Cookies' betydning
Cookies spiller en væsentlig rolle i forhold til DSGVO på websteder. Grunde er især:
- EU-domstolens afgørelse om cookies . Her var det dog ikke primært om cookies, men rapporteringen har fremstillet det sådan
- Den nye udgave af ePrivacy-direktivet bliver forkert kaldet for Cookie direktiv.
- Salg af masker til nogle leverandører af Consent Tools og nogle rådgivende plattformer
- Faktum er, at cookies kan være nemmeste til at påvise som en databehandling, og de kan ikke diskuteres væk
Hvad er en cookie?
En cookie består af en nøgle og en værdi og bliver administreret af brugerens browser. Som regel gemmer browsers cookies på brugernes enhed i form af tekstfiler. Dengang gemte browsers cookies som regel på brugernes enhed i form af tekstfiler. I dag bliver cookies ofte lagret i databases. Cookies er ikke tekstfiler og var det heller aldrig, for hver browser kunne selv bestemme hvordan de skulle gemmes og kan stadig gøre det.
Et cookie har særligt følgende egenskaber (eksempelværdier er medgivet):
- Navn: NID
- Verdi: 200=UxxxxxxsGiW99MK4GuykyVJnK8PMOWi02EBAwQ-juoMaximilia-injksa728lslsn
- Livslængde: 1 år
- Sikkerhedsindstillinger: HttpOnly
- Domænet: google.com
Over domænet af cookies bliver fastlagt, om der er tale om et First- eller Third-Party Cookie.
First-Party Cookies
Førstehåndskøkkener bliver administreret af hjemmesiden selv og kan kun læses af denne. Hvis koden har domænet webseite4711.de og hjemmesiden også har denne adresse, er koden Førstehånd for denne hjemmeside.
Third-Party Cookies
Tredjepartscookies hingegen bliver administreret af tredje part. En tredje part er en leverandør af et værktøj som f.eks. Google reCAPTCHA. Når sådan et værktøjsystem tilføres, tilføjes alle cookies fra browseren til opkaldet, der ligger i samme domæne som værktøjet.
Et tredjeparts-cookie kan kun oprettes på serveren af den, der henter en fil fra.
Et praktisk eksempel på Google reCAPTCHA: Dette værktøj tilbyder sig selv over domænet google.com. Når en hjemmeside, der indeholder reCAPTCHA, bliver opkaldt, sker følgende:
- Den hjemmeside bliver åbnet i browseren ved at indsætte adresse _www.webseite4711.de
- Den hjemmeside binder Google reCAPTCHA til ved følgende fil: https://www.google.com/recaptcha/api.js
- Browseren henter filen og sender alle allerede til domænet google.com tilhørende cookies med. I særdeleshed bliver det cookie NID sendt, der indeholder Googles bruger-ID. Dette cookie sættes f.eks., når en bruger logger ind i sit Google-konto.
- Det påkaldte værktøj kan læse eller ændre værdien af cookie'en.
Tredjepartscookies er således kun tilgængelige for de værktøjer, der befinder sig på samme domæne som cookie'et, hvorved domænet per definition er en anden end den af hjemmesiden (derved navnet Third-Party, dvs. Tredjepartscookies).
Deling af tredjepartscookies mellem forskellige værktøjer
Det ovennævnte værktøj Google reCAPTCHA har adgang til flere domæner, herunder google.com og gstatic.com. Alle cookies, der er sat på disse domæner før indsættelsen af Google reCAPTCHA, bliver automatisk tilgængelige for dette værktøj. Derved kan reCAPTCHA ikke blot selv-administerede cookies læse ud, men også de fra alle andre Google-værktøjer, der sætter cookies på en af de to nævnte Google-domæner. Således har reCAPTCHA omfattende adgang til diverse cookies, som egentlig skal tilknytnes andre værktøjer! Dette gør det faktisk umuligt at indsætte Google reCAPTCHA uden en samtykningsanmodning i overensstemmelse med loven. Anmodningen om samtykke er svær, fordi ingen ved, hvordan Google behandler dataene.
