Journalnummer: 2021-31-5553

Resume

Siden Datatilsynet i begyndelsen af 2020 satte fokus på behandling af personoplysninger om hjemmesidebesøgende, har tilsynet modtaget en række henvendelser om brugen af såkaldte cookie walls.

På baggrund af to konkrete klager har Datatilsynet taget stilling til, i hvilket omfang Gul og Gratis’ og Jysk Fynske Mediers brug af såkaldte cookie walls var inden for rammerne af databeskyttelsesreglerne.

Sagerne er blevet behandlet i Datarådet.

Datatilsynet fandt overordnet, at en fremgangsmåde, hvor den hjemmesidebesøgende kan tilgå indholdet på en hjemmeside eller tjeneste mod enten at give samtykke til behandling af sine personoplysninger eller mod betaling, opfylder databeskyttelsesreglernes krav til et gyldigt samtykke.

Jysk Fynske Mediers brug af cookie walls

For så vidt angår Jysk Fynske Medier fandt Datatilsynet, at virksomhedens specifikke fremgangsmåde, hvor de besøgende mod deres samtykke kunne få adgang til dele af indholdet på jv.dk (ulåste artikler) eller til alt indholdet på jv.dk ved at tegne et abonnement, ikke opfyldte kravene til et gyldigt samtykke.

Det skyldes, at den tilbudte tjeneste mod samtykke ikke i vidt omfang var tilsvarende den, der blev tilbudt mod betaling, og at de besøgende dermed ikke reelt præsenteredes for et frit valg.

Tilsvarende fandt Datatilsynet, at Jysk Fynske Medier ikke havde påvist, at behandling af personoplysninger til statistiske formål også var en nødvendig del af alternativet til betaling.

Virksomheden blev derfor meddelt et påbud om at sikre, at samtykket fra de besøgende på jv.dk opfylder kravene i databeskyttelsesforordningen, og om at kunne påvise, at samtykket opfylder kravene om et frivilligt samtykke – det vil sige, at virksomheden enten skal påvise, at statistiske formål er en nødvendig del af alternativet til betaling, eller skal tilpasse samtykkeløsningen så de besøgende kan give særskilt samtykke til dette formål.

Find afgørelsen vedrørende Gul og Gratis' brug af cookie walls her.

Afgørelse

Datatilsynet vender hermed tilbage i sagen, hvor [X] (herefter klager) den 18. september 2021 har klaget til tilsynet over Jysk Fynske Medier P/S’ behandling af personoplysninger om ham på hjemmesiden jv.dk, idet han alene kan tilgå hjemmesidens indhold ved at give samtykke til behandling af sine personoplysninger eller ved at tegne et abonnement.

Datatilsynet bemærker indledningsvis, at det ikke fremgår af sagen, hvorvidt Jysk Fynske Medier har behandlet klagers personoplysninger i forbindelse med vedkommendes besøg på jv.dk, og i givet fald hvornår.

Datatilsynet tager derfor med denne afgørelse stilling til, hvorvidt Jysk Fynske Mediers nuværende behandling af personoplysninger om besøgende på jv.dk sker inden for rammerne af databeskyttelsesforordningen^[1].

I den forbindelse tager Datatilsynet udelukkende stilling til spørgsmålet om, hvorvidt Jysk Fynske Mediers fremgangsmåde til indhentelse af samtykke til behandling af oplysninger om hjemmesidebesøgende på jv.dk opfylder databeskyttelsesforordningens krav om samtykkets frivillighed, jf. databeskyttelsesforordningens artikel 4, nr. 11.

Sagen har været behandlet i Datarådet.

1. Afgørelse

Efter en gennemgang af sagen finder Datatilsynet, at Jysk Fynske Mediers behandling af personoplysninger ikke sker i overensstemmelse med databeskyttelsesforordningens artikel 6, stk. 1, litra a, jf. artikel 4, nr. 11, samt forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.

