Fra 1. januar 2025 trådte en ny lov om cookies (informasjonskapsler) i kraft, og med den kommer store endringer for hvordan vi som brukere blir sporet på nettet. Med strengere krav til samtykke og mer transparens, setter den nye ekomloven personvernet vårt på agendaen på en helt ny måte. Selv skrev jeg en artikkel om informasjonskapsler og sporing i romjula og planla publisering 2. januar – uten å få med meg at den nye loven skulle tre i kraft ved årsskiftet – litt pinlig å ikke få med meg den vinklingen, men bedre sent enn aldri. Les videre for å finne ut hva som er endret, og hvordan dette kan påvirke både deg og virksomheten din.

Hvem gjelder ekomloven for?

Lov om elektronisk kommunikasjon (ekom) i Norge gjelder for alle nettsteder eller apper som retter seg mot norske brukere eller opererer på det norske markedet, uavhengig av domenenavnet eller språket på den digitale plattformen. Kort sagt gjelder ekomloven for plattformer som har en norsk målgruppe, selv om de er basert utenfor Norge.

• Nettsteder med .no-domene
  – Underlagt norsk lov.
• Norsk språk
  – Nettsteder eller apper på norsk anses rettet mot norske brukere.
• Norsk målgruppe
  – Nettsteder eller apper som annonserer for norske brukere, priser i norske kroner, tilbyr frakt til Norge, eller samler inn personopplysninger fra norske innbyggere.

Hva er nytt med den nye loven?

Den største endringen er at samtykke til bruk av cookies nå må oppfylle kravene i personvernforordningen (GDPR) for å være gyldig. Tidligere var det tilstrekkelig at nettlesernes standardinnstillinger tillot cookies, men med den nye loven stilles det høyere krav til hvordan samtykke skal innhentes. Samtykket må være frivillig, spesifikt, informert og aktivt, og det skal være lett for brukerne å trekke det tilbake. Dette gir en mer strømlinjeformet og rettferdig prosess for både virksomheter og brukere. For at samtykke til cookies skal være lovlig, må det være:

• Frivillig
• Spesifikt
• Informert
• Utvetydig
• Gitt gjennom en aktiv handling
• Dokumenterbart
• Mulig å trekke tilbake like lett som det ble gitt

Virksomheter må nå vurdere hvordan de samtykker til cookies for å sikre at de oppfyller disse kravene. Det er viktig at det er like lett å si nei som ja til cookies, og at brukeren får klar og forståelig informasjon om konsekvensene av å samtykke.

Hva er nødvendige cookies?

Nødvendige cookies er informasjonskapsler som støtter grunnleggende funksjoner på nettsider, som for eksempel sikkerhet og innlogging. Disse cookiesene er essensielle for at nettsiden skal fungere som den skal, og de lagres uten samtykke fra brukeren, ettersom de er nødvendige for å kunne bruke tjenestene.

Derimot, for andre typer cookies, som de som brukes til skjemafunksjoner, statistikk, språk eller annonsering, kreves det samtykke fra brukeren. Dette er fordi disse cookiesene kan samle inn informasjon som går utover det som er strengt nødvendig for at nettsiden skal fungere, og de kan brukes til å spore brukeraktivitet eller tilpasse annonsering.

Teknologinøytral lovgivning

Det som gjør ekomloven særlig interessant, er at den er teknologinøytral. Dette betyr at loven ikke kun gjelder cookies, men også andre teknologier som kan samle inn eller lagre data fra brukerens enheter, uavhengig av hvilken teknologi som benyttes. Med andre ord omfatter den alle former for informasjonsinnsamling på tvers av ulike digitale plattformer, som mobiltelefoner, nettbrett, datamaskiner, smarte enheter og apper.

Denne teknologinøytraliteten gjør at loven ikke er begrenset til én bestemt teknologi, men kan tilpasses i takt med at nye teknologier utvikles. For eksempel vil ikke bare cookies (som lagrer informasjon om brukeren på nettsider) være omfattet, men også andre former for sporingsteknologier som for eksempel fingerprinting, som samler inn informasjon om en brukers enhet og nettleseradferd.

En annen viktig side ved den teknologinøytrale tilnærmingen er at loven gjelder uavhengig av om informasjonen som samles inn er personopplysninger eller ikke. Dette innebærer at loven kan regulere innsamlingsmetoder og bruken av data selv når de ikke kan knyttes direkte til en identifiserbar person, for eksempel ved bruk av anonymiserte eller pseudonymiserte data. Dette er viktig for å sikre at all sporing og datainnsamling skjer på en lovlig måte, uavhengig av hvilken type informasjon som behandles.

Kort sagt, den teknologinøytrale tilnærmingen gjør at ekomloven gir bredere beskyttelse og kan tilpasse seg et raskt utviklende digitalt landskap, hvor nye måter å samle inn og bruke data på stadig dukker opp. Kan loven spare oss for sporing og målrettede annonser basert på IP-adresser og posisjon?

Hva må virksomheter gjøre?

Virksomheter som bruker cookies eller andre teknologier for datainnsamling, må sørge for at de oppfyller de nye kravene som er innført med den reviderte ekom-loven. Dette kan innebære endringer i hvordan samtykke innhentes eller implementeres for å sikre at brukerne får tilstrekkelig informasjon og kontroll.

