01
Banneret
Mange nettsteder viser et banner om informasjonskapsler med knappene «Godta» og «Avvis».
SAMTYKKE TIL INFORMASJONSKAPSLER
Samtykke skal fungere, ikke bare vises.
Før valget, ved aksept, ved avvisning og ved tilbaketrekking.
01 / 08Banneret
Et nettsted ber om lov til å bruke informasjonskapsler
Banneret lar den besøkende godta eller avvise. Spørsmålet er om nettstedet respekterer valget.
02 / 08Før valget
Sporingen starter før svaret
Den besøkende har ikke klikket på noe ennå, og det ligger allerede sporingskapsler i nettleseren.
03 / 08Avvisningen
Å avvise endrer ingenting
Den besøkende klikker på «Avvis», banneret lukkes, og sporingskapslene ligger der fortsatt. Banneret vises, men det virker ikke.
04 / 08Regelen
Samtykket kommer før informasjonskapslene
Ekomloven § 3-15 krever informasjon og samtykke før opplysninger lagres eller leses på brukerens utstyr, bortsett fra det som er strengt nødvendig, og Datatilsynet krever at valget om å avvise ligger i samme lag av banneret som valget om å godta.
05 / 08Testen
Tre rene besøk på samme nettsted
Vi åpner nettstedet i tre uavhengige økter, uten spor etter tidligere besøk: én der vi godtar og deretter trekker samtykket tilbake, én der vi avviser, og én der vi tilpasser innstillingene.
06 / 08Oversikten
Vi følger med på hva som dukker opp i hvert trinn
Før valget, etter hver handling og etter at siden er lastet inn på nytt, registrerer vi informasjonskapsler, lokal lagring og nettverksforespørsler, og vi skiller de nødvendige fra dem som brukes til sporing, og fra dem der formålet ennå er uavklart.
07 / 08Dokumentasjonen
Hvert besøk blir dokumentert
Vi tar vare på skjermbilder, video, nettverkslogg og tidslinje for hver økt, i signerte filer som en tredjepart kan verifisere.
08 / 08Resultatet
Funn som kan reproduseres
Rapporten viser hva som ble observert i hvert trinn, slik at teamet ditt kan rette banneret eller vurdere en leverandør. Dette er teknisk dokumentasjon fra ett bestemt besøk. En tredjepart kan verifisere den og gjenta testen; den juridiske vurderingen av den er en oppgave for den kompetente myndigheten, en domstol eller en fagperson.
Samtykke skal fungere, ikke bare vises.
Beskrivelse av hver scene
- Et nettsted ber om lov til å bruke informasjonskapsler. En side på et helt vanlig nettsted åpnes, og nederst vises banneret «Vi bruker informasjonskapsler» med to like store knapper, «Godta» og «Avvis», forbundet med et likhetstegn. Til høyre vises en kjeks som det er tatt en bit av, med et spørsmålstegn og spørsmålet «Respekteres valget?».
- Sporingen starter før svaret. Banneret er fortsatt åpent, og markøren har ikke klikket på noen av knappene. Til høyre åpnes panelet «Lagret i nettleseren», og tre informasjonskapsler dukker opp én etter én: «ads_uid», «track_id» og «stats_id», hver med den røde etiketten «Sporing». Tre røde prikker tennes i verktøylinjen i nettleseren. En rød teller viser «Før valget» og «3 sporingskapsler», og en tidslinje plasserer «Sporing pågår» før «Ikke valgt ennå».
- Å avvise endrer ingenting. Markøren klikker på «Avvis», og banneret lukkes. I panelet «Lagret i nettleseren» blir de tre sporingskapslene liggende, med rød ramme, og en pil peker utover med teksten «Forespørsler til tredjepart». Nedenfor står to kort mot hverandre, atskilt av tegnet «ikke lik»: «Det som ble valgt», med knappen «Avvis», og «Det som skjer», med tre røde informasjonskapsler.
- Samtykket kommer før informasjonskapslene. To kort: «Samtykke først», med henvisningen «Ekomloven § 3-15», og «Like enkelt å avvise som å godta», med henvisningen «Datatilsynets veiledning». Nedenfor vises to eksempler på bannere: ett med knappene «Godta» og «Avvis» i samme størrelse, med merknaden «Likestilte valg» og en hake, og ett med en stor «Godta»-knapp og en liten, lite synlig «Avvis», med merknaden «Skjult avvisning» og et kryss.
- Tre rene besøk på samme nettsted. Siden lastes inn på nytt med banneret sitt, og fyrtårnet til VigiaLabs kaster en lyskjegle over den. Til høyre vises tre baner, én per økt: «Godta og trekk tilbake», «Avvis» og «Tilpass». I hver bane tennes kontrollpunktene ett etter ett.
