Langt de fleste danske hjemmesider sporer dig ulovligt

96 ud af de 100 største danske hjemmesider lægger sporingscookies på din computer, før du overhovedet når at læse advarslerne, viser undersøgelse foretaget af Ingeniøren og Version2.

'Siden bruger cookies for at forbedre brugeroplevelsen, huske dine indstillinger, målrette annoncer og lave besøgsstatistik. Ved at fortsætte med at bruge sitet accepterer du dette.'

Advarsler som denne kan findes på danske websites, fordi det er et krav i cookieloven. Der er bare ét problem: De største websites bryder konsekvent loven og lagrer cookies på computeren, allerede inden brugeren har læst advarslen.

En undersøgelse, Ingeniøren og Version2 har foretaget, viser, at samtlige hjemme­sider på den top-100-liste, som brancheforeningen Danske Medier udarbejder, lægger cookies på brugernes computer, blot de bliver besøgt i få sekunder. 96 af de 100 benytter cookies fra tredjepart, altovervejende fra reklamenetværk. De benytter de små sporingsfiler til at følge brugerne rundt på nettet og kortlægge en profil, som bliver benyttet til at målrette annoncer. Det er årsagen til, at internetbrugere oplever at blive forfulgt af de samme reklamer på nettet igen og igen.

Læs også: Reklamenetværk sporer danskerne massivt på nettet

Gennemsnitligt lagrer hjemmesiderne 77 cookies på computeren, uanset om brugeren navigerer væk for at undgå dem eller ej. Topscore­ren i undersøgelsen, dagbladet Information, lagrer hele 260 cookies, blot du skriver information.dk i din browser.

Omfanget kommer bag på datalogi-lektor Rene Rydhof Hansen fra Aalborg Universitet.

»Det er vanvittigt. At der er så mange penge i et realtidsmarked for bannerannoncer, så det er interessant for så mange virksomheder, overrasker mig,« siger han.

Cookies er anonyme og viser ikke navn eller andre personlige oplysninger. Men når de samles fra mange hjemmesider, tegner de en profil af, hvem brugeren er.

»Annoncenetværkene har nogle af de mest detaljerede oplysninger. De kunne, hvis de ville, finde ud af, hvem du er,« siger Rene Rydhof Hansen.

Selv om cookielovgivningen kræver samtykke, før der bliver sat sporingsfiler på brugerens computer, håndhæver myndighederne ikke reglerne. Der er ikke udstedt en eneste bøde for at bryde dem.

Hos interesseorganisationen It-politisk Forening finder næstformand Jesper Lund de mange brud på cookieloven utilfredsstillende.

»Og det er kritisabelt, at Erhvervsstyrelsen ikke håndhæver den. Hvis styrelsen mener, at loven er uhensigtsmæssig, må den arbejde for at lave den om,« siger han.

Også på Christiansborg overrasker Ingeniørens opgørelse. Venstres it-ordfører, Michael Aastrup Jensen, kalder det et paradoks, at vi har en lov, som bygger på brugernes samtykke, men at ingen håndhæver, at samtykket bliver givet:

»Cookielovgivningen har spillet fallit. Den skader mere, end den gavner, og vi er nødt til at starte helt forfra,« siger han.

Dansk Folkepartis it-ordfører, Dennis Flydtkjær, sammenligner Erhvervsstyrelsens passivitet med, at politiet meldte ud, at der ikke ville være fartkontrol på vejene:

»Så kan det godt være, at nogle begyndte at køre lidt for stærkt. Der er behov for at regulere brugen af tredjepartscookies, for i dag er reglerne værdiløse,« siger han.

Erhvervsstyrelsen understreger, at loven ikke kræver, at medierne stiller en hjemmeside uden cookies til rådighed.

»Vi er i EU-regi blevet enige om, at reglerne skal fortolkes sådan, at der skal være et forudgående samtykke. Men samtidig er vi enige om ikke at håndhæve kravet om forudgående samtykke. Vi synes ikke, der er en praktisk måde at gøre det på,« siger kontorchef Brian Wessel.

Danske Medier sætter pris på, at Erhvervsstyrelsen ikke uddeler bøder, selv om websites bryder reglerne. Det sker nemlig heller ikke i andre EU-lande.

»Vi er som annoncebærende medier afhængige af, at tredjeparter kan få adgang til platformen for at afvikle annoncering. Normalt gør vi alt, hvad vi kan, for at efterleve loven, men her er vedtaget regler, som er vanskelige at efterleve i praksis,« siger digital chef Allan Sørensen.

