Hvad er sporing? Definition og regler for databeskyttelse

Tracking eller webtracking er et begreb, der ikke er defineret nærmere. Den juridiske definition kan udledes af den nuværende juridiske situation og understøttes af den tekniske definition. Min definition er rettet mod forpligtelsen til at indhente samtykke.

Når det handler om begrebet Trackings, er der i kernegangen tale om, om en Pligt til at give samtykke findes.

En almindelig teknisk definition af begrebet Web Tracking lyder:

Web Tracking er at identificere og følge brugere i netværk, med målet om at udnytte brugerdata uden for et berettiget interesse.

Definition af tracking fra et teknisk perspektiv.

Fra retlig synspunkt kan en definition efter den nuværende lovgivning, der m. E. er rettighedssikret, følges af følgende spørgsmål:

1. Bruges cookies, der ikke er teknisk nødvendige, af tjenesten, eller er tjenesten ikke funktionelt nødvendig?
2. Overføres personoplysninger til tredjeparter uden en legitim interesse og uden noget andet retsgrundlag?
3. Overføres persondata til usikre tredjelande som fx USA?

Den første spørgsmål bliver underlagt af Artikel 5 § 3 i ePrivacy-direktivet. Den siger, at der skal være en samtykke til, så snart der er adgang til oplysninger, der er gemt på brugerens enhed, sker. Dette gælder selvfølgelig kun, hvis processen teknisk ikke er nødvendig, som direktivet fortsætter med at sige. Siden december 2021 gælder for Tyskland § 25 TTDSG. Indtil da var det § 15 § 3 TMG, der gjaldt (i overensstemmelse med BGH-dom i Planet49 til at tolke ePrivacy på samme måde). Siden midten af 2024 er TTDSG blevet overført til TDDDG.

Den anden spørgsmål bliver underlagt af Artikel 5 GDPR (Data-sparsommelighed), Artikel 25 GDPR (Datasekret om teknisk design), Artikel 32 GDPR (Sikkerhed for databehandling) samt Artikel 6 GDPR (Lovlige grundlag). En tredje part er enhver anden sted, hvor ingen DPA o. svs. er blevet afsluttet. Ved et besøg på en hjemmeside bliver altid persondata behandlet, fordi IP-adressen (netværksadresse) er et persondata. Når en hjemmeside indbyder til en tredje parts service, f.eks. en YouTube video player, bliver netværksadressen af brugeren derefter sendt videre til den tredje part. Man kan også henvise til § 15 Abs. 3 TMG. Der bliver behandlet omkring nutzerprofilbildung. Nutzerprofildata er personbezirende, altså persondata. Alternativ kunne Device Fingerprint være en personbezirende information.

Den tredje spørgsmål bliver underlagt af Art. 44 (Principperne for dataoverdragelse).

På dette grundlag anser jeg følgende juridiske definition af sporing for at være nyttig (formuleret sprogligt som en datalog):

Sporing på internettet er en datatransfer, der skal være underlagt samtykke, fordi den uden retlig interesse (og meget mindre uden yderligere lovgivning) enten tilgår oplysninger på brugerens enhed, eller fordi den er uønsket eller undgåelig, eller fordi modtageren ikke kan give tilstrækkelige garantier om at følge GDPR.

Definition af sporing fra et juridisk perspektiv.

Under den tekniske definitioner af tracking sættes databehandling i fokus, mens under de juridiske definitioner er det overførslen af data relevant. Derved opstår en springvand, som jeg har behandlet i et andet artikel. I definitionen spiller brugerprofilering ikke direkte rolle, men behandles indirekte ved hjælp af overflødige eller undgåelige dataoverførsler, fordi IP-adressen allerede er en personbevidst dato, der dækker den udvidede dataoverførsel under brugerprofilering næsten helt.

Web Tracking, egal, om med eller uden cookies, er ulovligt uden samtykke. Et samtykke bliver ofte (desværre) påkaldt ved hjælp af et fra min side useless Consent Tools.

Google's brugsvilkår kræver en samtykke før man kan integrere YouTube videoer. For disse vilkår skal der først være en samtykke inden for opsamling af data til reklameformål. Desværre laster det YouTube Script altid den reklame- tracker DoubleClick (sidst opdateret: 30.12.2020).

For Google reCAPTCHA er der directive til EU-brugeraccept skal være i overensstemmelse med, som nævnt i Nutzungsbedingungen.

Der Google Tag Manager og andre tjenester som Google Maps bliver af Google tilknyttet Google Marketing Platform (se fx her).

Thesen

Indbinding af mehrere værktøjer til statistisk brugeranalyse skal vurderes som tracking.

Kiks-baserte samtykningsløsninger er ofte i sin art retsløse og fungerer teknisk uden dybere tilpasning af den brugende hjemmeside ikke. Dette har jeg med hjælp af en udvidende undersøgelse vist og objektivt samt praktiske grunde derfor fastsat.

Opt-Out Cookies_, der medvirker til at analyserings-Tools fra tredjeparter stadig bliver lastet, for at undgå indsamlingen af data på grund af sådanne cookies (håbløst), er ulovlige_

Brugen af tjenester, deres leverandør er ukendt eller har ingen eller en uigennemgående persondatapolitik og ikke giver nogen garantier, er lovløst og selv efter samtykke med lovmæssige usikkerheder pålagt.

