Vefkökur og samþykkisborði: hvað þarf að virka?

Samþykkisborði er ekki kominn í lag bara af því hann sést

Fyrirtæki setur borða neðst á vefinn, bætir við hnappi sem segir „Samþykkja“ og telur verkefninu lokið. Á bak við borðann geta Google Analytics, auglýsingapixlar, myndbönd, spjallkerfi og önnur tól samt hafist áður en gesturinn velur. Eða valið virkar á forsíðunni en gleymist þegar fólk fer á næstu síðu.

Þá er borðinn aðeins viðmót. Samþykkiskerfið sjálft er ekki staðfest.

**Stutta svarið:** byrjaðu á skrá yfir það sem vefurinn geymir eða les í tæki notandans. Flokkaðu hvert atriði eftir raunverulegum tilgangi, haltu valfrjálsum tögum óvirkum þar til gilt val liggur fyrir og gerðu jafn auðvelt að hafna og að samþykkja. Prófaðu síðan hreina heimsókn, samþykki, höfnun og afturköllun í vafranum — ekki bara útlit borðans.

Þessi grein fjallar um vefinn, valið og rekstrarferlið í kringum samþykki. Hún er ekki lögfræðiálit og ekki tæknilegur leiðarvísir fyrir Google Consent Mode. Ef vandinn er sérstaklega að GA4 eða Google Ads fái röng consent-merki tekur greinin um Consent Mode og mælingar við því intenti.

Byrjaðu á því sem vefurinn gerir, ekki textanum í borðanum

Þú getur ekki gefið skýrar upplýsingar um kerfi sem enginn hefur kortlagt. Fyrsta verkefnið er því ekki að velja lit á hnapp heldur að gera tæknilega skrá yfir allt sem getur geymt eða sótt upplýsingar í tæki gestsins.

Skoðaðu meðal annars:

• vefmælingar og merkjastýringarkerfi
• auglýsingapixla og endurmarkaðssetningu
• innfelld YouTube-, Vimeo- eða kortaefni
• spjall, bókun, greiðslur og ytri eyðublöð
• innskráningu, öryggi, körfu og tungumálaval
• A/B prófanir, hitakort og upptökur notendaferla
• staðbundna vistun og aðra svipaða tækni, ekki bara skrár sem heita vefkökur

Skráðu eiganda, tilgang, þjónustuveitanda, líftíma og hvaða gögn fara út af vefnum. Keyrðu vefinn líka í hreinum vafra og skoðaðu netbeiðnir og geymslu áður en nokkuð er valið. Gamalt script í sniðmáti eða viðbót getur verið virkt þó enginn muni lengur eftir því.

Þessi skrá er grunnurinn að borðanum og vefkökustefnunni. Texti sem nefnir aðeins „betri upplifun“ getur ekki staðið í stað raunverulegs yfirlits.

Aðgreindu nauðsyn frá þægindum og markaðssetningu

Samkvæmt 88. gr. gildandi laga um fjarskipti þarf upplýst samþykki þegar kerfi safnar, geymir eða fær aðgang að upplýsingum í endabúnaði notanda, nema lagaheimild eigi við. Lögin gera jafnframt ráð fyrir afmarkaðri heimild til tæknilegrar geymslu í lögmætum tilgangi með vitund notandans.

Það er ekki verkefni hönnuðar eða viðbótarsniðmáts að kalla allt „nauðsynlegt“. Flokkunin þarf að byggja á því hvort tæknin sé raunverulega nauðsynleg fyrir þjónustu sem notandinn bað um eða fyrir örugga grunnvirkni.

Oft nauðsynlegt

Atriði geta verið nauðsynleg þegar þau halda körfu milli skrefa, varðveita innskráningu, verja eyðublað gegn misnotkun eða muna samþykkisvalið sjálft. Jafnvel þá á notkunin að vera afmörkuð við það verkefni.

Yfirleitt valfrjálst

Vefgreining, auglýsingamæling, endurmarkaðssetning, hitakort og persónusniðin efni eru ekki sjálfkrafa nauðsynleg af því fyrirtækið vill sjá árangur. Innfellt myndband eða spjall getur líka sent gögn til þriðja aðila áður en gesturinn notar eiginleikann.

Ef teymið er ósammála um flokk þarf að skrá forsenduna og fá viðeigandi faglegt mat. „Kerfið setti þetta svona“ er ekki rökstuðningur.

Fyrsta lagið þarf að bjóða raunverulegt val

Gilt samþykki snýst ekki bara um að einhver hafi ýtt á litríkan hnapp. Samkvæmt 7. gr. GDPR þarf beiðnin að vera skýr og aðgengileg, ábyrgðaraðili þarf að geta sýnt fram á samþykkið og jafn auðvelt á að vera að draga það til baka og að veita það.

