Er den mye omdiskuterte cookie-loven på trappene?

Tilpasset markedsføring ved hjelp av cookies og annen sporingsteknologi har lenge stått i et spenningsforhold med brukernes personvern. Hva som gjelder har lenge vært uklart, men trenden i Europa har den siste tiden gått mot en innstramming av regelverket. Hva som blir utfallet av forhandlingene av den nye kommunikasjonsvernforordningen vil gi nye avklaringer på hvordan cookies og annen sporingsteknologi kan brukes til blant annet målrettet markedsføring i fremtiden, og om samtykke må innhentes via cookie-bannere. Hvilke personvernmessige hensyn må tas, og hva gjør bedrifter som i dag baserer sin virksomhet på sporing av brukerne?

Ministerrådet i EU er enige om et forhandlingsmandat for ny kommunikasjonsvernforordning (ePrivacy regulation). Forhandlingsmandatet gir uttrykk for hvilke holdninger Ministerrådet har til videre forhandlinger om kommunikasjonsvernforordningen med EU Parlamentet og Kommisjonen.

Den nye forordningen skal erstatte gjeldende kommunikasjonsverndirektiv som er gjennomført gjennom den norske ekomloven. Formålet med den nye forordningen er å imøtekomme behovet for effektivt kommunikasjonsvern, særlig konfidensialitet. Den raske teknologiske utviklingen har bragt oss fra tradisjonell telekommunikasjon (typisk taletelefon) til kommunikasjonsplattformer som Skype, Zoom og Whatsapp. Disse reiser særlig problemstillinger knyttet til vernet av også metadata (som tid og sted for kommunikasjonen), sporingsteknologi (som cookies/informasjonskapsler) og tingenes internett («IoT/internet of things»).

Opprinnelig skulle den nye kommunikasjonsvernforordningen tre i kraft samtidig med personvernforordningen i 2018 (GDPR) og gi særregler for personvernet knyttet til elektronisk kommunikasjon. Det er imidlertid spesielt mange meninger og motstridende interesser på dette området. Vanskelighetene resulterte i at Ministerrådet i over fire år ikke har klart å enes om et utgangspunkt for videre forhandlinger før nå.

Punkter det er verdt å merke seg i det vedtatte forhandlingsmandatet er blant annet:

• Cookies: Mandatet åpner for bruk av såkalte «cookie walls» (samtykkevegger) hvor bruk av hele eller deler av en nettside forutsetter at brukeren godkjenner informasjonskapsler. Denne adgangen står i strid med Personvernrådets samtykkeveiledning av 4. mai 2020 som fastslår at samtykkevegger er ulovlige i henhold til GDPR ettersom brukeren blir utsatt for et «upassende press eller påvirkning» til å gi sitt samtykke.
  
• Cookie-banners: Brukerne skal kunne forhåndssamtykke til bruk av informasjonskapsler og annen sporingsteknologi fra spesifikke nettsider for nettsidenes spesifikke formål gjennom en «hvitelisting». Tanken er å forhindre at samtykketretthet hos brukerne utvanner det reelle personvernet dagens cookie-bannere forsøker å ivareta. Forhandlingsmandatet oppfordrer tilbydere av nettlesere til å utvikle brukernes samtykke-dashbord på en slik måte at brukerne får en reell mulighet til å stille inn sine samtykker på en enkel og forståelig måte. Både det britiske datatilsynet Information Commissioner's Office (ICO), og det franske datatilsynet Commission nationale de l'informatique et des libertés (CNIL), har tidligere gitt uttrykk for at den europeiske gjennomsnittspersonen i dag ikke vet hvordan den kan endre nettleserinnstillingene sine. Det kan derfor virke som om Ministerrådet håper på teknologisk innovasjon som bedrer hvordan forhåndssamtykke i nettleserne er satt opp i dag.
  
• Oppmykning av bruk av metadata: Tilbydere av telekommunikasjonstjenester skal uten brukerens samtykke eller nasjonal lovhjemmel kunne benytte brukerens metadata til andre formål enn det personopplysningene ble innhentet til, så lenge det nye formålet er kompatibelt med brukerens opprinnelige tillatelse.

En annen viktig konsekvens av det vedtatte forhandlingsmandatet er at datalagring knyttet til nasjonal sikkerhet ikke vil være en del av kommunikasjonsvernforordningen. Dette innebærer en viktig avklaring for arbeidet med de gjenstående kapitlene i den nye norske etterretningstjenesteloven, som i påvente av en avklaring av kommunikasjonsvernets rekkevidde har blitt satt på hold.

Forhandlingsmandatet må ikke misforstås som at en endelig vedtagelse av forordningen foreligger. Likevel er det vedtatte forhandlingsmandatet et betydelig skritt mot en ny felleseuropeisk kommunikasjonsvernslov. Forhandlingene mellom Ministerrådet, EU-kommisjonen og EU-parlamentet vil (gitt historikken) bli utfordrende og trolig ta sin tid.

Det blir spennende å følge med på utviklingen og forhandlingene videre!

Artikkelen er skrevet av personvernadvokat Christine Stousland.