Om loven og reglene

Ekomloven § 3-15

Fra 1. januar 2025 gjelder ny lov om elektronisk kommunikasjon (LOV-2024-12-13-76). Bestemmelsen om informasjonskapsler står i § 3-15 og lyder i korte trekk:

Det er ikke tillatt å lagre eller å skaffe seg tilgang til opplysninger i sluttbrukers eller brukers kommunikasjonsutstyr uten at den aktuelle sluttbrukeren eller brukeren er informert om blant annet hvilke opplysninger som behandles, formålet med behandlingen og hvem som behandler opplysningene, og uten at den aktuelle sluttbrukeren eller brukeren har gitt samtykke. Samtykke skal oppfylle kravene til samtykke i personvernforordningen.

Unntatt er lagring som utelukkende skjer for å overføre kommunikasjon i et elektronisk kommunikasjonsnett, og lagring som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om.

Hva skjedde med § 2-7b?

Den gamle ekomloven fra 2003 hadde cookie-regelen i § 2-7b. Der kunne samtykke gis gjennom nettleserinnstillinger, og et passivt «vi bruker cookies»-banner var i praksis nok. § 2-7b ble opphevet 1. januar 2025. Den nye § 3-15 viser til personvernforordningens samtykkedefinisjon, som krever at samtykket er frivillig, spesifikt, informert og utvetydig, gitt gjennom en aktiv handling, og at det skal være like lett å trekke tilbake som å gi. Datatilsynet fører tilsyn med samtykkekravet; Nkom forvalter loven ellers.

Datatilsynets forventninger

Det skal være like enkelt å avvise som å godta, og valgene skal være like synlige.
Ingen forhåndsavkryssede bokser for ikke-nødvendige formål.
Ingen sporing før samtykke er gitt.
Brukeren skal informeres om hva som lagres, hvorfor og av hvem.
Samtykket skal kunne endres eller trekkes like lett som det ble gitt.
Fortsatt bruk, scrolling eller lukking av banneret er ikke samtykke.

Reglene CookieMonster sjekker

Regel	Alvor	Hva som sjekkes	Hjemmel
R01 Sporing før samtykke	Brudd	Sporingskapsler eller sporingsforespørsler ble observert før brukeren hadde gjort noe valg.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R02 Ingen samtykkebanner	Brudd	Nettstedet lagrer sporingsinformasjon uten å be om samtykke i det hele tatt.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R03 Ingen avvis-knapp i første lag	Brudd	Banneret lar brukeren godta alt med ett klikk, men ikke avvise med ett klikk.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R04 Avvisning krever flere klikk	Brudd	Det er mulig å avvise, men bare via innstillinger og flere steg.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R05 Ubalanserte valg (nudging)	Brudd	Avvis-valget er mindre synlig eller mindre tilgjengelig enn godta-valget.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R06 Forhåndsavkryssede valg	Brudd	Ikke-nødvendige formål er slått på som standard.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R07 Implisitt samtykke	Brudd	Banneret hevder at fortsatt bruk, scrolling eller lukking er samtykke.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R08 Mangelfull informasjon	Brudd	Banneret forklarer ikke hva som lagres, hvorfor og av hvem, eller lenker ikke til mer informasjon.	ekomloven § 3-15 første ledd (informasjonskravet)
R09 Sporing etter avvisning	Brudd	Sporingskapsler ble satt selv om brukeren avviste.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R10 Cookievegg	Merknad	Siden er blokkert til brukeren godtar, uten et reelt alternativ.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R11 Ingen mulighet til å trekke samtykke	Merknad	Etter valget finnes det ingen synlig måte å endre eller trekke samtykket på.	personvernforordningen art. 7 nr. 3, jf. ekomloven § 3-15
R12 Ukjente vedvarende informasjonskapsler	Info	Vedvarende kapsler som ikke er kjente sporingskapsler ble satt før samtykke. Bør vurderes mot unntaket for strengt nødvendige.	ekomloven § 3-15 andre ledd (unntak for strengt nødvendig lagring)
R13 Utdatert lovhenvisning	Info	Personvern-/cookieerklæringen viser til den opphevede § 2-7b.	ekomloven § 3-15 (erstattet § 2-7b i ekomloven 2003 fra 1. januar 2025)
R14 Samtykkedialog i utilgjengelig ramme	Info	Banneret ligger i en tredjeparts iframe som verktøyet ikke kan lese. Analysen er begrenset.	ekomloven § 3-15 første ledd, jf. personvernforordningen art. 4 nr. 11 og art. 7
R15 Betal eller godta («pay or okay»)	Merknad	Alternativet til å godta sporing er å betale. Om samtykket da er frivillig, er omstridt.	personvernforordningen art. 7 nr. 4 og fortalepunkt 42–43, jf. ekomloven § 3-15; EDPB uttalelse 08/2024

Begrensninger