EU-domstolen: Brug af cookies på internetsider kræver aktiv handling hos brugeren

Den 1. oktober 2019 traf EU-Domstolen en præjudiciel afgørelse, hvori det blev fastlagt, at et forudafkrydset felt ikke udgør et gyldigt samtykke til internetsiders brug af cookies. Et gyldigt indhentet samtykke forudsætter nemlig en aktiv handling fra brugerens side.


Kort om sagen 

Sagen omhandlede en onlinekonkurrence, som var organiseret af en tysk virksomhed. For at kunne deltage i konkurrencen skulle brugeren på virksomhedens hjemmeside afgive oplysninger om sit postnummer, navn og adresse og under adressefeltet sætte kryds i et afkrydsningsfelt.

Der var i alt to afkrydsningsfelter, og ved afkrydsningen af det første felt gav brugeren samtykke til og bekræftede sin deltagelse i konkurrencen. Det fremgik klart, at brugeren med sit kryds gav en række virksomheder lov til at kontakte brugeren med henblik på direkte markedsføring. Afkrydsning af dette felt var en betingelse for deltagelse i konkurrencen.

Det var derimod ikke et krav for deltagelse i konkurrencen, at det andet felt, der vedrørte brug af cookies, var krydset af. Dette felt var dog allerede krydset af på forhånd. Såfremt brugeren ikke fjernede krydset, gav brugeren således også samtykke til, at virksomheden kunne installere cookies på brugerens browser.

Bundesverband der Verbraugerzentralen ("Bundesverband"), der svarer til det danske forbrugerklagenævn, anlagde på baggrund af ovenstående sag an mod virksomheden med påstand om, at virksomhedens anmodning om samtykke ved hjælp af de omtalte afkrydsningsfelter ikke opfyldte betingelserne for indhentelse af et gyldigt samtykke.

Retten gav i første instans Bundesverband delvist medhold i søgsmålet, mens den regi-onale appeldomstol gav virksomheden medhold i, at det forudafkrydsede felt kunne udgøre et gyldigt samtykke. Bundesverband ankede sagen til retten i tredje instans, som forelagde EU-domstolen to præjudicielle spørgsmål. Det første spørgsmål omhandlede gyldigheden af samtykke til brug af cookies, når dette var indhentet ved et forudafkrydset felt. Det andet spørgsmål handlede om, hvilke oplysninger virksomheden skal give brugeren for at opfylde kravet om fyldestgørende information vedrørende cookies.


EU-domstolens afgørelse

EU-domstolen fastlagde indledningsvist, at brugen af cookies alene er tilladt på betin-gelse af, af brugeren har givet sit samtykke hertil efter at have modtaget klare og fyldestgørende oplysninger om blandt andet formålet med behandlingen. Det gælder, uanset om brugen af cookies udgør en behandling af personoplysninger eller ej.

Derefter bemærkede EU-domstolen, at direktivet om databeskyttelse inden for elektronisk kommunikation udtrykkeligt fastsætter, at brugeren af en internetside skal have "givet sit samtykke" til brugen af cookies, dog uden nærmere at fastsætte måden, hvorpå samtykket kan indhentes. EU-domstolen henviste til, at der på baggrund af en ordlydsfortolkning af formuleringen "givet sit samtykke" og definitionen af samtykke i databeskyttelsesforordningen som en "frivillig, specifik, informeret og utvetydig viljetilkendegivelse" måtte forudsættes en aktiv handling fra brugeren af internetsiden.

EU-domstolen bemærkede endvidere, at brugen af et forudafkrydset felt i en samtykkeerklæring gør det objektivt umuligt at afgøre, om brugeren af en internetside faktisk har givet sit samtykke til behandlingen af sine personoplysninger ved ikke at fjerne afkrydsningen. En forudafkrydsning gør det desuden umuligt at vurdere, om samtykket er givet på en informeret måde. Det kan nemlig ikke udelukkes, at brugeren slet ikke har læst den information, der ledsager det forudafkrydsede felt, eller at brugeren ikke har forstået feltet, inden denne fortsætter sin aktivitet på den besøgte internetside. Endeligt bemærkede EU-domstolen, at en forudafkrydsning ikke kan leve op til kravet om, at et samtykke skal være specifikt, idet det forudsætter, at samtykket skal vedrøre præcis den pågældende behandlingsaktivitet.


