Har du ikke sved på panden over EU's cookie sweep?

Jeg vil tro, du tænker ”hvaffor et cookie sweep?” eller ”Tsk! F**k da cookies” – men så er du ikke selv bedre, end når du selv får kuldegysninger over, hvad Google (og måske mange flere) måske ved om dig uden dit samtykke – og derfor hjælper jeg dig med at få fingrene ned i kagedåsen – det er nemlig dit ansvar at hjælpe dine besøgende ud af dén panik.

Creep eller sweeper?

Ja, det er spørgsmålet – eller rettere: Spørger du om cookies på din hjemmeside?

Hvis du var Hans og Grethe, så ville du synes godt om, at du kunne finde tilbage til hvor du kom fra. Du har jo selv smidt sporet ud. Men hvis det nu ikke var hensigten at dele din plan eller dine tanker mv. med tilfældige hjemmesideejere, Google eller andre tredjeparter – så synes du formentlig, det er lidt klamt, at visse informationer dukker op underlige steder, eller at nogen kan lægge 2 og 2 sammen i forhold til, hvor du ellers har bevæget dig rundt eller hvem du er i den store skov aka. Internettet – bare fordi du besøgte nogle tilfældige steder.

Hvem skal feje op?

Lad os sige, at skoven er blevet til en by, hvor du ”bor” med din hjemmeside. Når du får besøg, svarer cookies til, at dine besøgende kommer forbi dit fortov. Og som med snerydning, har du ifølge EU og de danske regler fra 2013 pligt til at ”skilte” med,  at visse personer kan se, at dine besøgende har været igennem sneen på dit fortov eller at du rydder sporene i sneen væk. På samme måde skal dine besøgende have besked om, hvad de går ind til, når de besøger din side. De skal gøres bekendt med, hvis deres spor kan ses, og i bekræftende fald af hvem og hvorfor. Det er dig som hjemmesideejer, der har pligt til at efterleve reglerne. Cookies kan i denne sammenhæng forstås både som en ”chip i skoen” (fx en ”kagekrumme” i din smart phone), der følger den besøgende eller som fodaftryk på fortovet – og de informationer, der kan læses herudaf.

Lyn-Crash-kursus i cookies – så let er det

Cookies er kun svært, fordi der ikke er givet en klar besked om, hvordan man skal indhente samtykke til cookies. Ligesom med børn er det nemmest i et retssystem med klar besked om, hvad man må og ikke må eller hvordan man skal/ikke skal gøre ting. Det er også derfor, at resultaterne af EU’s cookie sweep, der i disse dage (15.-19. september 2014) løber af stablen, bliver interessante – for hvordan tolker andre af EU’s ”børn” reglerne?

Essensen af cookiereglerne er – i den korte version – at cookies består af 2 dele: Et informationskrav og et samtykkekrav. Dvs. at den besøgende umiddelbart skal gives information om, at der sættes cookies, af hvem og til hvilke(t) formål. Derudover skal information om cookies være umiddelbart og vedvarende tilgængelig på en klar, præcis og forståelig måde. I forhold til samtykkekravet, så skal der kunne identificeres en frivillig, aktiv handling på et informeret (og specifikt) grundlag (som nævnt lige før).

Godt så – og hvordan løser man så dét?

Ja, ud fra det nævnte har du mange muligheder – du har formentlig også set mange forskellige bud på det. Langt fra alle lever dog op til de få kriterier, der nævnes her.

Luksusproblemet er den ”kreative frihed”. Du må nemlig helt selv bestemme, hvordan du løser opgaven inden for de nævnte rammer. Du skal som udgangspunkt naturligvis vide:

1)    Hvilke cookies, du sætter: dvs. til hvilke formål og hvis er de? Svaret herpå kunne være ”analyseformål” og ”Google Analytics” (3. partscookie) – og så skal du blot informere klart og tydeligt, umiddelbart og vedvarende om dem.

2)    Hvordan det fungerer bedst på din side at indhente samtykket.

Nummer 2 er straks værre. Men bare husk, at du skal kunne ”identificere en frivillig, aktiv handling og på et informeret (specifikt) grundlag”. I Erhvervsstyrelsens cookievejledning kan du blive klogere på de danske fortolkninger af reglerne. Du må fx gerne bruge piktogrammer, hvis bare budskabet kommer klart frem. Eller acceptere videre klik på siden som samtykke – dog afhængig af, hvordan du har serveret din cookie-information!

Bonus-info er, at du ikke er forpligtet til at indhente samtykke for de såkaldte ”funktionscookies”, hvis funktion efterspørges af brugeren, fx at log-in-information gemmes eller at siden husker, hvad brugeren har lagt i indkøbskurven (så man kan shoppe videre uden at starte forfra). Eller en cookie som husker, at den besøgende har sagt nej tak til cookies!

Hvad hvis jeg ikke gider?

Indtil videre har Erhvervsstyrelsen indtaget en vejledende rolle, men har i princippet kompetence til at udstede bøder. I denne uge foretager EU altså deres cookie sweep med stikprøvekontroller af, om og hvordan de forskellige lande overholder cookie-reglerne.

Reglerne er til for at beskytte den hjemmesidebesøgendes privatliv. Alt tyder dog på, at politikerne med regelsættet har indset, at måden, man har grebet cookies an på, har givet bagslag, fordi den besøgende bombarderes med cookies, der skal tages stilling til, og resultatet er, at man alligevel ikke reelt tager stilling til cookies, men blot klikker dem væk, for at få fred. Det svarer til, at du bliver mødt på gaden med raslebøsser hele tiden, og du putter penge i med det samme, fordi du vil have fred – men du egentlig ikke ved, om du støtter terror eller Knæk Cancer. Der er dog nogle elegante løsninger imellem, som ikke på samme måde virker som et irritationsmoment og som er nemme at implementere.

Du skal gide, fordi det ikke tager lang tid at fikse cookies, og fordi du ikke er ligeglad med dit eget privatliv, hvis det var dig selv – og hvis du er, er det ikke noget, du skal bestemme over på andres vegne. Og fordi det er din pligt som hjemmesideejer. Du skal jo også rydde sne på dit fortov, ikke? Og ikke støtte (psykisk) terror :-)