Journalnummer: 2023-431-0010
Resumé
Datatilsynet har truffet afgørelse i en sag om Berlingskes specifikke fremgangsmåde, hvor brugerne på berlingske.dk blev mødt af en cookie wall, når de forsøgte at tilgå indlejret indhold, f.eks. videoafspillere eller blogindlæg. Det betød, at indholdet var utilgængeligt, medmindre brugeren accepterede behandling af sine personoplysninger til statistiske og markedsføringsformål ved brug af cookies.
Datatilsynet fandt overordnet, at en fremgangsmåde, hvor brugeren alene kan få adgang til delindhold, der er indlejret på berlingske.dk, herunder videoafspillere og blogindlæg, ved at give samtykke til behandling af personoplysninger til statistiske og markedsføringsformål, ikke opfylder databeskyttelsesforordningens krav til et gyldigt samtykke.
Virksomheden blev derfor meddelt et påbud om at sikre, at det samtykke, der indhentes fra brugerne på berlingske.dk, opfylder databeskyttelsesforordningens krav til et gyldigt samtykke.
Sagen er blevet behandlet i Datarådet.
Datatilsynet har tidligere vurderet denne fremgangsmåde i tilfælde, hvor adgang til hele hjemmesiden var betinget af et samtykke. Datatilsynet tog stilling til, om en fremgangsmåde, hvor brugeren kunne tilgå indholdet på en hjemmeside mod at give samtykke eller mod betaling, opfylder databeskyttelsesreglernes krav til et gyldigt samtykke. Det kan du læse nærmere om her i sagen om Jysk Fynske Medier.
Læs også retningslinjerne for brug af cookie walls.
Afgørelse
Datatilsynet vender hermed tilbage til sagen, hvor tilsynet på baggrund af flere konkrete henvendelser af egen drift besluttede nærmere at undersøge Berlingske Media A/S’ (herefter Berlingske) behandling af oplysninger om brugerne på www.berlingske.dk.
Datatilsynet bemærker indledningsvis, at tilsynet med denne afgørelse ikke har taget stilling til og vurderet Berlingskes abonnementsvilkår, og hvorvidt opfyldelsen af abonnementsaftalen gøres betinget af et samtykke.
Sagen har derimod givet Datatilsynet anledning til helt generelt at tage stilling til, i hvilket omfang Berlingskes fremgangsmåde i relation til alle brugere på berlingske.dk opfylder databeskyttelsesreglernes krav om samtykkes frivillighed, jf. databeskyttelsesforordningens[1] artikel 4, nr. 11.
Sagen har været behandlet i Datarådet.
1. Afgørelse
Efter en gennemgang af sagen finder Datatilsynet, at Berlingskes fremgangsmåde på berlingske.dk, hvor alle brugere – uanset om vedkommende er abonnent eller ej – afskæres fra at tilgå indlejret indhold fra tredjeparter på hjemmesiden, medmindre vedkommende giver samtykke til behandling af personoplysninger til statistiske formål og markedsføringsformål ved brug af cookies, ikke opfylder databeskyttelsesforordningens krav om samtykkets frivillighed, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, og artikel 4, nr. 11.
Datatilsynet finder derfor grundlag for at meddele Berlingske påbud om at sikre, at det samtykke, der indhentes fra brugerne på berlingske.dk, opfylder databeskyttelsesforordningens krav til et gyldigt samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, og artikel 4, nr. 11.
Fristen for efterlevelse af påbuddet er den 14. marts 2024. Datatilsynet skal anmode om senest samme dato at modtage en bekræftelse på, at påbuddet er efterlevet.
Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Ifølge databeskyttelseslovens § 41, stk. 2, nr. 4, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Endelig finder Datatilsynet – henset til de principielle spørgsmål i sagen, som tilsynet ikke tidligere har haft lejlighed til at tage stilling til – at der ikke er grundlag for at udtale kritik af Berlingske i anledning af ovenstående.
Nedenfor følger en nærmere gennemgang af sagen og en begrundelse for Datatilsynets afgørelse.
2. Sagsfremstilling
Det fremgår af sagen, at Berlingske benytter en fremgangsmåde, hvor Berlingske giver brugerne på berlingske.dk et valg med hensyn til adgang til delindhold på hjemmesiden. Det drejer sig om indhold i form af videoindhold, liveblogs mv., der indlejres på hjemmesiden, herunder i artikler.
Valget består i, at brugeren kan vælge at undlade at give samtykke til behandling af personoplysninger til statistiske og markedsføringsformål, hvorved delindholdet ikke kan tilgås. Brugeren præsenteres herefter for følgende tekst ”Hov, giv os lov til at vise indholdet. Det er klar, når du har klikket ”tillad alle” efterfulgt af en knap med ordene ”Giv lov”.
