8. april publiserte NRKbeta en sak basert på vår studie, hvor vi dokumenterer hvordan de aller fleste nettaviser bruker villedende design når de skal innhente samtykke for å samle data om sine brukere. Slikt samtykke blir som regel skaffet gjennom det vi har valgt å kalle for samtykkebokser: Popup-vinduer på nettsider som i ulike grad informerer om at de samler data om deg og i ulik grad ber om godkjennelse til dette. Vi analyserte samtykkebokser hos 300 skandinaviske og engelskspråklige nettaviser og nettmagasiner og fant villedende design i 297 av dem.
Villedende design er designstrategier som benyttes for å mislede brukerne til å gjøre ting de ikke har intensjon om eller forstår, som for eksempel å gi samtykke til uønsket datainnsamling. Blant de nettavisene hvor vi fant villedende design var flere eid av mediekonsernene Schibsted og Amedia. Til Nrkbeta hevder de, på sin side, at de har blitt vurdert på feil grunnlag da de ikke benytter seg av samtykkebokser, men det de kaller for informasjonsbokser. Videre sier de at de baserer sin innhenting av samtykke til datalagring på Ekomloven og derav “… har en praksis som ivaretar de retningslinjene som er satt for cookies på en tilfredsstillende måte”, (Stig Finslo, direktør for utgiverspørsmål og ekstern kommunikasjon i Amedia). Vi argumenterer at selv om mediekonsernene mener de opererer innenfor loven, så er dette ikke kun et juridisk anliggende. Etisk sett er dette en tvilsom praksis. I tråd med GDPR mener vi nettsider bør ha aktivt samtykke fra sine lesere hvis de skal samle personopplysninger.
Informasjonskapsler og samtykke
De fleste nettsider bruker informasjonskapsler, også kjent som cookies. Informasjonskapsler er en liten tekstfil som lastes ned og lagres på nettbrukeren sin datamaskin når denne personen besøker en nettside som benytter seg av denne typen teknologi. Informasjonskapsler har muligheten til å lagre kryptert informasjon som brukeren har gitt, for eksempel brukernavn og passord, men også informasjon om personens Internett-atferd og vaner.
Det er flere legitime grunner til at nettsider samler data om brukerne sine: For å gjenkjenne deg, gjøre nettsiden mer personlig, for å levere målrettet reklame, eller for å selge informasjonen din videre til en tredjepart. I løpet av sommeren 2018 ble man plutselig møtt av utallige popup-vinduer når man surfet på Internett. Bakgrunnen? ?The General Data Protection Regulation (GDPR), en forsterket personvernlov, trådte i kraft og krevde at brukere fra land i EU måtte gi ?eksplisitt samtykke? for at nettsider kunne samle data om dem. Disse samtykkeboksene skal sikre nettbrukeren sine rettigheter ved å sørge for at personlig informasjon ikke samles uten godkjennelse.
I Norge er det ikke bare GDPR som regulerer bruken av informasjonskapsler, vi har også Nasjonal Kommunikasjonsmyndighet (NKOM). NKOM er en statlig etat som blant annet forvalter loven om elektronisk kommunikasjon, bedre kjent som ekomloven. Ekomloven omhandler regler for hvordan man skal håndtere informasjonskapsler på nett, og sier blant annet at passivt samtykke er godt nok for et nettsted til å bruke informasjonskapsler til å samle data om brukerne sine. Det vil si så lenge en nettbruker ikke har endret internettinnstillingene sine til å avslå informasjonskapsler, så godkjenner personen nettsidens bruk av informasjonskapsler. Dette skiller seg tydelig fra GDPR som krever at brukeren aktivt godkjenner bruken av informasjonskapsler, gjennom for eksempel å trykke på en “Aksepter”-knapp i en samtykkeboks. I oktober 2019 skrev Datatilsynet at grunnet de strengere kravene innenfor EU om hva som kreves av et samtykke skulle NKOM vurdere om det var behov for en ny tolkning “… av hva som utgjør gyldig samtykke for å plassere cookies på norske nettsteder”. Flere norske mediehus, blant annet Schibsted og Amedia, belager seg på passivt samtykke når det kommer til å samle data om brukerne sine. Det vil altså si at de ikke spør brukeren om de samtykker til at informasjonskapsler blir brukt til å samle data om dem (slik GDPR krever), men belager seg på at så lenge ikke brukeren har endret innstillingene i sin nettleser til å ikke tillate informasjonskapsler så samtykker man altså til at det samles data om deg (beskrevet som passivt samtykkei ekomloven). I samtale med NRKbeta sier Schibsted at ikke ber sine besøkende om samtykke til å behandle deres personopplysninger, men heller gjør en egenvurdering om slik databehandling er forholdsmessig. Vi forstår dette som om at de mener at de ikke trenger å hente inn aktivt samtykke fra sine lesere for å samle inn personopplysninger, og vi er ikke så opptatt av om de kaller det samtykkebokser eller informasjonsbokser.