Ikke et gyldigt samtykke

EU-domstolen konkluderede på baggrund af ovenstående, at et forudafkrydset felt ikke kan udgøre et gyldigt samtykke, da det ikke opfylder betingelserne i direktivet om data-beskyttelse inden for elektronisk kommunikation sammenholdt med databeskyttelsesforordningen.

I forbindelse med det andet præjudicielle spørgsmål foretog EU-domstolen en præcisering af fortolkningen af kravet om fyldestgørende information i direktivet om databeskyttelse inden for elektronisk kommunikation. De oplysninger, som tjenesteudbyderen skal give brugeren af en internetside, omfatter oplysninger om cookiernes funktionsvarighed og oplysninger om, hvorvidt tredjemand kan tilgå disse cookies.


Kromann Reumerts bemærkninger

Afgørelsen er en klar udmelding om, at et forudafkrydset felt ikke kan udgøre et gyldigt samtykke, idet et gyldigt samtykke forudsætter en aktiv handling hos brugeren af en internetside. I den konkrete sag var feltet vedrørende accept af cookies præsenteret i sammenhæng med andre valg, herunder samtykke til elektronisk markedsføring såvel som deltagelse i en konkurrence. Det kan derfor diskuteres, hvorvidt et forhåndsafkrydset felt, der alene præsentereres i sammenhæng med en oplysningstekst om en virksomheds brug af cookies, og som efterfølges af en klar mulighed for at acceptere disse cookies, eksempelvis ved en tydelig "OK"-knap, i samme omfang ikke vil udgøre et gyldigt samtykke. Der kan argumenteres for, at brugen af "OK"-knappen udgør den påkrævede aktive handling.

I kølvandet af afgørelsen er det desuden muligt, at Erhvervsstyrelsen vil finde anledning til at ændre sin vejledning til bekendtgørelsen om krav til information og samtykke ved lagring af eller adgang til oplysninger i slutbrugerens terminaludstyr (den såkaldte cookiebekendtgørelse) fra 2011. Erhvervsstyrelsen angiver i sin vejledning, at "det afgørende er, at der kan identificeres en aktiv handling, eksempelvis, at der klikkes videre på siden, og at brugeren har en forståelse af, at de ved denne handling accepterer cookies, dvs. det er ikke nok bare generelt at informere om, at hjemmesiden bruger cookies, det skal præciseres, at cookies sættes ved, at brugeren eksempelvis klikker videre". På baggrund af den omtalte afgørelse synes EU-domstolen at sætte en højere tærskel for, hvad der konstituerer en tilstrækkeligt aktiv viljestilkendegivelse. Det bemærkes dog, at vejledningen ikke tager direkte stilling til internetsiders anvendelse af forhåndsafkrydsede felter i forbindelse med indhentning af samtykke.

Uanset hvilken løsning din virksomhed har valgt til indhentning af samtykke til cookies, er det vores generelle anbefaling, at løsningen gennemgås på ny, og at der foretages en vurdering af, hvorvidt der eventuet måtte være behov for tilpasninger som følge af EU-domstolens afgørelse.

I skrivende stund verserer der trepartsforhandlinger mellem Kommissionen, Rådet og EU-parlamentet med henblik på vedtagelsen af en ny forordning vedrørende respekt for privatlivets fred og beskyttelse af persondata ved elektronisk kommunikation. Forord-ningen skal regulere behandlingen af personoplysninger i den elektroniske kommunikationssektor og således erstatte direktivet om databeskyttelse inden for elektronisk kommunikation fra 2002.

Læs EU-domstolens afgørelse