Trykker brugeren på ”Giv lov”, ledes vedkommende tilbage til Berlingskes samtykkeløsning, som har følgende ordlyd:
”Vi ønsker dit samtykke til at anvende cookies og indsamle persondata om IP-adresse, ID og din browser til statistik og marketingformål. Disse oplysninger videregives til vores samarbejdspartnere, der opbevarer og tilgår oplysninger på din enhed for at vise dig målrettede annoncer, levere tilpasset indhold, foretage annonce- og indholdsmåling, lave produktudvikling og opnå målgruppeindsigt. Se mere information under indstillinger og i vores persondatapolitik.
Du kan altid trække dit samtykke tilbage eller ændre indstillinger fra vores ”Cookiedeklaration”. Dine valg anvendes på hele websitet.”
Hvis brugeren ønsker at tilgå det indlejrede delindhold i artiklerne, skal vedkommende give samtykke til behandling af personoplysninger ved brug af cookies til samtlige formål; (i) præferencer, (ii) statistik og (iii) markedsføring.
2.1. Berlingskes bemærkninger
Berlingske har overordnet anført, at Berlingske anvender samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, som grundlag for behandling af oplysninger om brugere, når de tillader brug af cookies til alle formål for at kunne tilgå utilgængelige artikler og/eller videoer. Det er endvidere Berlingskes opfattelse, at samtykket opfylder databeskyttelsesforordningens gyldighedsbetingelser, herunder kravet om frivillighed.
Berlingske har anført, at brug af videoindhold mv. fra tredjeparter oftest sker i tilknytning til redaktionelle artikler, hvor der f.eks. vises optagelser fra de begivenheder, der er omtalt i artiklen på berlingske.dk. Videoindhold optræder således ifølge Berlingske ikke som selvstændigt redaktionelt indhold. Videoklip vises på berlingske.dk gennem en indlejret videoafspiller, som en ekstra feature på linje med relevante redaktionelle links til artikler i andre medier og opslag fra Twitter, Facebook, LinkedIn mv.
Baggrunden for, at liveblogs mv. er utilgængelige, hvis brugerne, herunder abonnenterne, ikke giver samtykke til cookies, er ifølge Berlingske, at selve teknologien bag livebloggen leveres af en tredjepart. Livebloggens format indebærer, at det ikke ville være muligt at gøre liveblogs tilgængelige, uden at der ville blive sat cookies. For at sikre alle brugere af berlingske.dk mod uønskede cookies, er hele livebloggen gjort utilgængelig. Brugerne gøres opmærksom herpå ved at anmode om samtykke til cookies, hvis de ønsker at tilgå indholdet. Utilgængeligheden af liveblogs skyldes imidlertid også, at der er indlejret indhold fra tredjeparter, herunder fra andre medier, myndigheder eller sociale medier, som kan afsætte cookies for, at indholdet gøres tilgængeligt.
Berlingske Media har oplyst, at videoindhold og liveblogs er ekstra features, som ikke er en del af den abonnementsaftale, der indgås mellem Berlingske og abonnenten, idet abonnenten alene køber sig adgang til at læse alle artikler i forbindelse med tegning af abonnementet. Hertil har Berlingske anført, at abonnenterne ved indgåelsen af et abonnement på en klar og tydelig måde bliver oplyst om, at det alene er artiklerne på sitet, der er omfattet af abonnementet. Ekstra features som videoindhold og liveblogs er ikke artikler og er dermed ikke omfattet af abonnementet.
Det er derfor Berlingskes opfattelse, at opfyldelse af abonnementsaftalen dermed ikke er gjort betinget af abonnentens samtykke til behandling af personoplysninger, som ikke er nødvendig for aftalens opfyldelse. Features som videoindhold og indhold i liveblogs mv. omfatter typisk indhold, som Berlingske ikke har rettighederne til, hvorfor det vises efter aftale med producenten, og tilgængeliggørelsen på berlingske.dk, herunder i forhold til abonnenter, afhænger af de rettigheder, som Berlingske kan opnå i aftalen med medieselskabet. For abonnenter er der fortsat uhindret og fri adgang til det indhold på berlingske.dk, der er omfattet af abonnementsaftalen (artikler).
Berlingske har videre anført, at tilgængeliggørelsen af indholdet forudsætter et samtykke fra brugerne. Hvis brugerne afslår at afgive et sådant samtykke, medføre det, at de pågældende features ikke kan tilgås, fordi formatet ikke kan fungere uden.