- Vi følger med på hva som dukker opp i hvert trinn. En skannelinje beveger seg nedover siden i lyset fra fyrtårnet. Til høyre fylles det ut en tabell med kolonnene «Nødvendige», «Sporing» og «Uavklarte» og radene «Før valget», «Etter aksept», «Etter avvisning» og «Trukket tilbake». Hver rad viser én nødvendig informasjonskapsel og én uavklart; det er tre sporingskapsler i hver av de tre første radene og ingen i den siste. Sporingskapslene i radene «Før valget» og «Etter avvisning» er uthevet i rødt.
- Hvert besøk blir dokumentert. Hjørnemarkeringer rammer inn siden, og et glimt viser at det tas et skjermbilde. Til høyre åpnes en mappe med tittelen «Saksmappe» med fire typer dokumentasjon: «Skjermbilde», «Video», «Nettverkslogg» og «Tidslinje». Under mappen vises seglet «Signert manifest», ved siden av fyrtårnet.
- Funn som kan reproduseres. Et dokument med tittelen «Rapport» viser fire linjer: «Før valget», med et kryss; «Etter aksept», med en hake; «Etter avvisning», med et kryss; og «Trukket tilbake», med en hake. Deretter vises siden i rettet utgave: markøren klikker på «Avvis», banneret lukkes, de røde prikkene i verktøylinjen i nettleseren slukkes, og i panelet «Lagret i nettleseren» ligger bare «consent_choice» igjen, med etiketten «Nødvendig». Telleren er ikke lenger rød og viser «Etter avvisning» og «0 sporingskapsler».
KORT FORTALT
Bannere om informasjonskapsler som vises, men ikke respekteres.
Et banner lar deg avvise informasjonskapsler, men nettstedet respekterer kanskje ikke valget. Vi gjennomgår informasjon og tester atferd før valget, etter aksept og etter avvisning, innenfor ekomlovens regler og GDPR der det er relevant.
02
Før valget
På noen blir sporingskapsler lagret før den besøkende har valgt.
03
Avvisningen
På andre ligger de der fortsatt selv om den besøkende klikker på «Avvis».
04
Regelen
Loven krever samtykke før det brukes informasjonskapsler som ikke er nødvendige.
05
Testen
VigiaLabs besøker nettstedet, prøver hver knapp og noterer hvilke informasjonskapsler som dukker opp i hvert trinn.
06
Dokumentasjonen
VigiaLabs tar vare på dokumentasjonen i signerte filer og leverer en rapport. Rapporten er ikke et juridisk sertifikat.
SLIK TESTER VI
Fire trinn, fra besøk til rapport.
Reproduserbare funn som hjelper tekniske team og personvernteam med å prioritere forbedringer.
Tidspunkter som registreres
- Før valget
- Etter aksept
- Etter avvisning
- Trukket tilbake
Teknisk dokumentasjon, ikke et sertifikat
Dette er teknisk dokumentasjon fra ett bestemt besøk. En tredjepart kan verifisere den og gjenta testen; den juridiske vurderingen av den er en oppgave for den kompetente myndigheten, en domstol eller en fagperson.
- 01
Tre rene besøk på samme nettsted
Vi åpner nettstedet i tre uavhengige økter, uten spor etter tidligere besøk: én der vi godtar og deretter trekker samtykket tilbake, én der vi avviser, og én der vi tilpasser innstillingene.
- 02
Vi følger med på hva som dukker opp i hvert trinn
Før valget, etter hver handling og etter at siden er lastet inn på nytt, registrerer vi informasjonskapsler, lokal lagring og nettverksforespørsler, og vi skiller de nødvendige fra dem som brukes til sporing, og fra dem der formålet ennå er uavklart.
- 03
Hvert besøk blir dokumentert
Vi tar vare på skjermbilder, video, nettverkslogg og tidslinje for hver økt, i signerte filer som en tredjepart kan verifisere.
- 04
Funn som kan reproduseres
Rapporten viser hva som ble observert i hvert trinn, slik at teamet ditt kan rette banneret eller vurdere en leverandør.
Illustrerende eksempelVL / CMP
Det som ble valgtVi bruker informasjonskapsler
Det som skjerads_uidSporingtrack_idSporingstats_idSporing
Informasjonskapsler og GDPR
En CMP garanterer ikke at reglene for informasjonskapsler følges
En samtykkeløsning (CMP, consent management platform) viser banneret om informasjonskapsler, også kalt cookie-banner, og lagrer valget til den besøkende. Om valget blir respektert, avhenger av hvordan løsningen er koblet til hver tagg, hver piksel og hvert skript på nettstedet.