Datatilsynet finder derfor grundlag for at meddele Jysk Fynske Medier påbud om at sikre, at samtykket, som Jysk Fynske Medier indhenter fra de hjemmesidebesøgende, opfylder kravene i databeskyttelsesforordningens artikel 4, nr. 11, samt at kunne påvise, at samtykket opfylder databeskyttelsesforordningens krav om et frivilligt samtykke, jf. forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.

Hvis Jysk Fynske Medier fortsat ønsker at benytte en fremgangsmåde, hvor de besøgende tilbydes adgang mod samtykke eller mod betaling, kan påbuddet efterkommes ved, at de besøgende mod samtykke kan opnå adgang til indhold, der i vidt omfang svarer til indholdet, som de besøgende kan få adgang til mod betaling. Alternativt kan påbuddet efterleves ved, at Jysk Fynske Medier tilbyder (endnu) et betalingsalternativ, hvor de besøgende kan få adgang til indhold, som i det væsentlige omfang svarer til indholdet, som de besøgende kan få adgang til mod samtykke.

Jysk Fynske Medier skal derudover kunne påvise, at behandling af personoplysninger til statistiske formål er en nødvendig del af alternativet til adgang mod betaling. Alternativt skal Jysk Fynske Medier tilpasse sin løsning til indhentning af samtykke, således at det er muligt for de hjemmesidebesøgende at give særskilt samtykke til behandling af personoplysninger til statistiske formål.

Fristen for efterlevelse af påbuddet er den 8. marts 2023. Datatilsynet skal anmode om senest samme dato at modtage en bekræftelse på, at påbuddet er efterlevet.

Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.

Ifølge databeskyttelseslovens § 41, stk. 2, nr. 4, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.

Endelig finder Datatilsynet henset til de principielle spørgsmål i sagen, som Datatilsynet ikke tidligere har haft lejlighed til at tage stilling til, at der ikke er grundlag for at udtale kritik af Jysk Fynske Medier i anledning af ovenstående.

Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.

2. Sagsfremstilling

Det fremgår af sagen, at klager ved et besøg på hjemmesiden jv.dk blev anmodet om at give samtykke til behandling af personoplysninger via en løsning med følgende ordlyd:

”Privatlivs- og cookiepolitik

Hjemmesiden anvender cookies og indsamler persondata om IP, ID og din browser til statistik og marketingformål. Oplysninger videregives til vores samarbejdspartnere, der opbevarer og/eller tilgår oplysninger på din enhed med henblik på at vise tilpassede annoncer og annoncemåling, tilpasset indhold, indholdsmåling, målgruppeindsigter og produktudvikling. Se yderligere info under indstillinger og persondatapolitik.

Du kan altid ændre dine indstillinger herunder eller trække dit samtykke tilbage ved at klikke på linket til ”Cookieindstillinger” nederst på siden under menuen.

Vi gør opmærksom på at fravalg af cookies eller personlig tilpasning af cookieindstillinger er forbeholdt betalende abonnenter. Ved at klikke på ”OK” accepteres alle cookies og der gives gratis adgang til websitet og alt ulåst indhold. Ved at klikke ”Bekræft mine valg” gives der mulighed for køb af abonnement og login for abonnenter.”

Klager blev herunder præsenteret for valgmulighed (i) ”Indstillinger”, som gav klager mulighed for at til- eller fravælge samtykke til forskellige formål, (ii) ”Afvis alle”, som afviste brug af alle cookies (på nær nødvendige) til indsamling af personoplysninger, eller (iii) ”OK”, hvorefter klager kunne give samtykke til brug af cookies til indsamling af personoplysninger til alle de nævnte formål.

Ved valget ”Afvis alle” blev klager ledt videre til en ny side med følgende ordlyd:

”Vi vil gerne give dig nyheder af høj kvalitet

Det arbejder vi på hver eneste dag året rundt. Vi kan desværre ikke gøre dette gratis, og er derfor afhængige af annonceindtægter baseret på data og abonnenter. Vil du ikke have, at vi indsamler dine data, vil du i stedet kunne opnå adgang til siden”

Under teksten fremgik muligheden ”Er du abonnent? Log ind her”, ligesom der fremgik to yderligere faner.