Det er Berlingskes opfattelse, at det forhold, at brugerne skal samtykke til behandling af personoplysninger til statistik- og markedsføringsformål for at få adgang til det indlejrede indhold fra tredjeparter i artiklerne, ikke udgør en såkaldt cookie wall. Det skyldes, at der ikke er tale om, at adgangen til det af abonnementsaftalen omfattede indhold er gjort betinget af samtykke.
Berlingske har i forhold til nødvendigheden af at behandle personoplysninger ved brug af cookies til bl.a. statistiske og markedsføringsformål, anført følgende:
”I tilknytning til de features, som Berlingske Media anvender på sin hjemmeside til brug for blandt andet visning af video-, billed- og animationsmaterialet samt præsentation af liveblogs og lign., placeres cookies, som er nødvendige og afgørende for Berlingske Medias anvendelse af de pågældende features og sikring af muligheden for rentabelt at drive den online platform.
De statistikcookies, der placeres, er oftest leverandørkrav og har til formål at analysere trafik og anvendelse af de forskellige særlige features. De måler således oftest antal og omfang af visninger, hvorfor den oparbejdede statistik er bestemmende og nødvendig for fastlæggelse af den ydelse, som de enkelte leverandører kræver som betaling for Berlingske Medias anvendelse af de forskellige features. Behovet for disse cookies udspringer således af Berlingske Medias anvendelse af og relation til tredjeparter, som f.eks. leverer videoafspillere, liveblog-løsninger mv.
De markedsføringscookies, der placeres, tilgodeser Berlingske Medias grundlæggende behov for hensigtsmæssigt at kunne afvikle reklamer på hjemmesiden og blandt andet derigennem at sikre platformens rentabilitet og Berlingskes Medias fortsatte mulighed for at tilbyde dette online medie til abonnenter og øvrige bruger. Netop på grund af markedsføringscookies er det attraktivt for Berlingske Medias annonceringspartnere at kunne købe sig adgang til bannerreklamer mv., hvorved reklamer vises eller afspilles i tilknytning til de forskellige særlige features. Behovet for disse cookies udspringer således i et vist omfang af Berlingske Medias forretningsmodel, hvor Berlingske Media – ligesom mange andre tilsvarende medieplatforme og lignende aktører både nationalt og international – også er afhængig af at kunne oparbejde en vis del af sin omsætning gennem annoncering. Muligheden for at kunne anvende annoncer på denne måde og i samme omfang som sine konkurrenter er således afgørende for Berlingske Medias fortsatte digitale tilstedeværelse.
Det er Berlingske Medias helt klare opfattelse, at denne forretningsmodel og tilgang til anvendelse af features, annoncering mv. svarer til det setup, som langt de fleste andre sammenlignelige nyhedsplatforme og medier anvender. Det er således også Berlingske Medias opfattelse, at anvendelsen af de pågældende særlige features rent faktisk forudsætter, at statistik- og markedsføringscookies kan placeres, hvorfor tilsvarende aktører som f.eks. Politikken, Jyllands-Posten og DR også placerer og administrerer cookies på samme helt sædvanlige måde.
[...]
I lyset af de eksisterende tekniske løsninger og setups sammenholdt med kravet om, at samtykkeanmodningen bør forstyrre anvendelsen af den pågældende tjeneste mindst muligt, er det imidlertid en vanskelig – hvis ikke umulig – opgave.”
3. Begrundelse for Datatilsynets afgørelse
3.1. Retsgrundlaget
Det fremgår af databeskyttelsesforordningens artikel 6, stk. 1, litra a, at behandling af personoplysninger er lovlig, hvis den registrerede har givet samtykke til behandling af oplysninger om vedkommende til et eller flere specifikke formål.
Et samtykke defineres i databeskyttelsesforordningens artikel 4, nr. 11, som enhver frivillig, specifik, informeret og utvetydig viljestilkendegivelse, hvorved den registrerede ved erklæring eller klar bekræftelse indvilliger i, at personoplysninger, der vedrører den pågældende, gøres til genstand for behandling.
Et samtykke vil ikke være afgivet frivilligt, hvis den registrerede ikke har et reelt eller frit valg og kontrol over oplysninger om sig selv. Enhver form for upassende pres på eller påvirkning af den registreredes frie vilje medfører, at samtykket er ugyldigt.
En dataansvarlig kan i et vist omfang motivere de registrerede til at give samtykke ved, at der er en fordel forbundet med at samtykke. Indmeldelse i en forretnings fordelsprogram kan f.eks. indebære rabatter, som motiverer kunden til at give samtykke til behandling til at modtage reklamemateriale fra forretningen. Den rabat eller de fordele, som et samtykke til et fordelsprogram medfører, udelukker ikke, at samtykket kan anses for at være frivilligt.
