Til IT- og Telestyrelsen
Høring om udkast til bekendtgørelse om krav til information og samtykke ved lagring af og adgang til oplysninger i slutbrugeres terminaludstyr (”cookie-bekendtgørelsen”)
Med henvisning til Videnskabsministeriets udkast til bekendtgørelse af 1. marts 2011 skal Forbrugerrådet hermed afgive sine bemærkninger.
Som det fremgår af ministeriets høringsnotat, er formålet med bekendtgørelsen at styrke privatlivets fred, når brugere anvender digitale tjenester og produkter. Ifølge notatet kræver det, at virksomhederne dels skal give bedre information til brugerne, dels skal indhente samtykke for at lagre information og endelig sikre mulighed for, at forbrugeren kan tilbagekalde samtykket.
Registrering af forbrugernes adfærdsmønstre og individuel målretning af reklamer er et marked i rivende udvikling. Da området samtidigt er uhyre komplekst og uigennemsigtigt, er det positivt, at Kommissionen med den reviderede direktivtekst har banet vejen for at sikre en mere rimelig balance mellem hensynet til henholdsvis virksomhedernes økonomiske interesser og forbrugerens digitale rettigheder, herunder retten til respekt for sit privatliv.
Forbrugerrådet er hverken modstander af virksomheders brug af 3. part cookies (altså cookies som placeres på brugerens computer af andre virksomheder, end den hjemmeside forbrugeren besøger) eller adfærdsbaseret reklame. Vi finder imidlertid, at forbrugeren har krav på bedre information om hjemmesidernes brug af overvågningsteknologier og krav på - som et minimum - at kunne slå cookies fra, hvis forbrugeren ikke ønsker sin adfærd registreret, når formålet er at kunne målrette markedsføring til forbrugeren på basis af den registrerede adfærd.
Udkastet til bekendtgørelse indeholder ganske vist nye, specifikke krav til oplysningspligten, men er derudover forholdsvis åben for fortolkning i forhold til hvornår og hvordan samtykket skal indhentes, ligesom det er uklart, hvordan man udnytter retten til at afslå cookies eller tilbagekalde samtykket. Det er den praktiske opfyldelse af det nye samtykkekrav, som ministeriet specifikt beder om input til.
Forbrugerrådet har ikke på nuværende tidspunkt endelige forslag til løsningsmodeller, men indgår gerne i et nærmere samarbejde med branchen og IT- og Telestyrelsen herom.
Vi lægger vægt på, at følgende kriterier skal opfyldes, hvis bekendtgørelsen skal have en reel betydning i praksis:
1. Forbrugerens digitale rettigheder skal styrkes
Allerede i dag oplyser mange virksomheder om brugen af cookies i deres privacy policies. Det er fint, men alle undersøgelser viser, at disse ikke bliver læst, fordi brugerne blot ”klikker” sig gennem sitet for hurtigst muligt at få adgang til tjenesten. Det ligger således ikke i internettets natur at bruge tid på at læse komplicerede vilkår, som i sidste ende skal accepteres for, at tjenesten overhovedet kan benyttes. Det er derfor vigtigt at få etableret et fælles mærke, piktogram eller lignende, så forbrugerne på en nem og hurtig måde ved, hvilke hjemmesider man kan have tillid til i relation til cookies og sikring af privatlivsbeskyttelse. En sådan mærkningsordning bør være fælles for hele Europa, ligesom det må tilstræbes, at direktivteksten som nærværende udkast hviler på, implementeres ensartet i hele EU.
2. Samtykket skal være reelt
På grund af udkastets uklarhed pågår der for øjeblikket en diskussion af, hvorvidt samtykket skal indhentes, inden virksomhederne placerer en cookie i forbrugerens internetbrowser, eller om et stiltiende samtykke i form af bedre information og en efterfølgende ”nej-tak ordning” er tilstrækkelig. Efter vores opfattelse er der ingen tvivl om, at den traditionelle, juridiske forståelse af et samtykke er, at det er et forudgående eksplicit samtykke. Der skal derfor stilles særlige betingelser til virksomhedernes informationsniveau, synlighed og tekniske set-up, hvis man fra ministeriets side ud fra en pragmatisk tilgang vælger en løsning, som reelt kan sidestilles med et stiltiende samtykke – hvilket der kan være meget fornuft i, hvis det gøres på en ordentlig måde.
I den forbindelse henvises til den europæiske dataekspertgruppe, den såkaldte artikel 29-gruppes udtalelse af 22. juni 2010 om adfærdsbaseret annoncering på internettet. Ifølge deres fortolkning af samtykkekravet udgør en manglende handling fra brugerens side ikke en klar og utvetydig tilkendegivelse af den pågældendes ønsker.
For Forbrugerrådet er det helt afgørende, at resultatet ikke blot bliver mere forbrugerinformation, men også en reel adgang til at sige nej tak til cookies. En ideel løsning vil være en ”nej tak-ordning”, som relaterer sig til den konkrete hjemmeside, som forbrugeren besøger. En henvisning alene til eventuelt at slå 3. part cookies fra i browseren, mener vi ikke styrker forbrugerens retstilling i forhold til i dag, hvor den mulighed allerede er tilgængelig. I øvrigt skal vi gøre opmærksom på, at den endelige tekniske løsning også skal kunne fungere på mobile terminaler som smartphones og lignende.
3. Internetvirksomhederne skal tage ansvar for 3. parts cookies
I dag har virksomhederne, trods de allerede eksisterende regler i persondataloven og teleloven, frit spil i forhold til, hvilke typer cookies de anvender, og på hvilken måde de benyttes. Der er med andre ord intet overblik over hvem, der fx anvender ikke-sletbare cookies som evercookies eller installerer overvågningsteknologier i øvrigt. Forbrugerrådet finder det helt afgørende, at bekendtgørelsen fremadrettet sikrer, at virksomheder, som anvender cookies fra andre virksomheder, påtager sig et ansvar for, hvilke type cookies, der bliver installeret på brugerens computer. I den forbindelse vil det være nyttigt, om IT- og Telestyrelsen ville opstille en blackliste af visse typer cookies for dels at højne kvaliteten af de anvendte cookies og dels at sikre forbrugeren en minimumsbeskyttelse mod ”ondsindede” cookies. Ansvaret skal naturligvis både påhvile den enkelte hjemmesideudbyder og reklamedistributionsvirksomhederne, som etablerer cookienetværk på vegne af flere virksomheder.
4. Reglerne skal håndhæves
I kraft af den digitale udvikling er forbrugerens privatlivsbeskyttelse generelt sat under pres. Vi finder det positivt, at IT- og Telestyrelsen i stadigt stigende omfang er begyndt at beskæftige sig med privacy og også har fået nærværende bekendtgørelse under sit ressortområde. I den forbindelse er det afgørende at sikre, at reklameudbydere placeret i lande uden for EU, som placerer cookies via en dansk hjemmeside, også er underlagt bekendtgørelsen, og at IT- og Telestyrelsens muligheder for at håndhæve bestemmelserne også over for disse sikres.
På grund af emnets kompleksitet håber vi, at IT- og Telestyrelsen vil påtage sig en aktiv rolle både i forhold til vejledning af forbrugere og virksomheder, deltagelse i etablering af en fælleseuropæisk mærkningsordning og håndhævelsen af nærværende regler.