Design er ikke nøytralt
Design er ikke nøytralt. Design kan støtte eller hindre brukeren i å ta valg som er i deres egen interesse. En rekke designstrategier blir brukt av nettsider og apper for å villede brukerne til å gjøre ting de ikke har intensjon om eller forstår. Disse strategiene kan for eksempel være å gjøre et valg unødvendig komplisert, å gi gjentatte forespørsler om det samme, eller å fremheve et foretrukket valg over andre. Vår analyse avdekket vi en rekke designstrategier som brukes til å omgå intensjonen til GDPR.
Hva bør man kunne forvente av en samtykkeboks?
Når det skal samles inn data om brukere av nettsider, som ofte skjer ved hjelp av informasjonskapsler, spesifiserer GDPR at visse krav må innfris. Brukeren skal vite hva de samtykker til, det skal gis et eksplisitt samtykke, det skal være like lett å trekke tilbake et samtykke som det er å gi det, og du skal ha tilgang til tjenesten også om du ikke gir samtykke. Vi synes at kravene til GDPR er et godt utgangspunkt for å drive datainnsamling.
For å imøtekomme denne intensjonen må en samtykkeboks forklare hva man samtykker til med et enkelt og forståelig språk. Du må ha et reelt valg og ta dette aktivt — ikke bare for å få vekk en irriterende pop-up boks. Det skal også være designet slik at å avslå er like enkelt som å gi sin godkjenning. Det er riktignok få retningslinjer i GDPR for hvordan et design kan imøtekomme disse kravene.
Nettaviser bruker mange kreative strategier for å omgå disse kravene. Blant annet fant vi i vår studie at det kan ta opp til 18 klikk for å avslå å bli sporet (noe som ofte bestod av veiledning til å endre innstillingene i nettleseren din), mens det tar bare et klikk å samtykke. I over 60 prosent av nettavisene, måtte man ha over 10 klikk for å avslå. En annen strategi som blir brukt er at man ikke spesifiserer det avkreftende svaret som “Nei” eller “Avslå”, men bruker vage uttrykk som “Les mer” eller “Endre innstillinger”. Slike strategier bidrar til å gjøre det vanskelig for brukeren å gi et eksplisitt og informert samtykke.
Det kan se ut som det er behov for retningslinjer for hvordan man skal designe samtykkeerklæringer for å hedre intensjonene i GDPR. Samtidig vil ikke slike retningslinjer fungere om ikke de følges. Det bør myndighetene kontrollere. Det er tydelig at det eksisterer en ukultur når det gjelder design av samtykkebokser. Det er enkelt å designe en løsning som gjør det lett for brukeren å ta et informert valg. Selv om vi gjerne skulle vært foruten disse lite brukervennlige samtykkeboksene, har vi tatt oss friheten til å designe et forslag til hvordan en slik boks bør se ut (se bilde). Vi oppfordrer alle nettaviser og andre nettsider til å følge denne modellen, selv om dette kan føre til at flere velger å avslå forespørselen.
11 og denne irriterende popupen forsvinner