Tidligere i høst la Kommunal- og moderniseringsdepartementet frem forslag til ny Ekomlov §3-7 som vil medføre strengere krav til samtykke for bruken av cookies. Samtykket må nå oppfylle samtykkekravene etter GDPR.
Høringsrunden er avsluttet, og særlig ett punkt var omdiskutert: Kan gyldig samtykke innhentes i nettleserinnstillinger der det er «teknisk mulig og effektivt»? I dag er løsningen lovlig og utbredt, og ifølge forarbeidene til det nye lovforslaget er departementet positive til å beholde denne muligheten.
Vi mener denne argumentasjonen ikke i tilstrekkelig grad vektlegger brukervennlighet og økonomiske hensyn, og at alternative løsninger i nettleserinnstillingene bør kunne benyttes
Derimot er Advokatforeningen, Datatilsynet, og Forbruketilsynet skeptiske til slik innhenting av samtykke. Ifølge deres høringssvar bidrar forarbeidsuttalelsen til uklarhet. Eksisterende tekniske løsninger tillater dessuten ikke innhenting av gyldig GDPR-samtykke i nettleserinnstillinger fordi de foreløpig er underutviklet. Vi mener denne argumentasjonen ikke i tilstrekkelig grad vektlegger brukervennlighet og økonomiske hensyn, og at alternative løsninger i nettleserinnstillingene bør kunne benyttes.
Dersom samtykke ikke kan gis i nettleserinnstillingene må samtykke innhentes ved bruk av bannere og barrierer som er mer synlige, omfattende, og plagsomme enn de vi har nå. Slike er ikke brukervennlige. Forskning viser at kun 1,3 prosent av brukere tilpasser personverninnstillingene som gis i bannere og barrierer. Dette er antatt å være begrunnet i «samtykketrøtthet» og mengden informasjon som den enkelte bruker må vurdere for å ta et reelt valg. På bakgrunn av disse ulempene har Storbritannias datatilsyn iverksatt prosesser for å utvikle alternative løsninger basert på nettleserinnstillinger.
Både det Europeiske Personvernrådet (EPDB) og EU-kommisjonen uttrykker at samtykketrøtthet bør bekjempes med tilretteleggelsen for utviklingen av nye alternativer
Ser vi til USA har også California bestemmelser som tillater universale samtykkeinnstillinger. Colorado iverksetter tilsvarende i 2023. Reglene har oppmuntret private virksomheter til å utvikle slike løsninger, herunder Global Privacy Control i USA, og Noyb i Europa. Formålet med reguleringen er presisert av Attorney General of California:
«Given the ease and frequency by which personal information is collected and sold when a consumer visits a website, consumers should have a similarly easy ability to request to opt-out globally».
Også i EU er holdningen positiv til alternative samtykkeløsninger. Både det Europeiske Personvernrådet (EPDB) og EU-kommisjonen uttrykker at samtykketrøtthet bør bekjempes med tilretteleggelsen for utviklingen av nye alternativer. I fortalen til forslaget til ny kommunikasjonsvernforordning står det at:
«… this Regulation should provide for the possibility to express consent by using the appropriate settings of a browser or other application».
Foruten brukervennlighet tilsier økonomiske hensyn at vi beholder den pragmatiske løsningen til departementet. Hensynet bak GDPR-reformen i 2018 var ikke kun å forsterke personvernet, men også å bidra til økonomisk og sosial fremgang i det indre marked. Flere bransjer står i fare for å bli negativt påvirket dersom Datatilsynet mf. får gehør. Særlig viktig er medienes opplagsinntekter og reklameinntekter som en sentral del av «ytringsfrihetens økonomi». Dersom bruken av cookies blir vanskeligjort kan det medføre en svekkelse av medienes funksjon som ytringsfrihetens infrastruktur i våre datadrevne samfunn.
Avslutningsvis peker vi også på at lovgiver bør være varsom med å pålegge norske virksomheter strengere krav enn det som finnes ellers i Europa og andre steder. Konkurransedyktigheten til norske reklamefinansierte virksomheter vil svekkes i kampen mot utenlandske firmaer inkludert giganter som Google og Facebook.
Thomas Olsen
Partner i Advokatfirmaet Simonsen Vogt Wiig
Tore Ruud
Advokatfullmektig i Advokatfirmaet Simonsen Vogt Wiig
