Tracking-scripts og GDPR-venlig tracking: hvad de indsamler, og hvad der kræver samtykke

Hvad et tredjeparts-script er, og hvorfor det kører med fuld adgang til siden

Når en hjemmeside loader, henter browseren ikke kun sidens eget indhold. Den henter typisk også en række scripts fra eksterne leverandører: analyseværktøjer, tag managers, chat-widgets, bookingmoduler og andet indlejret funktionalitet. Et script adskiller sig fra et almindeligt indhold-element som et billede ved, at det er kørende kode. Det kan reagere på, hvad brugeren gør på siden, sende oplysninger videre af sig selv, og gøre det gentagne gange, uden at brugeren foretager sig noget aktivt.

Det afgørende er, at et script, der er lagt ind på en side, som udgangspunkt kører med samme adgang som sidens egen kode. Browseren skelner ikke meningsfuldt mellem "sidens eget script" og "et tredjeparts-script", når først begge er indlæst i samme side. De deler den samme kontekst og kan i praksis læse det samme. Det betyder, at den, der lægger et tredjeparts-script ind på sin side, reelt giver en ekstern leverandør adgang til at observere og handle på siden, i det øjeblik siden vises.

Hvad analytics/tag managers typisk indsamler

Analyseværktøjer og tag managers er bygget til at måle og videreformidle, hvad der sker på en side, og de typer oplysninger, de læser, går ofte videre end det, man umiddelbart tænker på som "statistik". Datatilsynets vejledning om behandling af oplysninger om hjemmesidebesøgende beskriver et typisk eksempel: et analyseværktøj, der registrerer den besøgendes IP-adresse, oplysninger om browseren, cookie-identifikatorer, hvilke undersider der besøges, og hvor længe.

En tag manager adskiller sig fra et enkelt analyseværktøj ved selv at fungere som en slags styringslag: det er et script, hvis opgave er at loade og administrere andre scripts ud fra regler, i stedet for at hvert værktøj skal indsættes i sidens kode direkte. Det gør det hurtigt at tilføje eller ændre, hvilke værktøjer der kører, men det betyder samtidig, at det samlede billede af, hvad der indsamles via siden, kan ændre sig, uden at nogen redigerer selve sidens synlige kode. Overblikket over, hvad der reelt loades og indsamles, kræver derfor et aktivt kig på, hvad tag manageren er sat op til at gøre, ikke kun på sidens kildekode.

Hvordan scripts kan efterlade cookies og sende data til tredjeparter

Et analyse- eller tracking-script sætter typisk sin egen cookie eller en tilsvarende identifikator, som gør det muligt for leverandøren at genkende den samme browser, næste gang scriptet kører, enten på samme side eller på en helt anden side, hvor det samme script er indlejret. De oplysninger, scriptet indsamler undervejs, bliver som regel ikke liggende på hjemmesidens egen server. De sendes videre til leverandørens infrastruktur, hvor de behandles og opbevares, fordi det er dér analysen eller funktionaliteten reelt finder sted.

Det betyder, at data om en besøgende typisk forlader den hjemmeside, den blev indsamlet på, og havner hos en tredjepart. Ligger den tredjeparts servere uden for EU/EØS, er der desuden tale om en overførsel til et tredjeland, hvilket er et selvstændigt regelsæt oven i selve spørgsmålet om samtykke til at indsamle oplysningerne i første omgang. De to lag hænger sammen, men er ikke det samme spørgsmål.

Hvorfor samtykke som udgangspunkt skal indhentes før scriptet loader

ePrivacy-reglerne, som ligger til grund for kravet om samtykke til cookies og lignende teknologier, er formuleret om selve handlingen at gemme eller læse oplysninger i en brugers udstyr, ikke om, hvad oplysningerne bagefter bruges til. Kravet er derfor knyttet til det tidspunkt, hvor scriptet rent faktisk gør noget ved udstyret, og ikke til et senere tidspunkt, hvor dataene måtte blive analyseret.

