Slik kontrollerer du informasjonskapsler på restaurantens nettsted: godta, avslå og trekke tilbake samtykke (tolkning av AEPD-veiledningen fra 2023)

Når du kontrollerer håndteringen av informasjonskapsler på restaurantens nettsted, må du se på formålet, grensesnittet og hva som faktisk skjer: Kan gjestene like enkelt godta eller avslå? Hvilke komponenter slutter å virke etter valget, og hvordan kan samtykket trekkes tilbake senere? At popup-vinduet lukkes, er bare en synlig endring og erstatter ikke disse kontrollene.

AEPD kunngjorde en oppdatering av veiledningen 2023-7-11: Det skal være like tydelig å godta og avslå informasjonskapsler. Tekniske informasjonskapsler som er nødvendige for språk brukeren selv velger, og som ikke brukes til andre formål, kan være unntatt fra samtykkekravet. Oppdateringen skulle være gjennomført senest 2024-1-11. Denne artikkelen tolker eksisterende veiledning; kunngjøringsdatoen må ikke forstås som datoen en ny lov trådte i kraft.

Finn ut hva hver komponent brukes til, og hvem som vedlikeholder den

Gå gjennom veien fra forsiden til menyen, bestilling av bord og betaling, og noter både nettstedets egne sider og eksterne tjenester. Navnet på en kart-, video-, bordbestillings- eller markedsføringskomponent forteller ikke nødvendigvis alt om hva den gjør. Be leverandøren av nettstedet forklare om komponenten mottar enhetsinformasjon, hvorfor den trenger den, og hvem som har ansvar for oppsett og videre oppdateringer.

• Komponent og leverandør: Noter hvilke tjenester som faktisk er aktivert, ikke bare det som står på installasjonslisten.
• Konkret formål: Beskriv hvert formål separat, for eksempel å oppfylle gjestens forespørsel, lagre valg, lage statistikk eller vise annonser. Hvis én komponent brukes til flere formål, skal de registreres hver for seg.
• Betingelser for lasting: Beskriv når informasjon blir forespurt eller lagret, og hvilken aktivitet som skal opphøre hvis brukeren avslår.
• Vedlikeholdsansvar: Oppgi hvem som kan kontaktes, og hvem som skal kontrollere oppsettet på nytt når formålet eller innstillingene endres.

Språk valgt av brukeren er ikke det samme som en preferanse nettstedet har utledet

Unntaket fra samtykke i kunngjøringen fra 2023 gjelder når brukeren selv velger en preferanse, for eksempel språk, og den tilhørende tekniske informasjonskapselen ikke brukes til andre formål. Nettstedet kan ikke uten videre bruke samme konklusjon når det selv utleder en preferanse fra innsamlet informasjon. Annonseretargeting blir heller ikke en nødvendig funksjon bare fordi den bruker samme komponent som menyen.

En kvalifisert personvernrådgiver må vurdere konkrete unntak og samtykkekrav ut fra den faktiske bruken. Ikke klassifiser alle analyseverktøy som enten nødvendige eller samtykkepliktige. Hvis en sporingskomponent verken har et reelt formål eller noen som vedlikeholder den, kan dere først vurdere om den bør fjernes.

Kontroller grensesnittet og hva som skjer etter valget hver for seg

• Første besøk: Kontroller på mobil og datamaskin at valgene for å godta, avslå og tilpasse innstillinger er tydelige og ikke skjult, og at det ikke kreves flere trinn for å avslå.
• Etter avslag: Be den tekniske leverandøren vise i et kontrollert nettlesermiljø hvilke forespørsler som ikke lenger sendes, og hvilken informasjon som ikke lenger lagres. Et skjermbilde av et lukket popup-vindu er ikke nok.
• Valg for hvert formål: Kontroller hvert formål opp mot hva som faktisk lastes inn, og bekreft at valgene i grensesnittet styrer den tilhørende aktiviteten.
• Endre valg og trekke tilbake samtykke: Forklar hvor gjestene finner innstillingene igjen, og hvordan aktiviteten faktisk endres etter at de har gjort et nytt valg. Ikke la det stå igjen en innstilling som ikke kan lagres.

I alle språkversjoner skal det være like tydelig å godta og avslå, og gjesten bestemmer selv hva hen velger. Hvis menyen eller bordbestillingen ikke virker som den skal etter at annonsering er avslått, må vedlikeholdsansvarlig undersøke årsaken. Ikke skjul feilen ved å be gjesten godta alt på nytt. Søk faglige råd separat hvis tjenesten har særskilte vilkår.

Oppdater kontrollene når leverandørene endres

Etter bytte av tjeneste for bordbestilling, kart eller annonsering kan den eksisterende informasjonen og valgene ha blitt misvisende. Den ansvarlige bør be leverandøren oppdatere komponentoversikten, formålene og beskrivelsen av hva valgene fører til, og angi hvilken aktivitet som fortsatt ikke er avklart, og hvem som overtar oppfølgingen. Oppbevar nødvendig dokumentasjon for kontrollene internt, men ikke be om nettleseropplysninger fra gjestenes enheter som ikke har med saken å gjøre.

Håndtering av informasjonskapsler dekker ikke alt ansvar knyttet til kontaktopplysninger for bordbestilling, medlemskap og betaling. Kontroller disse formålene hver for seg. Ansatte kan hjelpe gjester med spørsmål eller bestilling, mens juridiske spørsmål bør sendes til riktig ansvarlig. Ikke påstå at installasjon av et verktøy i seg selv sikrer varig etterlevelse.