Er sporingen på nettstedet ditt lovlig?

Fra 1. januar 2025 krever ekomloven § 3-15 at samtykke til lagring eller tilgang til opplysninger på brukerens utstyr oppfyller GDPR-kravene. Dette gjelder også teknologier utover cookies. Et gyldig samtykke skal blant annet være frivillig, spesifikt, informert og utvetydig.

Et aktivt valg

Den besøkende må selv velge. Forhåndsavkryssede bokser, stillhet eller fortsatt bruk av nettstedet gir ikke et gyldig samtykke.

Forståelig informasjon

Forklar formålene med sporingen og hvem som bruker opplysningene. En vag formulering om «en bedre opplevelse» er ikke nok.

Valg mellom formål

Samtykke må knyttes til konkrete formål. Skill mellom eksempelvis analyse og markedsføring, slik at besøkende kan velge det de ønsker.

Et reelt nei

Det skal være like enkelt å avvise som å akseptere. Ikke gjem avvisning bak ekstra klikk eller gjør alternativet vanskeligere å finne.

Samtykke før relevant sporing

Teknologier som krever samtykke, må håndteres før de lagrer eller får tilgang til opplysninger. Banneret må være koblet til taggene.

Mulighet til å ombestemme seg

Det skal være like enkelt å trekke samtykket tilbake som å gi det. Ha en tilgjengelig inngang til samtykkeinnstillingene.

Virksomheten må kunne dokumentere samtykket; denne testen kontrollerer ikke samtykkeloggene. Det finnes et avgrenset unntak for teknologi som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om, og for overføring av kommunikasjon. At analyse eller annonsering er nyttig for virksomheten, gjør den ikke strengt nødvendig. Behandling av personopplysninger må i tillegg vurderes etter GDPR.

Consent Mode formidler brukerens valg til Google-tagger. Sjekken ser etter standardverdier før taggene starter, og om signalene oppdateres ved aksept og avvisning. De fire sentrale signalene har ulike oppgaver:

analytics_storage

Angir om lagring til analyseformål, som analyse-cookies, er tillatt.

ad_storage

Angir om lagring til annonseringsformål, som annonse-cookies, er tillatt.

ad_user_data

Angir samtykke til å sende brukerdata til Google for annonseringsformål.

ad_personalization

Angir samtykke til personlig tilpasset annonsering, inkludert remarketing.

I basic consent mode blokkeres Google-taggene frem til samtykke. I advanced consent mode kan taggene laste med avslåtte signaler og sende cookieless-forespørsler før samtykke. En forespørsel til Google betyr derfor ikke automatisk at en cookie er satt; fravær av cookies betyr heller ikke at ingen opplysninger sendes.

Et «denied»-signal er ingen juridisk godkjenning. Valg av oppsett og databehandling må vurderes sammen med banneret, formålene og det som faktisk overføres. Andre sporingsleverandører omfattes ikke automatisk av Googles signaler.

Resultatet gjelder én nettadresse og de nettleserøktene som ble testet. Innhold bak innlogging, andre sider, geografiske varianter eller tagger som krever scrolling og andre handlinger, kan oppføre seg annerledes. Dersom samtykkeløsningen ikke gjenkjennes, kan kontroller bli hoppet over. Ukjente leverandører trenger gjennomgang; de er ikke automatisk ulovlige.

Sjekken vurderer ikke hele personvernerklæringen, databehandleravtaler, lagring av samtykker, rettslige behandlingsgrunnlag eller opplysninger som sendes videre på serversiden uten å være synlige i nettleseren. Et godt resultat viser hva testen observerte; det sertifiserer ikke at all sporing er lovlig. Bruk tekniske funn og en vurdering av egen databehandling sammen.