Opgørelse viser kun toppen af isbjerget

Opgørelsen af cookies på danske hjemmesider er langtfra komplet. Da vi kun har besøgt mediernes forsider, fanger vi ikke andre cookies, som bliver sat af de tusindvis af undersider. De kan være helt anderledes, end hvad man finder på forsiden.

Karsten Rendemann, der driver firmaet Sitemorses danske afdeling, specialiserer sig i at fange alle cookies på et website. Kunderne er hjemmesiderne selv, som dermed får et overblik over deres cookie-brug.

Han oplyser, at mange cookies er vanskelige at opdage. Reklamenetværkene forsøger at skjule dem, blandt andet ved at indlejre dem i forskellige scripts. Desuden varierer antallet og typen af cookies, alt efter hvilket styresystem, hvilken browser og hvilken skærm brugeren har.

»Typisk er de cookies, der griber ind i folks digitale privatliv, designet til ikke at blive fundet,« skriver Karsten Rendemann i en mail til Ingeniøren. Han mener derfor, at problemet med sporing er større, end Ingeniørens undersøgelse viser.

Karsten Rendemann har for Danmarks Radio undersøgt en række danske websites for sporingscookies og nævner som Netdoktor som eksempel. Her fandt han 99 tredje­partscookies. I Ingeniørens opgørelse blev der kun fundet seks tredje­partscookies hos Netdoktor.

Under halvdelen af internetbrugerne kommer ind på mediernes sites via forsiden. De fleste kommer ad andre kanaler som nyhedsbreve, sociale medier og søgemaskiner direkte ind på undersiderne. Derfor bliver danskerne i praksis sporet i langt videre omfang, når de surfer rundt på de mest anvendte danske hjemmesider, end Ingeniørens og Version2s opgørelse viser.

Jurist: Kun snævre undtagelser til cookieregler

Ingen cookies, før brugeren har givet sit samtykke. Det er, hvad cookiereglerne kræver, forklarer IT-advokat Nis Peter Dall fra advokatvirksomheden BirdAndBird.

»Der er undtagelser fra reglen, men de er snævre,« fortæller advokaten.

Cookies kan primært blive undtaget fra kravet om samtykke, hvis de er teknisk nødvendige for den service, som brugeren beder om. Det kan f.eks. være en webshopcookie, der husker brugerens vare på tværs af sider. En anden teknisk undtagelse er cookies, der har til formål at balancere internettrafik mellem flere servere.

Undtagelserne er dog ikke umiddelbart nogen, som de gængse reklamenetværkscookies kan bruge til at slippe uden om reglerne om samtykke, mener Nis Peter Dall.

Selve samtykket behøver dog ikke nødvendigvis være et klik på ’OK’-knappen. Hvis hjemmesiden tydeligt angiver, at der bliver sat cookies, når brugeren navigerer videre, kan det godt forstås som et samtykke, lyder det fra Nis Peter Dall.

Erhvervsstyrelsen oplyser, at man i udgangspunkt er enig i fortolkning om samtykkekravet. Styrelsen vil dog ikke håndhæve kravet om forudgående samtykke og opfatter det derfor ikke som et brud på reglerne, hvis cookies sættes før samtykke. I stedet fokuserer styrelsen på, om brugeren får tydelig information, om hvilke cookies der bliver sat.

Også Mediehuset Ingeniørens websites som Verison2 hører under lagrer cookies hos brugerne, inden de har læst advarslen eller klikket rundt.

Mediehuset Ingeniørens digitale udviklingschef, Jesper Bille Haun, oplyser, at problemet med lagring af cookies kommer fra eksterne services, som huset har på websiderne såsom bannerannoncer, share-links til Facebook, LinkedIn, Twitter, statistiksystemer med videre. Disse services kan lægge 3. parts cookies på brugernes computere, og kan herefter anvendes af databrokere, der sælger information om brugerne.

»Men hvis man vil have Facebook-integration på vore sider, skal vi lægge Facebooks kode dér, og vi kan ikke styre, hvilke aftaler Facebook laver med andre - og hvilke cookies de lægger,« siger han.

»Vi tager imidlertid problemet meget alvorligt. Derfor går vi nu i gang med at finde løsninger, der gør brugerne tydeligt opmærksomme på, at deres profiler kan blive indsamlet, fordi vi giver mulighed for at dele en artikel på bl.a. Facebook. Vi vil også arbejde på en bedre teknisk løsning, der skal sikre brugernes privatliv. Endelig vil vi tage problematikken op i brancheforeningen Danske Medier og se, om vi kan finde en fælles løsning,« siger Jesper Bille Haun.

Artiklen er også bragt i let forkortet udgave i dagens udgave af Ingeniøren