Cookies: Grundläggande och betydelse för dataskydd på webbplatser

Innehåll av Cookies

Kakor spelar en viktig roll inom ramen för GDPR. Orsakerna är särskilt: (Translation note: I assume you want a direct translation, but keep in mind that Swedish has its own way of expressing things. If you'd like me to adjust the translation for better readability or clarity, please let me know!):

1. EU-domstolens dom om kakor . Här handlade det dock inte främst om kakor, utan rapporteringen har presenterat detta på så sätt
2. Den nya versionen av ePrivacy-förordningen kallas på felaktigt sätt också för Cookie-förordningen.
3. Marknadsföringen av en del leverantörer av Consent Tools och en del rådgivningsplattformar
4. Fakten om att kakor är mestadels en datahanteringsmekanism som inte kan diskuteras bort

Vad är ett Cookies?

En cookie består av en nyckel och ett värde och hanteras av användarens webbläsare. Vanligtvis sparar webbläsarna cookies på användarens enhet i form av textfiler. Förut sparade webbläsarna vanligtvis cookies på användarens enhet i form av textfiler. Idag lagras cookies ofta i databaser. Cookies är inte textfiler och var det heller aldrig, eftersom varje webbläsare kunde välja sin egen placering och kan fortfarande göra det.

Ett Cookies har särskilt följande egenskaper (exempelvärden är medgivna):

• Namn: NID
• Värde: 200=UxxxxxxsGiW99MK4GuykyVJnK8PMOWi02EBAwQ-juoMaximilia-injksa728lslsn
• Livslängd: 1 år
• Säkerhetsinställningar: HttpOnly
• Domän: google.com

Över domänen för cookies fastställs om det är ett First- eller Third-Party Cookie.

First-Party Cookies

Förstapartscookies hanteras av den webbplats som just nu är pågående och kan bara läsas av denna. Om cookies domän är webbsite4711.de och webbsidan också har samma adress, är det ettFirst-Party cookie för denna webbplats.

Third-Party Cookies

Tredjepartscookies hanteras istället av tredje parterna. En tredje part är en tillhandahållare av verktyg som till exempel Google reCAPTCHA. När ett sådant verktygtillhörande tool laddas ned lägger webbläsaren alla cookies till den samma domän som det verktyget till.

Ett tredjepartscookie kan bara skapas på servern till vilken en fil hämtas från.

Ett praktiskt exempel på Google reCAPTCHA: Detta verktyg tillhandahålls över domänen google.com. När en webbplats som innehåller reCAPTCHA anropas, inträffar följande:

1. Webbsidan hämtas i webbläsaren genom att skriva in adressen _www.webseite4711.de
2. Webbsidan innehåller Google reCAPTCHA via följande fil: https://www.google.com/recaptcha/api.js
3. Den här webbläsaren hämtar upp filen och skickar med alla redan för domänen google.com befintliga kakor. Särskilt skickas då kakan NID med, som innehåller Googles användar-ID. Denna kaka sätts till exempel när en användare loggar in på sitt Google-konto.
4. Det påkallade verktyget kan läsa ut eller ändra värdet på cookien.

Tredjepartscookies är alltså bara tillgängliga för verktygen som befinner sig i samma domän som cookies, där domänen per definition är en annan än den på vilken webbsidan laddas (därav namnet Third-Party, d.v.s. Tredjeparts).

Delning av tredjepartscookies mellan olika verktyg

Det verkliga verktyget Google reCAPTCHA har tillgång till flera domäner, bl.a. google.com och gstatic.com. Alla för dessa domäner satta kakor som lagts innan Google reCAPTCHA infördes kommer automatiskt att vara tillgängliga för detta verktyg. Detta innebär att reCAPTCHA inte bara kan läsa ut kakor som hanteras av sig självt, utan också de från alla andra Google-verktyg som lagt kakor på en av de två nämnda Google-domänerna. Således har reCAPTCHA omfattande tillgång till flera kakor som egentligen ska tillhöra andra verktyg! Detta gör det i praktiken omöjligt att använda Google reCAPTCHA utan en samtyckesfråga på ett rättsligt korrekt sätt. Frågan om samtycke är svår, eftersom ingen vet hur Google behandlar data.