Den nye ekom-loven introduserer strengere krav til hvordan samtykke skal innhentes, og disse kravene krever at samtykket er både eksplisitt og aktivt. De viktigste punktene er:

• Aktivt samtykke: Brukeren må gi aktiv tillatelse for alle cookies som ikke er strengt nødvendige for grunnleggende funksjonalitet. Dette betyr at slike cookies må være deaktivert som standard.

• Separat samtykke for ulike cookie-kategorier: Brukeren skal kunne gi eller avslå samtykke for spesifikke kategorier som markedsføring og analyse. Et generelt «aksepter alle cookies»-valg er ikke tilstrekkelig.

• Brukervennlighet og åpenhet: Samtykke må innhentes gjennom tydelige og enkle mekanismer, uten skjulte valg eller villedende design.

• Tilbakekallbart samtykke: Brukeren skal kunne trekke tilbake samtykket enkelt, og denne funksjonen må være lett tilgjengelig på nettsiden.

Konsekvenser for handelsbransjen

Virksomheter som tidlig tilpasser seg de nye kravene, kan bygge økt tillit blant kundene. Å være åpne og ansvarlige i datainnsamlingen styrker omdømmet, spesielt i en tid der personvern er viktigere enn noensinne. Samtidig kan de nye samtykkekravene ha betydelige konsekvenser for handelsbransjen, særlig for virksomheter som er avhengige av nettsider for markedsføring og salg:

• Begrenset tilgang til analyseverktøy
  Uten samtykke kan analytiske cookies ikke settes, noe som kan resultere i tap av innsikt i kampanjer og kjøpsmønstre. Virksomheter som benytter verktøy som Google Analytics kan måtte finne alternative løsninger som ikke krever samtykke.

• Redusert mulighet for personalisert markedsføring
  Med strengere samtykkekrav vil færre brukere godta cookies for sporing og analyse, noe som begrenser innsikten i kundeadferd og påvirker målrettede kampanjer og remarketing-strategier.

• Økte etterlevelseskostnader
  Virksomheter må investere i teknologi og juridisk kompetanse for å tilpasse seg de nye kravene. Dette kan innebære å implementere nye samtykkeløsninger og revidere personvernpolicyer og investering i brukervennlige samtykkeløsninger for å sikre at brukere ikke forlater nettsiden uten å samtykke. Kompliserte løsninger kan redusere datainnsamlingen og skape frustrasjon hos brukerne.

• Risiko for svekket konkurranseevne
  De som ikke tilpasser seg de nye reglene, risikerer bøter fra Datatilsynet, noe som kan skade både økonomi og omdømme. I tillegg kan de få en svakere konkurranseposisjon sammenlignet med internasjonale aktører som allerede følger strengere samtykkeløsninger.

Oppsummert

Den nye ekomloven som trådte i kraft 1. januar 2025, stiller strengere krav til hvordan samtykke for bruk av cookies skal innhentes, og setter personvernet på agendaen på en ny måte. Nå må samtykke være frivillig, spesifikt, informert, utvetydig og dokumenterbart, og det skal være like lett å trekke tilbake samtykket som å gi det. Loven gjelder for alle nettsider og apper som retter seg mot norske brukere, uavhengig av språk eller domene.

Virksomheter som bruker cookies, må tilpasse seg de nye kravene, som inkluderer aktivt samtykke for ikke-nødvendige cookies, mulighet for å avslå spesifikke cookie-kategorier, og tydelige samtykkemekanismer. De nye kravene vil ha spesielt påvirkning på handelsbransjen, da de kan redusere muligheten for personalisert markedsføring og begrense tilgang til analyseverktøy. Bedrifter som ikke tilpasser seg risikerer bøter og svekket konkurranseevne.

For virksomheter som allerede opererer i samsvar med den nye loven, vil den ha minimal innvirkning. På hohoy.no implementerte jeg et samtykkebanner i tråd med regelverket lenge før jeg visste om den nye ekomloven. Det eneste som gjenstår, er å oversette beskrivelsene for å gjøre dem tydeligere for brukerne. Samtidig jobber jeg aktivt med å redusere bruken av informasjonskapsler ved å utvikle egne plugins til min WordPress-løsning, som gir nødvendig funksjonalitet uten å være avhengig tredjeparts tjenester som krever informasjonskapsler jeg ikke kan unngå.

Påminnelse: Internasjonal personverndag 28. januar

Husk at den 28. januar markerer den internasjonale personverndagen, en viktig anledning for å reflektere over personvern og databeskyttelse. Det er en fin mulighet for både virksomheter og enkeltpersoner å bli mer bevisste på sine rettigheter og forpliktelser når det gjelder personvern.

Les mer:

• Datatilsynet.no – Nye cookie-regler fra 1. januar
• EDPBs retningslinjer om kravene til et gyldig samtykke (engelsk PDF).
• Datatilsynets generelle veiledning om hva som ligger i kravene til et gyldig samtykke.
• Lov om elektronisk kommunikasjon (ekomloven) på lovdata.no