Cookie Banner Taskforce hjá EDPB tók sérstaklega fyrir mynstur eins og engan höfnunarhnapp á fyrsta lagi, fyrirfram hakaða reiti, villandi liti og skort á auðveldri afturköllun. Þetta gefur hagnýt viðmið fyrir hönnunina:

• sýndu samþykki og höfnun sem raunverulega sýnilega valkosti
• ekki hafa valfrjálsa flokka virka fyrirfram
• segðu hvað flokkarnir gera á skiljanlegu máli
• hafðu nánari stillingar aðgengilegar án þess að fela grundvallarvalið þar inni
• forðastu lit, stærð eða orðalag sem ýtir fólki óvart í eitt svar

Hnapparnir þurfa ekki að vera sjónrænt tvíburar. Þeir þurfa hins vegar að vera nógu jafngildir til að fólk skilji að það hafi raunverulegt val. Þetta þarf líka að virka með lyklaborði, skjálesara, stækkun og litlum skjá. Vefaðgengisprófun nær yfir það stærra verkefni.

Borðinn, stefnan og tæknin þurfa að segja sama hlutinn

Samþykkiskerfið hefur þrjú lög sem mega ekki reka hvert í sína áttina.

1. Borðinn

Hann gefur stutta skýringu og gerir fólki kleift að samþykkja, hafna eða velja flokka. Hann á ekki að reyna að troða allri lagalegri upplýsingagjöf á einn lítinn skjá.

2. Vefkökustefnan

Hún útskýrir hvaða tækni er notuð, í hvaða tilgangi, af hverjum og hversu lengi. Hún þarf að endurspegla núverandi vef, ekki lista sem var afritaður við síðustu endurhönnun.

3. Tæknilega stýringin

Hún tryggir að valfrjáls tög og innfellt efni hegði sér samkvæmt valinu. Ef stefnan segir að markaðskökur bíði en Meta Pixel hleðst fyrir val er textinn ekki að stjórna raunveruleikanum.

Eigandi þarf að bera ábyrgð á öllum þremur lögum. Lögfræðingur getur yfirfarið forsendur og orðalag, en þróunar- eða mælingateymið þarf að sanna tæknilega hegðunina. Hvorugt kemur í stað hins.

Afturköllun er hluti af aðalflæðinu

Margir vefir gera fyrsta valið sýnilegt en fela breytingu á því. Notandinn þarf þá að hreinsa gögn í vafra eða leita í löngum persónuverndartexta til að finna stillingarnar.

Settu varanlegan og skiljanlegan hlekk, til dæmis „Vefkökustillingar“, í fót eða annan stöðugan stað. Þegar notandi breytir samþykki þarf kerfið að:

1. vista nýja valið 2. stöðva framtíðarhleðslu taga í höfnuðum flokki 3. uppfæra samþykkismerki til tengdra kerfa þar sem það á við 4. meðhöndla gögn sem þegar eru í vafranum samkvæmt skilgreindu ferli 5. sýna notandanum að breytingin hafi tekist

Ekki lofa sjálfkrafa að öll gögn hverfi úr öllum ytri kerfum við einn smell nema framkvæmdin geri það í raun. Afturköllun stöðvar ekki með töfrum alla fyrri vinnslu; hún þarf skýrt tæknilegt og rekstrarlegt ferli.

Prófaðu fjórar leiðir frá hreinni byrjun

Samþykkispróf á ekki að byrja í vafra sem hefur þegar samþykkt allt. Notaðu nýtt notandasnið eða eyðdu geymslu og staðfestu hverja leið sérstaklega.

Leið 1: ekkert val

Opnaðu síðuna og bíddu. Nauðsynleg virkni á að virka en valfrjáls greiningar- og markaðstög eiga ekki að hefjast eins og samþykki hafi verið gefið. Prófaðu fleiri en eina síðu og leið sem hleður ytra efni.

Leið 2: hafna valfrjálsu

Smelltu á höfnun, farðu milli síðna og endurhlaðaðu. Vefurinn á að muna valið, halda grunnvirkni og sleppa tögum sem tilheyra höfnuðum flokkum.

Leið 3: samþykkja valda flokka

Veldu til dæmis greiningu en ekki markaðssetningu. Staðfestu í netbeiðnum, geymslu og greiningartóli fyrir tög að flokkarnir séu raunverulega aðskildir. Tvö heiti í viðmóti hjálpa ekki ef sama ræsingarregla hleður öllu.

Leið 4: draga samþykki til baka

Samþykktu, lokaðu borðanum og finndu stillingarnar aftur án leiðbeininga. Breyttu valinu og staðfestu að næsta síðufletting og ný heimsókn fylgi nýju stöðunni.

