Cookiesamtycke som håller – juridiskt och praktiskt

Cookiebannern har blivit webbens mest ogillade ruta – och samtidigt en av de vanligaste orsakerna till att en sajt bryter mot reglerna utan att företaget vet om det. Problemet är sällan ond vilja, utan en banner som byråen satte upp en gång och som ingen granskat sedan. Här går vi igenom vad som faktiskt kräver samtycke, hur bannern måste bete sig och hur du behåller användbar analys även när en stor del av besökarna säger nej.

Nödvändiga kontra spårande cookies

All cookiehantering börjar med en uppdelning. Nödvändiga cookies krävs för att sajten ska fungera: att hålla dig inloggad, komma ihåg vad som ligger i varukorgen eller balansera last mellan servrar. Dessa kräver inget samtycke, eftersom besökaren aktivt bett om tjänsten de möjliggör.

Spårande och analyserande cookies är en annan sak. De mäter beteende, bygger målgrupper för annonser eller känner igen dig mellan besök. De är inte nödvändiga för att sajten ska fungera – de tjänar företaget, inte besökarens omedelbara behov – och därför krävs ett aktivt, informerat samtycke innan de får sättas.

Gränsdragningen är inte alltid självklar, och en vanlig miss är att klassa bekvämlighetsfunktioner eller analys som “nödvändiga” för att slippa fråga. Utgå från besökarens perspektiv: hade tjänsten fungerat utan cookien? Då är den sannolikt inte nödvändig i lagens mening. En tumregel som håller: om cookien finns till för att ni ska lära er något om besökaren, snarare än för att besökaren ska kunna göra något, kräver den samtycke.

Så måste bannern bete sig

En giltig cookiebanner följer några principer som är lätta att formulera och lätta att bryta mot av misstag.

• Lika lätt att neka som att acceptera. Knapparna ska ha likvärdig placering och tydlighet. En framträdande “Acceptera alla” bredvid en undanskuffad neka-länk håller inte.
• Inget förvalt ja. Rutor för icke nödvändiga cookies ska vara omarkerade från start – samtycke ska vara en aktiv handling.
• Inga skript före samtycke. Spårande skript får laddas först efter att besökaren sagt ja. Laddas de vid sidladdning är samtycket verkningslöst.
• Möjlighet att ändra sig. Besökaren ska kunna återkalla sitt val lika enkelt som det gavs, till exempel via en länk i sidfoten.
• Val per kategori. Statistik och marknadsföring ska kunna väljas var för sig, inte bara som ett allt-eller-inget.

Ett enkelt test: klicka runt på er egen sajt som en besökare. Går det snabbare att säga ja än nej? Sätts några cookies innan du hunnit svara? Om svaret är ja på någon av frågorna behöver bannern justeras.

Mät vidare utan att luta dig mot samtycke

Den obekväma sanningen är att en korrekt banner ofta leder till att en stor andel besökare nekar – och då blir siffrorna i klassiska analysverktyg tunna och skeva. Svaret är inte att göra det svårare att säga nej, utan att flytta en del av mätningen bort från cookies.

Serverbaserad, cookiefri mätning samlar aggregerad statistik på serversidan i stället för i besökarens webbläsare. Du ser trafik, populära sidor och trender utan att identifiera enskilda individer, och för sådan aggregerad mätning krävs i regel inget samtycke. Kombinationen blir kraftfull: cookiebaserad analys för de besökare som säger ja, och en cookiefri grund som täcker alla. Kontrollera alltid den konkreta uppsättningen mot dataskyddsreglerna, men principen sänker ditt beroende av tredjepartsdata rejält.

Poängen är att laglig cookiehantering och användbar analys inte är motsatser. De flesta sajter kan ha båda – det kräver bara att mätningen designas för en värld där många besökare säger nej, i stället för att förutsätta att alla säger ja.

Kom igång

Börja med en inventering: vilka cookies sätter er sajt i dag, och varför? Många blir förvånade över hur många tredjepartsskript som smugit in via plugins och verktyg. Vill ni ha hjälp att göra om mätningen cookiefri och bannern korrekt tittar våra tjänster på helheten, från teknik till efterlevnad. Hör gärna av dig med er nuvarande uppsättning så ger vi en bedömning.