Førstehåndskager til tredjeparter
Tilslutter en hjemmeside et værktøj som Google Analytics , bliver der på hjemmesiden lastet en Javascript-kode. Med denne Javascript-kode kan også First-Party Cookies håndteres, fordi JavaScript-koden „lever“ på hjemmesiden og kan agere i dens sted.
Et first-party cookie bliver til et third-party-cookie
Et first-party cookie kan også blive et third-party cookie. Her er et populært eksempel:
- En bruger tilkalder hjemmesiden google.com
- Her bliver et First-Party Cookie med navn NID oprettet på domænet google.com (eller opdateret, hvis det allerede eksisterede)
- Brugeren åbner nu en hjemmeside uvwxyz.de, der indgår _Google reCAPTCHA
- Google reCAPTCHA bliver blandt andet af domænet google.com_ lastet ind. Ved at laste ind af værktøjet, bliver det oprindelige First-Party Cookie NID lastet ind og er nu et Third-Party Cookie, da domænet af den aktuelle hjemmeside hedder uvwxyz.de og er derfor ulig google.com._
Cookies og privatlivsbeskyttelse
Hver gang en hjemmeside henter et værktøj fra en domæne, bliver alle cookies på brugerens enhed automatisk overført til denne domæne.
Hvis et værktøj indlader flere skripter fra andre domæner, kan disse skripter oprette, læse og ændre Third-Party Cookies. I praksis sker dette f.eks. (altid, per 30.12.2020) ved at indsætte YouTube videoer med eller uden cookies (!), hvor der for markedsføringsformål indlades DoubleClick-trackeren. DoubleClick bliver lastet fra domænet doubleclick.net og kan således tilgå cookies på disse domæner.
Je flere filer fra forskellige domæner en værktøj laster, desto mere kontrol over cookies har det potentielt. På hjemmesider indbundne YouTube videoer laster ikke kun fra youtube.com eller youtube-nocookie.com filer, men også fra ytimg.com, gstatic.com og doubleclick.net. Samtidig laster Google Maps også filer fra gstatic.com, således at begge værktøjer kunne udveksle data via disse domæner. Da firmaet Google ejer alle disse servere, kan selskabet efter eget valg samle op erhvervede data usynlig tilbage til sig selv.
Cookies egner sig til at identificere og følge brugere over flere sessions hen imod. En session er besøget af en hjemmeside, der bliver afsluttet ved at forlade hjemmesiden eller lukke browseren.
Et cookie eksisterer kun indenfor en enkelt browser på enheden af brugeren. Besøger brugeren en hjemmeside fra en anden browser ud, kender denne andre browser ikke til cookies fra tidligere besøg på hjemmesiden.
Cookies passer altså ikke til at følge brugere over flere browsere eller enheder.
Eventyret om domænet uden cookies
Bestemt har du også måske læst om Google Tag Manager, at det er en cookieløse domæne. At denne påstand i sig selv er grov udsagnet, fordi en tjeneste ikke er en domæne, skal vi for den skyld overlade uden videre.
Sætningen er også ikke sand, hvis man betragter domænet googletagmanager.com som cookiefrit. Det har jeg i en egen artikel om Google Tag Manager vist og bevist.
Cookies løsning
Løsningen lyder så, at man så vidt muligt skal undgå at bruge værktøjer, der behandler cookies. Uønskede værktøjer skal slettes uden omsvind. Eksterne skrifttyper, billeder og biblioteker skal gemmes lokalt. Spørg din leverandør om en fuldstændig opgørelse af dine hjemmeside, for at finde ud af, hvilke værktøjer der er brugt.
Andre løsningmuligheder:
- Alternativer til Googles værktøjer
- Tjekliste til samtykningsfråga (som motivation til ikke at bruge det)
Vær opmærksom på, at også værktøjer på hjemmesider, der ikke bruger cookies, ofte kræver samtykke.
My name is Klaus Meffert. I have a doctorate in computer science and have been working professionally and practically with information technology for over 30 years. I also work as an expert in IT & data protection. I achieve my results by looking at technology and law. This seems absolutely essential to me when it comes to digital data protection. My company, IT Logic GmbH, also offers consulting and development of optimized and secure AI solutions.