Det er dog vigtigt at være opmærksom på, om manglende samtykke medfører negative konsekvenser for den registrerede, som ikke vil give samtykke, f.eks. i form af meromkostninger.[2]
Af Det Europæiske Databeskyttelsesråds (EDPB) retningslinjer 5/2020 om samtykke fremgår bl.a. følgende om betingelsen om frivillighed:
- Den dataansvarlige kan hævde, at hans eller hendes organisation giver de registrerede et reelt valg, hvis de kan vælge mellem en tjeneste, der indebærer samtykke til anvendelse af personoplysninger til yderligere formål, og en tilsvarende tjeneste udbudt af den samme dataansvarlige, som ikke indebærer samtykke til behandling af personoplysninger til yderligere formål. Så længe der er en mulighed for at få kontrakten opfyldt eller den af en kontrakt omfattede tjenesteydelse leveret af den dataansvarlige uden at give samtykke til den anden eller yderligere anvendelse af personoplysningerne, er der ikke tale om en betinget tjeneste. De to tjenester skal dog være helt identiske.
- Databeskyttelsesrådet mener ikke, at samtykke kan anses for at være givet frivilligt, hvis en dataansvarlig hævder, at der kan vælges mellem den dataansvarliges tjeneste, der inkluderer samtykke til anvendelse af personoplysninger til yderligere formål, og en tilsvarende tjeneste, som udbydes af en anden dataansvarlig. I dette tilfælde ville valgfriheden afhænge af, hvad andre markedsaktører gør, og om den registrerede finder den anden dataansvarliges tjenester helt identiske. Det ville endvidere forpligte de dataansvarlige til at overvåge markedsudviklingen for at sikre, at samtykke til deres databehandlingsaktiviteter bliver ved med at være gyldigt, da konkurrenterne eventuelt efterfølgende kan ændre deres tjenester. På grundlag af dette argument er samtykke, som er baseret på et alternativ udbudt af en tredjepart, ikke i overensstemmelse med databeskyttelsesforordningen, hvilket betyder, at en tjenesteyder ikke kan forhindre registrerede i at få adgang til en tjeneste med den begrundelse, at de ikke har givet samtykke.
- For at samtykke kan anses for at gives frivilligt, må adgangen til tjenester og funktioner ikke være betinget af en brugers samtykke til, at oplysninger lagres, eller at der opnås adgang til oplysninger, der allerede er lagret, i en brugers terminaludstyr (såkaldte cookie walls).
- Eksempel 6a: En udbyder af et websted opretter et script, som forhindrer indhold i at være synligt, med undtagelse af en anmodning om at acceptere cookies og oplysninger om, hvilke cookies der indsættes, og i hvilke øjemed dataene vil blive behandlet. Det er ikke muligt at få adgang til indholdet, medmindre man klikker på "Accepter cookies"-knappen. Eftersom den registrerede ikke har et reelt valg, er hans eller hendes samtykke ikke givet frivilligt.
- Der er ikke tale om et gyldigt samtykke, da tjenestens levering afhænger af, om den registrerede klikker på "Accepter cookies"-knappen. Den registrerede har ikke et reelt valg.”
I Datatilsynets afgørelse i sagen om Jysk Fynske Mediers brug af cookie walls[3] fandt tilsynet, at virksomhedens specifikke fremgangsmåde, hvor de hjemmesidebesøgende mod deres samtykke kunne få adgang til dele af indholdet på jv.dk (ulåste artikler) eller alt indholdet på jv.dk ved at tegne et abonnement, ikke opfyldte kravene til et gyldigt samtykke.
Det skyldtes, at den tilbudte tjeneste mod samtykke ikke i vidt omfang var tilsvarende den, der blev tilbudt mod betaling, og at de besøgende dermed ikke reelt præsenteredes for et frit valg.
3.2. Datatilsynets vurdering
Det fremgår af sagen, at brugere kun kan få adgang til delindhold, der er indlejret på berlingske.dk, herunder videoafspillere og blogindlæg, ved at give samtykke til behandling af personoplysninger til statistiske formål og markedsføringsformål ved brug af cookies.
Det er Datatilsynets opfattelse, at brugere under visse betingelser kan anses for at have et reelt og frivilligt valgt i en situation, hvor en virksomhed tilbyder brugerne adgang til delindhold på hjemmesiden mod indhentelse af samtykke til behandling af personoplysninger, så længe virksomheder også tilbyder en alternativ måde at tilgå indholdet på, som ikke involverer behandling af personoplysninger. Det forudsætter imidlertid, at delindholdet, som virksomheden tilbyder, i vidt omfang skal være tilsvarende, uanset om brugerne giver samtykke eller eksempelvis betaler for at få adgang til indholdet eller tjenesten.
