Vad är en cookiepolicy?
En cookiepolicy, även kallad cookiemeddelande eller cookiedeklaration, är sidan på din webbplats som förklarar vilka cookies och liknande tekniker du använder. I cookiebannern ber du om samtycke; i cookiepolicyn ger du hela förklaringen.
Skyldigheten kommer från 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation, cookielagen: innan du lagrar eller hämtar uppgifter på en besökares enhet ska besökaren få information om ändamålet. Om cookiesen behandlar personuppgifter gäller dessutom transparensreglerna i dataskyddsförordningen (GDPR). Post- och telestyrelsen (PTS) har tillsyn över cookieregeln och har beskrivit vad informationen ska innehålla.
Vad måste den innehålla?
PTS skriver att informationen ska vara tydlig, fullständig och användarvänlig, och att du ska berätta:
- vilka ändamål kakorna har, grupperat efter kategori: nödvändiga, inställningar, statistik och marknadsföring;
- att samtycket när som helst kan återkallas;
- vilka kakor som används;
- om det är tredjepartskakor, alltså om de sätts av någon annan än du, till exempel Google eller Meta;
- hur länge varje kaka lagras;
- vilken typ av uppgifter som samlas in, till exempel om det är personuppgifter.
Lägg också till hur besökaren ändrar eller återkallar sitt val, en länk till din integritetspolicy om personuppgifter behandlas, inklusive eventuella överföringar utanför EES, och kontaktuppgifter för frågor. EU-domstolen slog fast i Planet49 (2019) att informationen ska omfatta cookiesens lagringstid och om tredje parter kan få tillgång till dem.
Det viktigaste hör hemma i bannern
En cookiepolicy räcker inte ensam. I tillsynen 2022–2023 krävde PTS att flera webbplatser skulle skriva i själva bannern, i samma vy som samtycket ges, att besökaren när som helst kan återkalla sitt samtycke. Hos Tele2 och Swedbank krävde PTS också att kategorierna, till exempel statistik och marknadsföring, skulle nämnas redan i första lagret. I fallet Folkhälsomyndigheten ansåg PTS att det inte räckte att informationen om återkallelse fanns på webbplatsens sida om kakor, eftersom många besökare gör sitt val utan att först läsa den sidan.
Vanliga misstag
- En inaktuell lista. Varje nytt plugin, ny pixel eller inbäddad video kan lägga till cookies. Om de inte finns med i din policy är din information ofullständig.
- En kopierad text som inte stämmer. En policy från en annan webbplats listar andra cookies än dina.
- Inga lagringstider eller vaga ändamål, som ”för att förbättra din upplevelse”, utan att säga vad cookien gör.
- Inget sätt att ändra valet. PTS kräver att det är lika enkelt att återkalla samtycket som att ge det, och rekommenderar en knapp eller ikon på varje sida som öppnar bannern igen.
- Gömd i de allmänna villkoren. Lägg cookiepolicyn på en egen sida som är lätt att hitta, med en länk i sidfoten.
Mallen
Nedan finns en mall som du kan kopiera. Fyll i allt inom [hakparenteser] för din egen webbplats, och kontrollera med en cookieskanner vilka cookies din webbplats faktiskt sätter. Osäker på om texten passar din situation? Låt en jurist granska den.
Behöver du också en integritetspolicy för alla personuppgifter du behandlar? Utgå från vår mall för integritetspolicy.
Vill du slippa underhålla den själv? Cookie Confirm skapar din cookiepolicy automatiskt utifrån det skannern hittar på din webbplats och uppdaterar den när cookies ändras.
Källor
- Lag (2022:482) om elektronisk kommunikation, 9 kap. 28 § (riksdagen.se)
- PTS: Kakor (cookies)
- PTS: Underrättelse till Folkhälsomyndigheten om kakor, dnr 22-11376 (26 juni 2023)
- PTS: Beslut att avsluta ärendet, Tele2, dnr 22-11378 (31 oktober 2023)
- PTS: Beslut att avsluta ärendet, Swedbank, dnr 22-11374 (31 oktober 2023)
- EU-domstolen: mål C-673/17, Planet49
- Dataskyddsförordningen (GDPR), artiklarna 7 och 13