Första-partscookies för tredjeparter

Bindar en webbplats in ett verktyg som Google Analytics in, laddas då en Javascript-kod upp på webbplatsen. Med denna Javascript-kod kan även First-Party Cookies hanteras, eftersom JavaScript-koden "lever" på den webbplats som har ladat den och kan agera i dess ställe.

Ett förstaparts-kaka blir ett tredjeparts-kaka

Ett förstaparts cookie kan också bli ett tredjeparts cookie. Här är ett populärt exempel:

1. En användare besöker webbplatsen google.com
2. Där skapas ett First-Party cookie med namnet NID på domänen google.com (eller uppdateras om det redan fanns där)
3. Användaren kallar nu upp en webbplats uvwxyz.de, som innehåller _Google reCAPTCHA
4. Google reCAPTCHA läses bland annat in från domänen google.com_. När verktyget laddas in så läses det ursprungliga First-Party-cocket NID in och är nu ett Third-Party-cookie, eftersom den aktuella webbplatsens domän uvwxyz.de skiljer sig från google.com.

Cookies och dataskydd

Varje gång en webbplats laddar upp ett verktyg från en domän, överförs alla kakor som finns på användarens enhet till denna domän automatiskt.

Om ett verktyg laddar in ytterligare skript från andra domäner, kan dessa skript generera, läsa och ändra Third-Party Cookies. I praktiken händer detta till exempel (alltid, senast uppdaterad 30.12.2020) när man laddar in YouTube -videor med eller utan cookies (!), där spårningskoden DoubleClick läses in för marknadsföringsändamål. DoubleClick läses in från domänen doubleclick.net och kan därför komma åt cookies på dessa domäner.

Ju fler filer från olika domäner ett verktyg laddar, desto mer kontroll över kakor har det potentiellt. På webbplatser inbyggda YouTube -videor laddar till exempel inte bara filer från youtube.com respektive youtube-nocookie.com, utan också från ytimg.com, gstatic.com och doubleclick.net. Samtidigt laddar Google Maps också filer från gstatic.com, så att båda verktygen till exempel kunde utbyta data via dessa domäner. Eftersom företaget Google äger alla dessa servrar kan man som företag efter eget behag ta upp insamlade data och spela in dem utan att synas.

Kakor lämpar sig för att identifiera och spåra användare över flera sessioner. En session är ett besök på en webbplats som avslutas när man lämnar webbplatsen eller stänger ner webbläsaren.

Ett kakor existerar bara inom ett enda webbläsare på enheten hos användaren. Besöker användaren en sida från ett annat webbläsare vet det andra webbläsaret inte om kakorna från tidigare besök på sidan.

Cookies är alltså i princip inte lämpliga för att följa användare över flera webbläsare eller enheter.

Fabeln om domän utan Cookies

Sannolikt har ni också läst om Google Tag Manager och att det är en cookielös domän. Att denna påstående i sig är grov oskärpa eftersom ett tjänst inte är en domän, ska vi förstås glömma bort.

Utsägelsen stämmer inte heller om man betraktar domänen googletagmanager.com som cookiefri. Det har jag visat och bevisat i en egen artikel till Google Tag Manager.

Lösningen för kakor

Lösningen är att använda så få verktyg som möjligt som hanterar cookies. Obehövliga verktyg ska definitivt tas bort. Externa skrifttyper, bilder och bibliotek bör placeras lokalt. Fråga din leverantör om en fullständig inventering av din webbplats för att identifiera alla verktyg som används.

Ytterligare lösningmöjligheter:

• Alternativ till Googles verktyg
• Kontrolllista för samtyckesfråga (som motivation att inte använda detta)

Obs! Även verktyg på webbplatser som inte använder kakor kan vara villkorsbundna.