Det er på den baggrund Datatilsynets vurdering, at Berlingskes fremgangsmåde, hvor brugerne alene kan få adgang til delindhold, der er indlejret på berlingske.dk, herunder videoafspillere og blogindlæg, ved at give samtykke til behandling af personoplysninger til statistiske og markedsføringsformål, ikke opfylder databeskyttelsesforordningens krav til et gyldigt samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, og artikel 4, nr. 11.
Datatilsynet har herved navnlig lagt vægt på, at Berlingske betinger adgangen til det indlejrede delindhold af, at brugere giver samtykke til behandling af personoplysninger til statistik formål og markedsføringsformål, og at Berlingske dermed ikke tilbyder et rimeligt alternativ i sammenhæng med samtykkeafgivelse. Det indebærer, at brugerne ikke reelt præsenteres for et frit valg.
Berlingskes fremgangsmåde kan derfor efter Datatilsynets opfattelse sidestilles med brug af cookie walls på linje med tilsynets praksis herom. Fremgangsmåden adskiller sig kun fra Datatilsynets praksis på det punkt, at Berlingske gør adgangen til delindhold betinget af et samtykke, mens Datatilsynet tidligere har vurderet denne fremgangsmåde i tilfælde, hvor adgang til hele hjemmesiden var betinget af samtykke.
Der er efter Datatilsynets opfattelse ingen omstændigheder, der taler for at behandle disse to situationer forskelligt.
Datatilsynet finder derfor grundlag for at meddele Berlingske påbud om at sikre, at det samtykke, der indhentes fra brugerne på berlingske.dk, opfylder databeskyttelsesforordningens krav til et gyldigt samtykke, jf. databeskyttelsesforordningens artikel 6, stk. 1, litra a, jf. artikel 4, nr. 11.
Fristen for efterlevelse af påbuddet er den 14. marts 2024. Datatilsynet skal anmode om senest samme dato at modtage en bekræftelse på, at påbuddet er efterlevet.
Påbuddet meddeles i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Ifølge databeskyttelseslovens § 41, stk. 2, nr. 4, straffes med bøde eller fængsel i op til 6 måneder den, der undlader at efterkomme et påbud meddelt af Datatilsynet i medfør af databeskyttelsesforordningens artikel 58, stk. 2, litra d.
Endelig finder Datatilsynet henset til de principielle spørgsmål i sagen, som tilsynet ikke tidligere har haft lejlighed til at tage stilling til, at der ikke er grundlag for at udtale kritik af Berlingske i anledning af ovenstående.
4. Afsluttende bemærkninger
Datatilsynet beklager den lange sagsbehandlingstid, der skyldes stor travlhed i tilsynet.
Datatilsynet anmoder om senest den 14. marts 2024 at blive underrettet, når det af tilsynet meddelte påbud er efterkommet.
For fuldstændighedens skyld bemærker Datatilsynet, at i det omfang Berlingske ønsker at efterkomme påbuddet ved at benytte en fremgangsmåde, hvor brugerne tilbydes adgang mod samtykke eller mod betaling, skal brugerne ved at give samtykke kunne opnå adgang til indhold, der i vidt omfang svarer til indholdet, som brugerne kan få adgang til mod betaling. Endvidere skal Berlingske kunne påvise, at behandling af personoplysninger til de angivne formål – statistik og markedsføring – er en nødvendig del af alternativet til adgang mod betaling.
Datatilsynet henviser i det hele til tilsynets afgørelser i sagerne om Jysk Fynske Mediers[4] og Gul og Gratis’ brug af cookie walls[5] og tilsynets generelle retningslinjer om brug af cookie walls[6].
[1] Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse).
[2] Datatilsynets vejledning om samtykke, afsnit 2.3.
[3] Datatilsynets sag med j.nr. 2021-31-5553 af 8. februar 2023
[4] Datatilsynets afgørelse i sagen med j.nr. 2021-31-5553 af 8. februar 2023: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2023/feb/jysk-fynske-mediers-brug-af-cookie-walls
[5] Datatilsynets afgørelse i sagen med j.nr. 2021-31-4871 af 8. februar 2023: https://www.datatilsynet.dk/afgoerelser/afgoerelser/2023/feb/gul-og-gratis-brug-af-cookie-walls
[6] Datatilsynet retningslinjer om brug af cookie walls: https://www.datatilsynet.dk/hvad-siger-reglerne/vejledning/cookies/cookie-walls