Indbinding af hvilken som helst fil fra tredjeparter på hjemmesider uden beviselig garanti, at disse tredjeparter behandler de personlige forbindelsesdata, der følger med (dvs. ikke tracking), er ikke i overensstemmelse med GDPR.

Populære sporingsværktøjer

Afhængigt af hvordan man definerer tracking, falder tjenester i denne kategori eller ikke. I følgende er flere kategorier af tracking værktøjer nævnt. Landligt forstås under Tracking det at efterforske brugere til at bedre kende dem og øge konverteringshastigheden.

Her er en udvalg af bredt anvendte tracking-verktøjer, der er tænkt til at følge brugere:

• Google Analytics
• Facebook Pixel
• Dubbelklik, Dubbelklik Remarketing til Google Analytics …; Dubbelklik bliver blandt andet brugt af YouTube Videos Player
• Google Ads Conversion Tracking
• Sociale medie plugins fra Facebook, Twitter osv. ([1])
• Google +1 (uden funktion for webstedsoperatøren)
• Omniture Analytics (Adobe Analytics)
• Salesviewer
• Xiti Monitoring Traffic (AT Internet)
• Matomo (i visse konfigurationer og til cloud-drift i stedet for lokal installation)

Skjulte sporingsværktøjer

Jeg kaldte dem her sådan, fordi den centrale funktion ikke skal være Tracking, men det er netop derfor, at de respektive værktøjsleverandører tilbyder disse værktøjer (også) for at udføre Tracking.

• Google Maps: Henter bl.a. tilbage på NID cookie, der sættes ved login til et Google-konto. Lader Google Skrifttyper indlæses
• YouTube Video Script:: Lader DoubleClick til
• Google reCAPTCHA: Siehe Google Maps
• Microsoft Forms: Last script fra Bing til (er også en del af Microsoft, men synes at være overflødigt for Forms )

Sporing gennem Google Tools

Jeg går ud fra, at Google-koncernen analyserer forbindelsesdata, der genereres ved brug af bl.a. følgende tjenester, til egne formål eller stiller dem til rådighed for tredjeparter:

• Google Tag Manager*: Google bruger opdaterede brugerdata til egen fordel, bl.a. til at optimere annoncering ([1])
• Google Web Fonts: se Google Tag Manager ([1])
• Alle andre filer, der henter fra en Google Server ([1]) ([2])
• Google DNS Server (8.8.8.8 = Google Public DNS Server). Dette er en påstand uden dybere beviser. Hverken, der kan levererende hårdbeviser, får jeg fra mig en belønning! I hvert fald bekræfter Google blot, at personlige oplysninger (kun) ikke bruges til målrettet udsmykning af annoncer. Således er det muligt at følge brugere og overdrage disse oplysninger til tredje part, der på grund af dette (selvansvarligt) optimerer deres annoncer.

Google indrømmer endda, at de bruger data, der er indsamlet andre steder. Her er to Google-kilder:

Operatører af hjemmesider og apps videregiver derfor data til Google, så Google kan vise personaliserede reklamer på sine egne og tredjeparters hjemmesider. Personlige reklamer kræver, at en person identificeres eller kan knyttes til en person.

Efter min mening handler Google og også operatører af websteder, der bruger Googles tjenester uden samtykke, ulovligt her, fordi vejen for mig ser ud til at være som følger:

1. En bruger A besøger en hvilken som helst hjemmeside X
2. Google-tjenester er integreret på hjemmesiden X
3. Google modtager således data om bruger A fra hjemmeside X
4. Hvis bruger A har givet samtykke til brug af sine data et helt andet sted end på hjemmeside X, nemlig hos Google (se skærmbilleder), bruger Google de data, der er indhentet om bruger A via hjemmeside X, til andre formål, der ikke nødvendigvis svarer til dem på hjemmeside X
5. Hjemmeside X har (normalt) ikke indhentet samtykke til dette, eller jeg har ikke bemærket nogen steder, at integrationen af Google Maps eller Google Fonts på hjemmesider forklares med, at data videregives til Google for at blive brugt til personaliseret reklame.
6. I det mindste er operatøren af hjemmeside X ansvarlig, da den videregiver personlige data fra bruger A. Google er sandsynligvis også ansvarlig. Google Signals kombinerer f.eks. data fra forskellige kilder for at skabe brugerprofiler.

Samtykkepligt på grund af dataoverførsel

Det er muligt, at der ikke foretages sporing af følgende værktøjer (der gives eksempler). Men overførslen af data til usikre tredjelande som USA ser ud til at kræve samtykke (og gør det efter min mening helt klart):

• Font Awesome-skrifttyper
• Fast Fonts (Fonts.com): Brug af en sporingspixel primært til faktureringsformål (brugskvote)
• MailChimp
• MyFonts
• MapBox (bruger OpenStreetMap)
• SoundCloud Audio Player
• CloudFlare (indholdsleveringsnetværk til filer)

I tvivlsomme tilfælde skal den ansvarlige for dataindsamlingen bringe bevis for lovlighed frem. Ansvarlig for en hjemmeside er som regel ejeren af hjemmesiden, medmindre han har lykkes med at overføre sin ansvarlighed til en anden enhed. Ved globalt virksomme selskaber bliver ansvarligheden gerne overført til et selskab med passende hovedsæde.

Det er heller ikke muligt uden risiko at indlæse et billede fra en ekstern server hos en tredjepart i stedet for at indlejre billedet direkte. Tredjeparten vil som regel ikke analysere brugerne på baggrund af de modtagne trafikdata, men kan gøre det.