Af den ene fane fremgik det, at hjemmesidens ulåste indhold kunne tilgås, hvis den besøgende gav samtykke til indsamling af personoplysninger ved brug af cookies til alle de omhandlede formål.

Af den anden fane fremgik det, at alt indhold på hjemmesiden kunne tilgås, hvis den registrerede købte et abonnement, og at Jysk Fynske Medier i den forbindelse ville acceptere den besøgendes valg af, hvilke formål vedkommendes personoplysninger kunne indsamles til.

2.1. Klagers bemærkninger

Klager har overordnet anført, at samtykkeløsningen, som Jysk Fynske Medier benytter på hjemmesiden jv.dk, er i strid med databeskyttelsesreglerne, idet den registrerede kun har mulighed for at tilgå hjemmesiden ved at give samtykke til behandling af personoplysninger til alle formål eller mod betaling. 

2.2. Jysk Fynske Medier bemærkninger

Jysk Fynske Medier har oplyst, at hvis den besøgende giver samtykke til brug af cookies på jv.dk indsamles personoplysninger i form af IP-adresse, ID og tekniske oplysninger om den anvendte browser til statistiske og markedsføringsformål.

Jysk Fynske Medier har i forhold til behandlingsgrundlag henvist til Jysk Fynske Mediers privatlivs- og cookiepolitik, hvoraf det fremgår, at Jysk Fynske Medier ved besøg på deres hjemmeside(r) behandler oplysninger på baggrund af bl.a. den registreredes samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a.

Om behandling af personoplysninger ved besøg på jv.dk fremgår endvidere følgende af privatlivs- og cookiepolitikken:

”Når du besøger vores hjemmesider, bliver du mødt af en pop up, hvor du kan vælge at give samtykke til indsamling af oplysninger og brug af cookies. Hvis du ikke ønsker at give samtykke til brug af ikke-nødvendige cookies, kan du fortsat benytte de redaktionelle hjemmesider ved at betale for vores indhold eller ved at logge ind, hvis du allerede er abonnent. Når du er logget ind som abonnent, vælger du selv om du ønsker at give samtykke til dette. Du kan altid trække dit samtykke tilbage, med virkning for fremtiden.”

I forhold til Jysk Fynske Mediers behandling af personoplysninger på baggrund af den registreredes samtykke, har Jysk Fynske Medier anført, at det efter Jysk Fynske Mediers opfattelse alene er kravet om frivillighed, der kan sås tvivl om.

Det er imidlertid Jysk Fynske Mediers opfattelse, at dette krav – ligesom de øvrige gyldighedsbetingelser – er opfyldt, og at Jysk Fynske Mediers behandling af personoplysninger på baggrund af den registreredes samtykke derfor er lovlig.

Jysk Fynske Medier har i den forbindelse henvist til Det Europæiske Databeskyttelsesråds retningslinjer 05/2020 om samtykke[2], pkt. 37, og anført, at det er Jysk Fynske Mediers vurdering, at samtykkeløsningen, som jv.dk har implementeret, opfylder kravet om frivillighed, da:

• Der oplyses klart og tydeligt om de to valgmuligheder
• Der sættes ikke cookies, før den besøgende har samtykket hertil
• Betalingen, der kræves for adgangen, er ikke uforholdsmæssig dyr (99 kr./md.)
• Der er tale om tilsvarende indhold med og uden samtykke
• Der er mulighed for, at den besøgende særskilt kan vælge mellem flere formål
• Det er ikke forbundet med skade eller ulempe at afvise eller tilbagetrække et samtykke

Jysk Fynske Medier har herunder anført, at virksomhedens vurdering endvidere understøttes af en afgørelse fra det østrigske datatilsyn vedrørende nyhedsmediet ”Der Standard”. Idet databeskyttelsesforordningen gælder i hele EU, og der tilsigtes ensartet praksis i hele EU, bør reglerne anvendes konsekvent og ensartet overalt i Unionen som beskrevet i forordningens præambelbetragtning nr. 10.