Prófaðu þetta í síma og tölvu, í helstu vöfrum og eftir útgáfu sem bætir við nýju formi, myndbandi, spjalli eða mælingatagi. Þetta á heima í viðhaldi vefsins, ekki bara í gátlista fyrir fyrsta birtingardag.

Þrjár algengar bilanir sem fallegt viðmót felur

Tög hlaðast fyrir val

Borðinn kemur rétt upp en merkjastýringarkerfi, viðbót eða harðkóðað script sendir beiðni strax. Lausnin er ekki nýr texti heldur að finna allar hleðsluleiðir og stöðva þær á réttum stað.

Flokkarnir eru aðeins merkingar

Notandi hafnar markaðssetningu en samþykkir tölfræði. Samt fara bæði vefmælingar og auglýsingapixlar af stað. Þá er samþykkisvalið ekki tengt ræsingarreglum og þjónustuveitendum með nægilegri nákvæmni.

Nýtt tól fer fram hjá kerfinu

Spjall, bókun eða ný herferð fær script beint í síðusniðmát. Enginn uppfærir skrána, borðann eða stefnuna. Þess vegna þarf samþykkisúttekt að vera hluti af breytingaferlinu, ekki verkefni sem var klárað einu sinni.

Ábyrgðarkort sem kemur í veg fyrir að verkefnið týnist

Skiptu ábyrgðinni skýrt:

• reksturinn samþykkir hvaða tól og tilgangur eiga erindi
• persónuverndarábyrgð metur heimildir, upplýsingar og varðveislu
• hönnun og efni tryggja skýrt, aðgengilegt og hlutlaust val
• þróun og mælingar tengja valið við raunverulega hegðun taga
• eigandi vefsins sér til þess að skrá, stefna og próf uppfærist við breytingar

Fyrir lítið fyrirtæki geta sömu tvær manneskjur sinnt fleiri en einu hlutverki. Hlutverkin þurfa samt að vera sýnileg svo þjónustuaðili geri ekki ráð fyrir að einhver annar hafi staðfest allt.

Birtingargátlisti fyrir samþykkiskerfið

• Allar vefkökur og svipuð tækni hafa verið skráðar úr raunverulegum vafraprófum.
• Hvert atriði hefur eiganda, tilgang, flokk og skráða forsendu.
• Valfrjálsir flokkar eru ekki virkir fyrirfram.
• Samþykki, höfnun og nánari stillingar eru auðfundin og skiljanleg.
• Borðinn virkar með lyklaborði, skjálesara, stækkun og í litlum skjá.
• Vefkökustefnan passar við tögin sem eru núna í notkun.
• Hægt er að opna stillingar aftur og draga samþykki til baka.
• Höfnun brýtur ekki nauðsynlega virkni eða lokar óskylt efni.
• Netbeiðnir og geymsla hafa verið prófuð fyrir ekkert val, höfnun, hlutaval og afturköllun.
• Ný tól komast ekki í birtingu án flokkunar og endurprófunar.

Hvað þessi síða á ekki að reyna að gera

Hún á ekki að fullyrða að eitt borðakerfi henti öllum vefjum. Tólið þarf að passa við tæknigrunn, tög, tungumál, aðgengi og viðhaldsgetu fyrirtækisins.

Hún á ekki að kalla allt nauðsynlegt til að bjarga mælingum. Rekstraráhugi fyrirtækisins og tæknileg nauðsyn fyrir notandann eru ekki sami hluturinn.

Hún á ekki að vera almenn persónuverndarstefna, heildarúttekt á persónuvernd eða lögfræðiálit um einstaka vinnslu. Hún á heldur ekki að tvöfalda Consent Mode greinina, sem fjallar um merkin milli samþykkiskerfis, Google taga, GA4 og Ads.

Gott samþykkiskerfi þolir raunverulegt nei

Markmiðið er ekki að hámarka hlutfall þeirra sem samþykkja allt. Markmiðið er að vefurinn gefi skýrar upplýsingar, virði valið og haldi áfram að sinna grunnverkefni sínu.

Byrjaðu á tæknilegri skrá, ekki borðasniðmáti. Flokkaðu tilganginn, tengdu valið við tögin og prófaðu allar fjórar leiðirnar í hreinum vafra. Settu síðan eiganda á ferlið svo næsta viðbót eða herferð geri kerfið ekki úrelt.

Ef samþykkisborðinn, vefkökustefnan og mælingarnar segja ekki sama hlutinn getur 55.is kortlagt vefinn, lagað samþykkisflæðið og prófað tæknilega hegðunina sem hluta af vefsíðugerð. Þar sem lögfræðilegt mat þarf að liggja fyrir á það að koma frá viðeigandi sérfræðingi áður en breytingin er samþykkt.