User consent (Samtykkebanner)

[Febakke]

NB: Ofte kalt cookiebanner og på norsk informasjonskapsler men det gjelder ikke kun for cookies.

Bestemmelsen er teknologinøytral, og gjelder både for cookies og andre teknologier som lagrer eller henter ut opplysninger fra kommunikasjonsutstyret til brukeren. kilde Datatilsynet

Utfordring

Fra 01.01.2025 er det blitt strengere krav til samtykke rundt informasjonskapsler. Datatilsynet: nye cookie regler fra 1 januar

Med tanke på hvor mange måter dette kan vises på, ulik språkbruk osv hadde det vært veldig lurt å begynne å se på et mønster rundt dette i fellesskap.

Vi bør diskutere hvordan vi kan lage løsninger som er

• lett for brukere å forstå hva de sier ja/nei til
• konsekvente på tvers
• minst mulig irriterende for brukerne

Forslag til fremgangsmåte

1. Definere et felles mønster i en tverretatlig arbeidsgruppe:

   • Når trenger du å be om samtykke? Hvilken typer informasjonskapsler, hvilken unntak
     • Her vil vi nok trenge hjelp fra jurist
   • Må det være en klassisk cookiebanner? (Kanskje også banner blindness er et problem her?)
   • Visuell fremstilling. Hvilken rekkefølge skal knappene ha? Hvordan skal knappene vektes visuelt?
   • Språk og begreper. Hva er optimal ordlyd for å oppfylle krav og sikre en god brukeropplevelse?
   • Identifisere hvem som evt. bør involveres. Personvernjurister, Datatilsynet, NKOM...?
     • Hvem kan lede arbeidsgruppen?

2. Vurdere å utvikle en open source cookie-banner-komponent.

   • Er det interesse for å utvikle en felles open source-løsning for cookiebannere?
   • Hva er de viktigste funksjonene og egenskapene en slik løsning bør ha?
   • Finnes det noen eksisterende open source-løsninger som kan være et godt utgangspunkt?

Relevante kilder og artikler

• Hva ekomloven sier om bruk av informasjonskapsler (NKOM)
• Samtykkebokser er dårlig personvern (Digi-artikkel)
• 2 av 3 i det offentlige ber ikke om samtykke, kan bryte nye cookie-regler (Kode24-artikkel)
• Tvinges til å betale for irriterende cookie-popups: «Kan noen lage noe open source!?» (Kode24-artikkel)
• Consent-O-Matic: En løsning som lar brukeren automatisk sette innstillinger for cookies.

[Camulos]

Alternativ kilde med info om endringer: https://nkom.no/internett/informasjonskapsler-cookies

Står at nkom og dt skal komme med mer informasjon fremover.

[Moimoto]

Diskusjon om temaet på UX-Norge sin Slack

[mrosvik]

Relevant blogg-artikkel fra Nav: https://aksel.nav.no/produktbloggen/cookiebanner-navno

[Camulos]

Noen av hyllevarene for slike banner kan ha egne personvern utfordringer fordi de feks kan lagre valg og innstillinger ikke bare lokalt hos den som samtykker, men også på en server som knytter den til andre data. Bør et eventuelt mønster for dette også inkludere helt konkrete retningslinjer for den tekniske siden?

[mrosvik]

In the main working group for pattern development (NAV, Skatteetaten, and Digdir), we agreed to try to initiate a conversation with NKOM to hear their thoughts on this topic and find out if they are already working on any guidelines or examples. Related issue: #3946

[RagnarBoe]

Vi som jobber med innbyggertjenester hos KSDigital har også behov for at designsystemet kan hjelpe til en samordning av samtykkebanner-mønstre på tvers av digitale innbyggertjenester. Skriver oss herved på interessentlista :)

[mrosvik]

Relevant:
https://www.tek.no/nyheter/nyhet/i/kw2QVA/eu-vil-bli-kvitt-irriterende-pop-up-vinduer

EU vil bli kvitt irriterende pop-up-vinduer
EU-kommisjonen vil nå ta et oppgjør med en av sine mest irriterende lover fra 2009, melder Politico.