Derfor kan et nettsted med en CMP fortsatt sette sporingskapsler før den besøkende godtar, eller etter at den besøkende har avvist:
- 01tagger som lastes utenom CMP-en
- 02en standardinnstilling som behandler samtykket som gitt
- 03tredjepartsskript som er lagt til etter installasjonen
- 04informasjonskapsler som ikke slettes når samtykket trekkes tilbake
Din nytteVigiaLabs erstatter ikke en CMP: Ved separate besøk kontrolleres det om nettstedet respekterer valget til den besøkende. Rapporten beskriver det som ble observert; den er heller ikke et sertifikat på at reglene følges.
ORDLISTE
Begrepene og kildene samlet på ett sted.
Hvert tilfelle dokumenteres med kilder og kontekst. Omfang avtales per marked; henvisningene på denne siden gjelder norsk rett.
- Informasjonskapsel (cookie)
- Liten fil som et nettsted lagrer i nettleseren til den besøkende.
- Sporingskapsel
- Informasjonskapsel som brukes til å måle eller følge nettbruken til den besøkende, for eksempel til reklameformål.
- Nødvendig informasjonskapsel
- Informasjonskapsel som er nødvendig for å levere tjenesten den besøkende ber om, for eksempel for å huske valget i banneret.
- Banner om informasjonskapsler
- Melding som informerer om informasjonskapsler og ber om lov til å bruke dem.
- CMP
- Consent management platform, også kalt samtykkeløsning: et verktøy som viser banneret om informasjonskapsler og lagrer valget til den besøkende.
- Ren økt
- Besøk med en nettleser uten informasjonskapsler eller data fra tidligere besøk.
- Ekomloven § 3-15
- Bestemmelse i lov om elektronisk kommunikasjon (ekomloven) som krever informasjon og samtykke før opplysninger lagres eller leses på brukerens utstyr, bortsett fra det som er strengt nødvendig.
- Datatilsynet
- Tilsynsmyndighet som sammen med Nkom fører tilsyn med samtykke til informasjonskapsler i Norge, og som publiserer en veiledning om det.
- Signert manifest
- Liste over filene fra en test med deres digitale fingeravtrykk og en signatur, slik at man kan kontrollere at de ikke er endret.
OFTE STILTE SPØRSMÅL
Den som overser samtykket, konkurrerer med et forsprang.
Et nettsted som fortsetter å spore etter en avvisning, måler og annonserer med data som den som følger reglene, ikke har. Å teste og dokumentere det er første skritt mot konkurranse på like vilkår.
En konkurrent setter sporingskapsler uten samtykke. Hvordan kan jeg dokumentere det?
Med en teknisk test som kan gjentas. VigiaLabs åpner nettstedet i tre rene økter – én der vi godtar og deretter trekker samtykket tilbake, én der vi avviser, og én der vi tilpasser innstillingene – og registrerer informasjonskapsler, lokal lagring og nettverksforespørsler før valget og etter hver handling. Rapporten viser hva som ble observert i hvert trinn, med skjermbilder, video og nettverkslogg i signerte filer.
Hva krever reglene om informasjonskapsler i Norge?
Ekomloven § 3-15 krever informasjon og samtykke før opplysninger lagres eller leses på brukerens utstyr, bortsett fra det som er strengt nødvendig. Datatilsynet krever at valget om å avvise ligger i samme lag av banneret som valget om å godta. Datatilsynet fører sammen med Nkom tilsyn med samtykke til informasjonskapsler i Norge og publiserer en veiledning om det.
Nettstedet mitt har allerede en samtykkeløsning (CMP). Må den likevel testes?
Ja, for en CMP garanterer ikke at reglene følges. Samtykkeløsningen viser banneret om informasjonskapsler og lagrer valget til den besøkende, men om valget blir respektert, avhenger av hvordan den er koblet til hver tagg, hver piksel og hvert skript på nettstedet. Et nettsted med en CMP kan fortsatt sette sporingskapsler før den besøkende godtar, eller etter at den besøkende har avvist.
Kan en forbrukerorganisasjon, et personvernombud eller et personvernteam bruke tjenesten?
Ja. En forbrukerorganisasjon kan teste nettstedene medlemmene bruker, for eksempel banker, nettbutikker og tjenester. Et personvernombud eller et personvernteam kan teste nettstedene til sin egen virksomhet og til leverandørene. Metoden er den samme, og rapporten beskriver det som ble observert, slik at rette vedkommende kan vurdere det.
Kan rapporten brukes som dokumentasjon overfor Datatilsynet?
Rapporten samler teknisk dokumentasjon fra ett bestemt besøk. En tredjepart kan verifisere den og gjenta testen. Den juridiske vurderingen er en oppgave for den kompetente myndigheten, en domstol eller en fagperson. Rapporten er verken et sertifikat på at reglene følges, eller en avgjørelse.
LA OSS SE LENGER
Et klarere bilde begynner
med en samtale.
Fortell oss hva du vil følge med på. Sammen definerer vi et omfang som passer virksomheten din.
La oss snakke om prosjektet dittcontact@vigialabs.ai
En samtale med fokus på mål, markeder og prioriteringer.