Afgørelsen fra det østrigske datatilsyn omhandlede et nyhedsmedie, der ikke tilbød gratis adgang til indhold uden samtykke til indsamling af personoplysninger til markedsføringsformål, men i stedet gav de besøgende et valg mellem at give samtykke eller at betale for adgang uden brug af cookies. Det østrigske datatilsyn fandt, at nyhedsmediet Der Standards samtykkeløsning opfyldte kravet om frivillighed og lagde i afgørelsen vægt på:

• at der blev oplyst klart og tydeligt om de to muligheder
• at der ikke blev placeret cookies, førend brugeren havde sagt ja til cookies
• at betalingen var proportionel og ikke uforholdsmæssig høj
• at der var tale om tilsvarende ydelser med og uden samtykke
• at den betalte adgang ikke indebar målrettet annoncering.                                                                        

Endelig har Jysk Fynske Medier anført, at et manglende samtykke ikke må medføre skade eller ulempe, fx i form af negative konsekvenser for en registreret, der ikke vil give samtykke. Hvis prisen for den betalte adgang er uforholdsmæssig høj, vil dette kunne være en hindring for, at samtykket kan anses som gyldigt. Jysk Fynske Medier kan desværre ikke levere redaktionelt indhold af høj kvalitet gratis. Jysk Fynske Medier er derfor afhængig af indtægter, hvoraf en del er annonceindtægter. Ønsker den hjemmesidebesøgende Jysk Fynske Mediers redaktionelle indhold – uden at samtykke til behandling af personoplysninger – er betalingen for adgang uden placering af cookies 99 kr./md., hvilket efter Jysk Fynske Mediers opfattelse er en beskeden og proportional betaling for en måneds adgang til alle artikler på jv.dk.

3. Begrundelse for Datatilsynets afgørelse

3.1. Relevante retsregler

Det fremgår af databeskyttelsesforordningens artikel 6, stk. 1, litra a, at behandling af personoplysninger er lovlig, hvis den registrerede har givet samtykke til behandling af oplysninger om vedkommende til et eller flere specifikke formål.

Et samtykke defineres i databeskyttelsesforordningens artikel 4, nr. 11, som enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.

Et samtykke vil ikke være afgivet frivilligt, hvis den registrerede ikke har et reelt eller frit valg og kontrol over oplysninger om sig selv. Enhver form for upassende pres på eller påvirkning af den registreredes frie vilje medfører, at samtykket er ugyldigt.

En dataansvarlig kan i et vist omfang motivere de registrerede til at give samtykke ved, at der er en fordel forbundet med at samtykke. Indmeldelse i en forretnings fordelsprogram kan f.eks. indebære rabatter, som motiverer kunden til at give samtykke til at modtage reklamemateriale fra forretningen. Den rabat eller de fordele, som et samtykke til et fordelsprogram medfører, udelukker ikke, at samtykket kan anses for at være frivilligt.

Det er dog vigtigt at være opmærksom på, om manglende samtykke medfører negative konsekvenser for den registrerede, som ikke vil give samtykke, fx i form af meromkostninger.[3]

Af Det Europæiske Databeskyttelsesråds retningslinjer 5/2020 fremgår bl.a. følgende om betingelsen om frivillighed:

”37. Den dataansvarlige kan hævde, at hans eller hendes organisation giver de registrerede et reelt valg, hvis de kan vælge mellem en tjeneste, der indebærer samtykke til anvendelse af personoplysninger til yderligere formål, og en tilsvarende tjeneste ud-budt af den samme dataansvarlige, som ikke indebærer samtykke til behandling af personoplysninger til yderligere formål. Så længe der er en mulighed for at få kontrakten opfyldt eller den af en kontrakt omfattede tjenesteydelse leveret af den dataansvarlige uden at give samtykke til den anden eller yderligere anvendelse af personoplysningerne, er der ikke tale om en betinget tjeneste. De to tjenester skal dog være helt identiske.