EDPB har i sine retningslinjer om den tekniske afgrænsning af reglen uddybet, at den gælder bredt for sporingsteknikker, ikke kun for klassiske cookies, men også for eksempelvis URL- og pixel-baseret tracking, sporing alene baseret på IP-adresse og andre metoder, der opnår en tilsvarende genkendelse af en bruger over tid. Et analyse- eller tag manager-script, der begynder at indsamle den slags oplysninger, i det øjeblik det loader, falder derfor ind under samme udgangspunkt: den, der er ansvarlig for siden, skal have et gyldigt grundlag på plads, før scriptet sættes i gang, ikke først, når det allerede har kørt.

Når de indsamlede oplysninger efterfølgende udgør personoplysninger, gælder desuden GDPR's krav om et behandlingsgrundlag for selve behandlingen. Databeskyttelsesforordningens artikel 6 lister de grundlag, en behandling kan hvile på, hvoraf samtykke er ét af dem. De to regelsæt (reglen om adgang til udstyret og reglen om behandlingsgrundlag for personoplysninger) gælder ved siden af hinanden, og begge skal være opfyldt, når et script både læser fra udstyret og efterfølgende behandler det, det finder.

GDPR-venlig tracking: hvad der er muligt uden samtykke, og hvad scanneren måler

»GDPR-venlig tracking« er et udtryk, leverandører bruger om måleværktøjer, der lover at kunne køre uden cookie-samtykke. Reglerne kender ikke udtrykket, så det er værd at skille to spørgsmål ad, som etiketten blander sammen.

Det første spørgsmål er, om værktøjet gemmer eller læser noget i den besøgendes udstyr, eller på anden måde genkender den samme bruger igen over tid. Gør det det, gælder ePrivacy-reglens udgangspunkt om forudgående samtykke, uanset om der er en klassisk cookie involveret. EDPB's retningslinjer nævner udtrykkeligt sporing baseret på IP-adresse, URL-parametre og pixels som teknikker, der er omfattet på linje med cookies. En »cookieløs« løsning er derfor ikke i sig selv en samtykkefri løsning. Spørgsmålet er, om værktøjet gemmer eller læser noget i udstyret, ikke om der er en cookie involveret.

Det andet spørgsmål er, om de oplysninger, der indsamles, er personoplysninger. Datatilsynets vejledning om hjemmesidebesøgende nævner IP-adresser og cookie-id'er som typiske eksempler på oplysninger, der normalt behandles som personoplysninger. Er det tilfældet, kræver GDPR's artikel 6 et behandlingsgrundlag oven i ePrivacy-spørgsmålet, og samtykke er kun ét af de mulige grundlag.

Måling, der hverken gemmer eller læser noget i udstyret, ikke genkender den enkelte besøgende igen, og kun håndterer oplysninger, der ikke kan føres tilbage til en person, falder uden for begge krav. Om et konkret værktøj holder sig inden for den ramme, afhænger af dets opsætning, ikke af leverandørens etiket, og det er en vurdering, du selv eller din rådgiver må foretage ud fra leverandørens egen dokumentation.

Det, scanneren måler, er adfærden, ikke etiketten: hvilke tredjeparts-scripts der indlæses, når siden åbnes, hvilke af dem der kører, før et cookie-valg er truffet, og hvad der stadig indlæses efter et klik på afvis. Et værktøj, der markedsføres som samtykkefrit, men som indlæses og sætter en identifikator i browseren ved første sidevisning, viser sig i den måling som et script, der kører før samtykke. Den observation siger ikke i sig selv, om opsætningen er tilladt. Den viser, hvad der faktisk sker, så vurderingen kan bygge på det.

Hvor du kan læse de officielle regler

Datatilsynets vejledning om behandling af personoplysninger om hjemmesidebesøgende gennemgår, hvilke oplysninger analyseværktøjer typisk indsamler, og hvordan rollefordeling og behandlingsgrundlag hænger sammen. EDPB's retningslinjer om den tekniske afgrænsning af ePrivacy-reglens artikel 5(3) uddyber, hvilke sporingsteknikker der er omfattet, ud over klassiske cookies. Databeskyttelsesforordningens artikel 6 hos EUR-Lex fastlægger de behandlingsgrundlag, en behandling af personoplysninger kan hvile på. Alle tre kilder er samlet herunder, så du kan læse dem i deres fulde ordlyd.