Så granskar du cookies på restaurangens webbplats: acceptera, neka och återkalla (2023 års AEPD-vägledning)

När du granskar cookiehanteringen på restaurangens webbplats behöver du kontrollera syftet, gränssnittet och det faktiska beteendet: Kan gästerna lika enkelt acceptera som neka? Vilka komponenter slutar fungera efter ett val, och hur kan gästerna återkalla det senare? Att popupfönstret stängs är bara en synlig förändring och ersätter inte de här kontrollerna.

AEPD publicerade ett tillkännagivande om en uppdatering av vägledningen den 2023-7-11: alternativen att acceptera och neka cookies ska framgå lika tydligt. Tekniska cookies som behövs för ett språkval som användaren själv har gjort, och som inte används för något annat, kan undantas från samtyckeskravet. Uppdateringen skulle vara genomförd senast 2024-1-11. Artikeln går igenom befintlig vägledning och framställer inte dagen då tillkännagivandet publicerades som dagen då en ny lag trädde i kraft.

Börja med att ta reda på varje komponents syfte och vem som ansvarar för den

Gå igenom webbplatsen från startsidan till menyn, bokningen och kassan. Lista både de egna sidorna och externa tjänster. Namnet på en kart-, video-, boknings- eller marknadsföringskomponent avslöjar inte hela dess syfte. Be webbplatsleverantören förklara om komponenten tar emot enhetsinformation, varför den behövs och vem som ansvarar för inställningarna och framtida uppdateringar.

• Komponent och leverantör: Ange vilka tjänster som faktiskt är aktiva, inte bara vad som står i installationslistan.
• Exakt syfte: Beskriv separat om komponenten används för att tillgodose gästens önskemål, spara inställningar, ta fram statistik eller visa annonser. Redovisa flera syften med samma komponent var för sig.
• Villkor för inläsning: Ange när information begärs eller lagras och vilka åtgärder som ska upphöra efter ett nej.
• Ansvar för underhåll: Ange vem som går att kontakta och vem som ska göra en ny granskning om syftet eller inställningarna ändras.

Ett aktivt språkval är inte samma sak som att webbplatsen drar slutsatser om användarens preferenser

Enligt villkoren för undantaget i tillkännagivandet från 2023 gäller det när användaren själv väljer en inställning, exempelvis språk, och den tekniska cookien inte används för något annat. Webbplatsen kan inte tillämpa samma slutsats direkt när den själv drar slutsatser om användarens preferenser utifrån insamlade uppgifter. Retargeting för annonser blir inte heller en nödvändig funktion bara för att den använder samma komponent som menyn.

En kvalificerad integritetsrådgivare behöver fortfarande bedöma vilka undantag och samtyckeskrav som gäller utifrån den faktiska användningen. Dra inte slutsatsen att alla statistikverktyg antingen är nödvändiga eller alltid kräver samtycke. Om en spårningskomponent inte fyller någon funktion och ingen ansvarar för den kan ni börja med att ta ställning till om den ska tas bort.

Granska gränssnittet och beteendet efter ett val var för sig

• Första besöket: Kontrollera på mobil och dator att det är tydligt hur man accepterar, nekar eller öppnar inställningarna, att alternativen inte skyms och att det inte krävs fler steg för att neka.
• Efter ett nej: Be den tekniska leverantören redogöra för vilka förfrågningar som inte längre görs och vilken information som inte längre lagras i en kontrollerad webbläsarmiljö. En skärmbild där popupfönstret har stängts räcker inte.
• Val för enskilda syften: Kontrollera varje syfte mot vad som faktiskt läses in och bekräfta att alternativen i gränssnittet styr motsvarande beteende.
• Ändra valet och återkalla samtycke: Visa var gästerna hittar tillbaka till inställningarna och hur webbplatsens faktiska beteende ändras när inställningarna ändras. Det får inte finnas en väg till inställningarna där ändringarna inte går att spara.

Alternativen att acceptera och neka ska vara lika tydliga på alla språk, och gästerna ska själva få välja. Om menyn eller bokningen slutar fungera efter att någon har nekat annonser ska ni be den som underhåller webbplatsen att utreda orsaken. Försök inte dölja felet genom att kräva att gästen accepterar allt på nytt. Be om professionell rådgivning om särskilda villkor för tjänsten kan vara aktuella.

Uppdatera granskningen när ni byter leverantör

När ni byter boknings-, kart- eller annonstjänst kan den tidigare informationen och valen bli inaktuella. Den ansvariga ska be leverantören uppdatera komponentförteckningen, syftena och vad de olika valen får för resultat samt ange vilka beteenden som ännu inte har utretts och vem som tar över ansvaret. Spara nödvändigt underlag för interna kontroller, men begär inte in webbläsardata från gästernas enheter som saknar samband med frågan.

Cookiehantering täcker inte alla skyldigheter som gäller kontaktuppgifter vid bokning, medlemsuppgifter och betalningsuppgifter. Granska användningen av dessa uppgifter separat. Personalen ska ge personlig hjälp med frågor eller beställningar och hänvisa juridiska frågor till rätt ansvarig. Påstå inte att installationen av ett visst verktyg innebär att verksamheten följer reglerna för all framtid.