38. Databeskyttelsesrådet mener ikke, at samtykke kan anses for at være givet frivilligt, hvis en dataansvarlig hævder, at der kan vælges mellem den dataansvarliges tjeneste, der inkluderer samtykke til anvendelse af personoplysninger til yderligere formål, og en tilsvarende tjeneste, som udbydes af en anden dataansvarlig. I dette tilfælde ville valgfriheden afhænge af, hvad andre markedsaktører gør, og om den registrerede fin-der den anden dataansvarliges tjenester helt identiske. Det ville endvidere forpligte de dataansvarlige til at overvåge markedsudviklingen for at sikre, at samtykke til deres databehandlingsaktiviteter bliver ved med at være gyldigt, da konkurrenterne eventuelt efterfølgende kan ændre deres tjenester. På grundlag af dette argument er samtykke, som er baseret på et alternativ udbudt af en tredjepart, ikke i overensstemmelse med databeskyttelsesforordningen, hvilket betyder, at en tjenesteyder ikke kan forhindre registrerede i at få adgang til en tjeneste med den begrundelse, at de ikke har givet samtykke.

39. For at samtykke kan anses for at gives frivilligt, må adgangen til tjenester og funktioner ikke være betinget af en brugers samtykke til, at oplysninger lagres, eller at der opnås adgang til oplysninger, der allerede er lagret, i en brugers terminaludstyr (såkaldte cookie walls).

40. Eksempel 6a: En udbyder af et websted opretter et script, som forhindrer indhold i at være synligt, med undtagelse af en anmodning om at acceptere cookies og oplysninger om, hvilke cookies der indsættes, og i hvilke øjemed dataene vil blive behandlet. Det er ikke muligt at få adgang til indholdet, medmindre man klikker på "Accepter cookies"-knappen. Eftersom den registrerede ikke har et reelt valg, er hans eller hen-des samtykke ikke givet frivilligt.

41. Der er ikke tale om et gyldigt samtykke, da tjenestens levering afhænger af, om den registrerede klikker på "Accepter cookies"-knappen. Den registrerede har ikke et reelt valg."

3.2. Datatilsynets vurdering

Det fremgår af sagen, at hjemmesidebesøgende på jv.dk kan få adgang til ulåste artikler ved at give samtykke til brug af cookies til indsamling af personoplysninger til statistiske formål og markedsføringsformål. Alternativt kan de besøgende tegne et abonnement til 99 kr./md.[4], hvorved de får adgang til alle artikler.

Det er Datatilsynets opfattelse, at hjemmesidebesøgende under visse betingelser kan anses for at have et reelt og frivilligt valg i en situation, hvor en virksomhed tilbyder de besøgende indhold mv. mod indhentelse af samtykke til behandling af personoplysninger, så længe virksomheden også tilbyder en alternativ måde at tilgå indholdet på, som ikke involverer behandling af personoplysninger. Det forudsætter imidlertid, at indholdet, som virksomheden tilbyder, i vidt omfang skal være tilsvarende, uanset om de besøgende giver samtykke eller eksempelvis betaler for at få adgang til indholdet eller tjenesten.

Det er på den baggrund Datatilsynets vurdering, at Jysk Fynske Mediers fremgangsmåde, hvor de hjemmesidebesøgende kan få adgang til dele af indholdet på jv.dk ved at give samtykke til behandling af personoplysninger eller til alt indholdet på jv.dk ved at tegne et abonnement, ikke opfylder databeskyttelsesforordningens krav til et gyldigt samtykke, jf. databeskyttelsesforordningens artikel 4, nr. 11.

Datatilsynet har herved navnlig lagt vægt på, at Jysk Fynske Medier tilbyder de hjemmesidebesøgende adgang til ulåste artikler mod samtykke til behandling af oplysninger eller adgang til alle artikler mod betaling ved at tegne et abonnement, og at Jysk Fynske Medier dermed ikke tilbyder en alternativ tjeneste, der i vidt omfang er tilsvarende den, der tilbydes i sammenhæng med samtykkeafgivelse. Det indebærer, at de hjemmesidebesøgende ikke reelt præsenteres for et frit valg.