De vil presentere forslag i desember som skal fjerne krav til at nettsider om å ha pop-up-vinduer som ber om samtykke til informasjonskapsler, ogå kalt cookies.

[mrosvik]

https://www.tek.no/nyheter/nyhet/i/pB66rj/eu-foreslaar-ny-cookie-lov-for-aa-redusere-samtykkebannere

[frankdahle]

Datatilsynets anbefalinger:
https://www.datatilsynet.no/personvern-pa-ulike-omrader/internett-og-apper/bruk-av-informasjonskapsler-og-andre-sporingsteknologier/
Fra Norsk Regnesentral:
https://nr.no/prosjekter/tilgjengelige-informasjonskapsler/
Fra dansk firma som er spesialister på cookie-bannere:
https://cookieinformation.com/no/kunnskapsbase/blog-nb/norwegian-cookie-guidelines-explained/
Fra NKOM:
https://nkom.no/internett/informasjonskapsler-cookies

[frankdahle]

Innspill fra NAV som forteller om følgende diskusjon internt hos dem:

Utfordring:
Nav sier høyt at vi har en datadrevet produktutvikling, men det er ikke sant når mengdeinnsikten er avhengig av de som godkjenner alle informasjonskapsler. Vi må få mulighet til å tracke anonym adferd som "Nødvendig".

Situasjon:
Gjeldende retningslinjer i Nav sier at helt anonym tracking av brukeradferd på websiden IKKE er nødvendig. Som betyr at vi ikke har peiling på hvordan de som klikker på "Bare nødvendige" bruker websiden.
Fram til nå har 7.864 klikket på vårt banner. Det er 3.797 som har "Godkjent alle cookies" og 4.0.67 som har valgt "Bare nødvendige cookies". Det betyr at vi kun har muligheten til å analysere adferden til 48,28% av de som besøker Aksel. Vi kan heller ikke legge til grunn at disse 48%'ene er en representativ gruppe av alle besøkende. Om vi optimaliserer Aksel etter hva vi kan lære av denne gruppen risikerer vi å bomme kraftig på behovene til den ukjente halvdelen av de besøkende.

[mrosvik]

I dette mønsteret blir det relevant å ta stilling til WCAG-kriteriene 2.4.11 Focus Not Obscured (Minimum) og 2.4.12 Focus Not Obscured (Enhanced). Disse handler om at interaktive elementer som får fokus ikke skal være skjult av annet innhold, det vil si at brukeren alltid skal kunne se hvilket element som har fokus når de tabber seg gjennom grensesnittet.

Ikke-modale dialoger (som ofte er brukt til samtykkebanner) legger seg over andre interaktive elementer, og når vi bruker dem er det i praksis umulig å oppfylle 2.4.11 / 2.4.12 på små skjermer.

Eksempel fra Nav sin: Jeg har fokus nå på pensjons-knappen, men kan ikke se hvor fokus er siden hele pensjonsknappen er dekket av samtykkebanneret. Når skjermen blir enda mindre er det enda mer som blir skjult. Slik er det på de fleste sider i dag ser det ut til.

Er det derfor mer hensiktsmessig å vurdere en modal dialog for samtykkebanner, der brukeren må håndtere dialogen før de kan navigere videre? Ulemper med modal dialog er at den er mer inngripende og brukeren får ikke “se seg rundt” før de må ta stilling.

Alternativ: Kan en ikke-modal dialog minimere seg så den tar minimalt med plass? Men vi må fortsatt passe på at elementer som kan få fokus ikke havner bak den minimerte dialogen, og det blir nok fortsatt krevende.

Vi må også ta stilling til om modalen skal ha en lukkeknapp (X). Lukker de modalen bør det føre til det minst inngripende valget for brukeren når de ikke har tatt et aktivt valg selv, altså ikke godkjenning.

[mrosvik]

Relevant: https://design-system.service.gov.uk/components/cookie-banner/