Datatilsynet har i to sager om cookie walls fastlagt rammerne for, hvornår adgang til en hjemmeside må gøres betinget af samtykke til behandling af personoplysninger. Modellen kan anvendes, hvis brugeren reelt kan vælge et betalingsalternativ til en rimelig pris, og hvis behandlingen begrænses til det nødvendige, særligt når adgangen er købt.
Afgørelserne blev forelagt Datarådet, og samtidig offentliggjorde tilsynet generelle retningslinjer for samtykkeløsninger ved cookie walls. Sagerne og retningslinjerne kan læses hos Datatilsynet.
Retningslinjerne fremhæver følgende hovedpunkter:
- Rimeligt alternativ: Besøgende, der ikke vil afgive samtykke, skal tilbydes adgang på anden vis, fx mod betaling.
- Rimelig pris: Betalingsalternativet må ikke være urimeligt dyrt; tilsynet regulerer ikke prisniveauer, men vurderer om valget er reelt.
- Nødvendige formål: De formål, der kræver samtykke, skal være nødvendige for det valgte alternativ og må ikke udvides vilkårligt.
- Behandling ved betaling: Når brugeren betaler, må virksomheden kun behandle oplysninger, der er nødvendige for at levere tjenesten, og ikke til markedsføring.
Retningslinjerne knytter an til GDPR’s krav om frivilligt samtykke, nødvendighed og formålsbegrænsning (bl.a. art. 5, 6 og 7) og skal ses i samspil med ePrivacy-reglerne om cookies. Positionen adskiller sig delvist fra Det Europæiske Databeskyttelsesråds tidligere fortolkning, jf. EDPB’s vejledning om samtykke.
For virksomheder skærpes behovet for dokumentation og governance: foretag proportionalitetsvurdering af betalingsmodellen, konfigurer samtykkestyring, og opdater oplysningspligter. Se også Datatilsynets materiale om cookies og behandling af hjemmesidebesøgende her.
