Samtykke til installering af cookies på en internetbrugers computer er ikke gyldigt, hvis samtykket er givet ved et forudafkrydset felt. Samtykke kræver nemlig en aktiv adfærd fra brugerens side, fastslår EU-Domstolen.
Sagen handlede om den tyske virksomhed Planet49. I 2013 havde virksomheden afholdt en online konkurrence for forbrugere i Tyskland. For at kunne deltage i konkurrencen, blev internetbrugeren præsenteret for to afkrydsningsfelter. I det ene af felterne skulle brugeren acceptere at blive kontaktet af en række virksomheder med reklametilbud. I det andet felt skulle brugeren give sit samtykke til at få installeret cookies på computeren. Det første felt var ikke forudafkrydset. Det var kun muligt at deltage i konkurrencen, hvis der som minimum var sat kryds i dette felt. Det var derimod ikke et krav for deltagelse i konkurrencen, at det andet felt var krydset af. Dette felt var dog allerede krydset af på forhånd. Hvis brugeren ikke fjernede afkrydsningen, gav brugeren således også samtykke til, at virksomheden måtte installere cookies på den pågældendes computer. Installering af cookies gav virksomheden mulighed for at lagre oplysninger eller få adgang til oplysninger om brugeren.
Bundesverband der Verbraucherzentralen (sammenslutning af tyske forbrugerorganisationer, som svarer til det danske forbrugerklagenævn) anlagde på baggrund heraf sag mod Planet49 ved Landgericht Frankfurt am Main (den regionale ret i første instans i Frankfurt am Main, Tyskland). Bundesverband påstod, at de pågældende samtykkeerklæringer, som virksomheden havde anvendt, ikke opfyldt kravene til indhentelse af gyldigt samtykke.
Landgericht Frankfurt am Main gav Bundesverband delvist medhold. Efter at Planet49 havde appelleret denne afgørelse til Oberlandesgericht Frankfurt am Main (den regionale appeldomstol i Frankfurt am Main, Tyskland), som gav Planet49 medhold, indbragte Bundesverband sagen for Bundesgerichtshof (forbundsdomstol, Tyskland). Denne domstol besluttede at udsætte sagen og forelægge to præjudicielle spørgsmål for EU-Domstolen.
Det første spørgsmål omhandlede gyldigheden af et samtykke til installering af cookies, når samtykket er indhentet ved et forudafkrydset felt. Herunder om svaret på dette spørgsmål er anderledes, hvis de oplysninger, der lagres om brugeren, er personoplysninger. Det andet spørgsmål handlede om, hvorvidt virksomheden skal oplyse brugeren om, hvor længe de installerede cookies bliver gemt samt om tredjeparter har adgang til disse cookies.
Med hensyn til det første spørgsmål indledte EU-Domstolen med at bemærke, at brugen af cookies kun er tilladt på betingelse af, at brugeren har givet sit samtykke hertil, efter at brugeren har modtaget klare og fyldestgørende oplysninger om behandlingen af disse cookies. Det omfatter herunder oplysninger om formålet med behandlingen af dem.
Herefter definerede EU-Domstolen, hvad der skal forstås ved »samtykke«. Efter EU-reglerne defineres samtykke som »enhver frivillig, specifik og informeret viljestilkendegivelse, hvorved den registrerede indvilliger i, at personoplysninger, der vedrører den pågældende selv, gøres til genstand for behandling«.
Kravet om viljestilkendegivelse indikerer, at der skal være tale om en aktiv og ikke passiv adfærd fra brugerens side. Et samtykke givet ved hjælp af et forudafkrydset felt indebærer derfor ikke en aktiv adfærd fra brugerens side. Et forudafkrydset felt gør det nemlig objektivt umuligt at afgøre, om brugeren faktisk har givet sit samtykke til behandlingen ved ikke at have fjernet afkrydsningen. Desuden gør en forudafkrydsning det umuligt at vurdere, om samtykket lever op til at kravet om, at det skal være givet på en informeret måde. Det kan nemlig ikke udelukkes, at den pågældende ikke har læst den information, der ledsager det forudafkrydsede felt, eller at brugeren ikke har forstået feltet, inden vedkommende fortsætter sin aktivitet på den pågældende hjemmeside. Herudover kan et forudafkrydset felt heller ikke leve op til kravet om, at samtykket skal være specifikt, eftersom det forudsætter, at samtykket skal vedrøre præcis den pågældende behandling af oplysninger.
På baggrund heraf konkluderede EU-Domstolen derfor, at et samtykke til installering af cookies ikke er gyldigt, hvis samtykket er givet ved et forudafkrydset felt. EU-Domstolen præciserede herefter, at dette gælder, uanset om brugen af cookies vedrører personoplysninger eller ej.
For så vidt angår det andet spørgsmål bemærkede EU-Domstolen indledningsvis, at det, som nævnt, er et krav, at brugeren har givet sit samtykke til anvendelsen af cookies, efter at brugeren har modtaget klare og fyldestgørende oplysninger om blandt andet formålet med behandlingen af disse cookies. Oplysningerne skal desuden være let forståelige og tilstrækkeligt deltaljerede til, at brugeren kan forstå, hvordan de cookies, der installeres, fungerer. Således skal brugeren, på baggrund af oplysningerne, være i stand til uden besvær at forstå følgerne af at give det pågældende samtykke. Derfor skal brugeren også have oplysninger om de pågældende cookies funktionsvarighed. Det vil sige, hvornår de udløber. Endvidere skal brugeren oplyses om, hvorvidt tredjemand har mulighed for at få adgang til disse cookies eller ej.
Dommen fra EU-Domstolen viser klart, at et forudafkrydset felt ikke kan udgøre et gyldigt samtykke, idet et gyldigt samtykke kræver en aktiv adfærd fra internetbrugeren. Virksomheder bør derfor se på, om deres anvendelse af cookiesamtykke lever op til betingelserne for samtykke. Herunder bør virksomhederne også tjekke, om de oplysninger, der gives i forbindelse med indhentelse af samtykke, lever op til kravene om funktionsvarighed og videregivelse til tredjemand.
I Danmark anvender mange erhvervsdrivende et såkaldt »cookiebanner«, som kræver, at brugeren ved et enkelt tryk på knappen »OK« giver samtykke til installering af cookies, hvorefter brugeren kan fortsætte sin aktivitet på den pågældende hjemmeside. Denne praksis er accepteret i Erhvervsstyrelsens vejledning, som senest er opdateret den 10. december 2019, hvilket er efter EU-Domstolens dom. EU-Domstolens dom tager ikke stilling til, hvorvidt denne måde at indhente samtykke på er tilstrækkelig. Men man må gå ud fra, at Erhvervsstyrelsen i forbindelse med den seneste opdatering af vejledningen har taget konkret stilling til betydningen af EU-Domstolens dom i denne sammenhæng og således har vurderet, at brugen af en »OK«-knap er tilstrækkelig til at udgøre en aktiv handling, og at anvendelsen af cookiebannere derfor fortsat er i overensstemmelse med EU-retten.