version2.
I en undersøgelse som Version2 foretog i 2015 fremgår det, at blot fire ud af Danmarks 100 mest besøgte hjemmesider ikke sætter tredjeparts-cookies. I 96 tilfælde ud af de 100 hjemmesider vil man altså stadig skulle hente samtykke.
Endvidere skal ePrivacy-reglerne efter planen moderniseres, så de kan passe sammen med databeskyttelsesforordningen (GDPR), der træder i kraft til maj næste år. Det betyder også, at kravet til samtykke bliver skærpet.
Et forhold som it-advokat Martin von Haller tidligere har påpeget kan lede til flere cookie-bokse i sig selv.
Blokeret i browseren
»Det, der skal være driveren, er, at der skal være nye måder at give samtykke på,« fastslår Jesper Lund.
Den centrale del af EU-Kommissionens forslag er nemlig, at websites kan undlade at spørge brugere om lov til at sætte cookies, hvis brugeren i sin browser allerede har angivet sit samtykke.
Et samtykke er samtidig et aktivt tilvalg, understreger forslaget. Browsere bør som standard ikke acceptere tredjeparts-cookies, før brugeren aktivt ændrer privacy-indstillingerne.
»Vi har en vis berettiget forventning om, at de fleste brugere ikke vil gå ind og ændre på browserindstillinger til at tillade tredjeparts cookies,« lyder vurderingen fra Allan Sørensen, der er digital chef hos Danske Medier, der som mediernes interesseorganisation arbejder på at få ændret forslaget inden det bliver endeligt vedtaget.
Automatisk blokering af tredjeparts-cookies vil ramme sider, der lever af annoncer, på pengepungen. Men det vil ikke fjerne cookie-bokse, understreger Allan Sørensen:
»Hvis endnu flere brugere end i dag fra starten vil afvise tredjepartscookies, så løser det jo ingenting, i og med at alle annoncefinansierede services fortsat er nødsaget til at bede brugeren om et samtykke.«
Større bøder og skærpelse af samtykke
Som Version2 kunne beskrive torsdag lægger EU-Kommissionen op til, at det fra 2018 skal være Datatilsynet - og ikke Erhvervsstyrelsen - der håndhæver cookie-reglementet.
Samtidig bliver den potentielle bødestraf væsentligt forhøjet for at matche den generelle persondatalov. Det betyder bøder på op til 2 procent af virksomhedens globale omsætning.
Læs også: Cookie-håndhævelse kan ryge ud af Erhvervsstyrelsens hænder: »Klar styrkelse af ret til privatliv«
»Det er klart, at man fra EU's side melder ud, at det vil blive håndhævet, og håndhævet væsentligt strammere, end vi har set det i Danmark og andre lande,« siger Allan Jørgensen.
Alt sammen forhold der ifølge ham peger i retning af flere - og ikke færre - cookie-bokse på sider, der er afhængige af annoncer.
Ingen cookies uden samtykke
Som Version2 tidligere har beskrevet sætter stort set alle af de 100 største danske hjemmesider i dag tredjeparts-cookies inden brugeren har haft så meget som lejlighed til at læse indholdet af cookie-boksen.
Erhvervsstyrelsen har imidlertid valgt at fokusere på, om brugeren får den nødvendige information, frem for at håndhæve kravet om samtykke før cookies sættes.
Med skærpelsen af samtykkekravet kan den strategi formentlig ikke længere slippe under radaren, vurderer man hos Danske Medier på baggrund af forslaget, der kræver en klar bekræftende handling, der giver en utvetydigt tilladelse på et informeret grundlag.
Hvis forslaget vedtages, vil EU kræve af browser-producenter, at brugere får mulighed for at blokere cookies i forskellige grader - som fx 'accepter tredjeparts-cookies'.
»Hvis det opfattes sådan, at en tilladelse til tredjeparts cookies i browserens opsætning også er automatisk samtykke til tracking, så ville jeg finde det meget bekymrende,« siger Jesper Lund og fortsætter:
»Når jeg skal indtaste min gasmåling til Frederiksberg Kommune, skal jeg for eksempel tillade tredjepartscookies i browseren, fordi hjemmesiden ikke fungerer uden tredjepartscookies.«
Det fremgår, at kommissionen 'opmuntrer' browser-producenter til at give brugere nem mulighed for at nuancere valget - fx gennem en liste af godkendte sites. Det er dog endnu uklart, præcis hvilke muligheder EU vil kræve, at browseren skal understøtte, så man får fuld kontrol over cookie-situationen.