Datatilsynet finder derudover, at Jysk Fynske Medier ikke har påvist, at de hjemmesidebesøgendes samtykke til behandling af personoplysninger også til statistiske formål er en nødvendig del af alternativet til adgang mod betaling.

Datatilsynet har herved lagt vægt på, at Jysk Fynske Medier alene har anført, at virksomheden er afhængig af indtægter for at kunne levere redaktionelt indhold af høj kvalitet, og at en del af disse indtægter kommer fra annonceindtægter, og at Jysk Fynske Medier ikke har begrundet, i hvilket omfang behandling af personoplysninger til statistiske formål også er nødvendigt hertil.

Henset til, at Jysk Fynske Medier ikke har vurderet og påvist, i hvilket omfang det er nødvendigt – som alternativ til adgang mod betaling – at indhente samtykke til behandling af personoplysninger til statistiske formål, finder Datatilsynet, at Jysk Fynske Medier ikke har påvist, at databeskyttelsesforordningens krav om samtykkets frivillighed er opfyldt og dermed at behandlingen er lovlig, jf. forordningens artikel 6, stk. 1, litra a, og artikel 4, nr. 11, jf. forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.

Datatilsynet finder derfor grundlag for at meddele Jysk Fynske Medier påbud om at sikre, at samtykket, som Jysk Fynske Medier indhenter fra de hjemmesidebesøgende, opfylder kravene i databeskyttelsesforordningens artikel 4, nr. 11, samt at kunne påvise, at samtykket opfylder databeskyttelsesforordningens krav om et frivilligt samtykke, jf. forordningens artikel 5, stk. 2, jf. artikel 5, stk. 1, litra a.

Hvis Jysk Fynske Medier fortsat ønsker at benytte en fremgangsmåde, hvor de besøgende tilbydes adgang mod samtykke eller mod betaling, kan påbuddet efterkommes ved, at de besøgende mod samtykke kan opnå adgang til indhold, der i vidt omfang svarer til indholdet, som de besøgende kan få adgang til mod betaling. Alternativt kan påbuddet efterleves ved, at Jysk Fynske Medier tilbyder (endnu) et betalingsalternativ, hvor de besøgende kan få adgang til indhold, som i det væsentlige omfang svarer til indholdet, som de besøgende kan få adgang til mod samtykke.

Jysk Fynske Medier skal derudover kunne påvise, at behandling af personoplysninger til statistiske formål er en nødvendig del af alternativet til adgang mod betaling. Alternativt skal Jysk Fynske Medier tilpasse sin løsning til indhentning af samtykke, således at det er muligt for de hjemmesidebesøgende at give særskilt samtykke til behandling af personoplysninger til statistiske formål.

Fristen for efterlevelse af påbuddet er den 8. marts 2023. Datatilsynet skal anmode om senest samme dato at modtage en bekræftelse på, at påbuddet er efterlevet.

Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.

Ifølge databeskyttelseslovens § 41, stk. 2, nr. 4, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.

Endelig finder Datatilsynet henset til de principielle spørgsmål i sagen, som Datatilsynet ikke tidligere har haft lejlighed til at tage stilling til, at der ikke er grundlag for at udtale kritik af Jysk Fynske Medier i anledning af ovenstående.

[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).

[2] Det Europæiske Databeskyttelsesråd, Retningslinjer 5/2020 vedrørende samtykke i henhold til forordning 2016/679, v. 1.1

[3] Datatilsynets vejledning om samtykke, afsnit 2.3.

[4] Datatilsynet har ved et besøg på www.jv.dk den 20. oktober 2022 konstateret, at prisen nu er 69 kr. pr. måned eller 409 kr. pr. måned (alt efter den valgte abonnementsløsning).