Tilsynsrapport. Tilsyn etter Lov om elektronisk kommunikasjon. 2-7 b. Bruk av informasjonskapsler/cookies

Transkript

1 Tilsynsrapport Tilsyn etter Lov om elektronisk kommunikasjon 2-7 b. Bruk av informasjonskapsler/cookies

2 Sammendrag Lov om elektronisk kommunikasjon (ekomloven) og 2-7 b om «bruk av informasjonskapsler/cookies» trådte i kraft 1. juli (Nkom) har i perioden 15. april til 30. april 2015 gjennomført tilsyn med de 500 mest besøkte nettsteder i Norge. Nkom har vurdert om de aktuelle nettstedene bruker informasjonskapsler/cookies, om nettstedene opplyser om at de bruker informasjonskapsler/cookies og om opplysningene om bruk er lett tilgjengelig Resultatet av tilsynet viser at kun 19 % av de gjennomgåtte nettstedene oppfyller alle krav i ekomloven 2-7 b. 2

3 Innholdsfortegnelse 1 Innledning Bakgrunn og rettslig grunnlag Tilsynsmetode Tilsynsobjekter Bruk av Alexa.com som kilde Informasjonskapsler som kommer inn under unntaksbestemmelsene Resultater Automatisk tilsyn Antall sider fordelt på kategori Antall informasjonskapsler satt per kategori Fordeling mellom første og tredjeparts informasjonskapsler Fordeling mellom sesjons og varige informasjonskapsler Fordeling sesjons og varige tredjeparts informasjonskapsler Fordeling mellom sesjons og varige informasjonskapsler for førsteparts informasjonskapsler Manuelt tilsyn Andel av nettsteder som informerer om at informasjonskapsler brukes Andel av nettsteder som informerer i en eller annen grad fordelt på kategori Andel av nettsteder med informasjon som oppfyller synlighetskriteriet Grad av informasjon på steder som informerer om bruk av informasjonskapsler Hvor er informasjonsteksten utilstrekkelig? Oppsummering Konklusjon

4 1 Innledning I henhold til lov om elektronisk kommunikasjon (ekomloven) 2-7 b, er lagring av opplysninger i brukers kommunikasjonsutstyr, eller å skaffe seg adgang til slike, ikke tillatt uten at brukeren er informert om hvilke opplysninger som behandles, formålet med behandlingen, hvem som behandler opplysningene, og har samtykket til dette. Samtykkeerklæringen gjøres i nettleseren under forutsetning av at nettstedet informerer på en klar og tydelig måte om at de setter informasjonskapsler, hvilke typer informasjonskapsler de setter, hvilke opplysninger som behandles, formål og hvem som behandler opplysningene som samles inn. Ekomloven 2-7 b om «bruk av informasjonskapsler/cookies.» ble innført 1. juli (Nkom) har til nå valgt å informere aktørene om de nye kravene i ekomloven 2-7 b, og veilede aktører om lovens krav til synlig informasjon på nettsteder. Nkom har nå valgt å foreta et tilsyn for å se om aktuelle aktører omfattet av ekomloven 2.7 b faktisk oppfyller bestemmelsen på egne nettsteder. 1.1 Bakgrunn og rettslig grunnlag De aller fleste nettsteder inneholder informasjonskapsler, som er tekstfiler som lagres på sluttbrukers terminal og som inneholder informasjon som gjør det mulig å følge sluttbrukers bevegelser på Internett. Ekomloven 2-7 b setter den rettslige rammen for bruk av informasjonskapsler, og skal ivareta personvernet og sikkerheten til brukerne ved å beskytte terminalutstyret og informasjonen som ligger på dette. Nkom har valgt å gjennomgå de 500 mest besøkte norske nettstedene. Tilsynet inkluderer både nettsteder under det norske toppdomenet.no og nettsteder under andre toppdomener, der nettstedet er rettet mot det norske markedet og ansvarlig aktør har en norsk juridisk identitet. 4

5 1.2 Tilsynsmetode Følgende ble vurdert ved gjennomgang av de aktuelle nettstedene: 1. Har nettstedet informasjon om hvilke informasjonskapsler som settes, hvordan de behandles og hvem som behandler dem? 2. Er informasjonen tydelig og lett tilgjengelig? 3. Setter nettstedet informasjonskapsler det ikke opplyses om? Tilsynet ble gjennomført i to faser. En automatisert uthenting av informasjonskapsler fra hvert enkelt nettsted samt et manuelt besøk og undersøkelse av nettstedet. Den automatiserte sjekken skilte ikke mellom informasjonskapsler det skal informeres om og informasjonskapsler som kommer inn under unntaksbestemmelsene i ekomloven 2-7 b. Disse er informasjonskapsler satt; 1. utelukkende for det formål å overføre kommunikasjon i et elektronisk kommunikasjonsnett 2. som er nødvendig for å levere en informasjonssamfunnstjeneste etter brukerens uttrykkelige forespørsel. 1.3 Tilsynsobjekter For å hente ut de 500 mest besøkte nettstedene ble Alexa.com sin 1 statistikk over de mest besøkte nettstedene i Norge valgt som kilde. Det ble foretatt en «vask» av denne listen slik at en fikk fram de 500 mest besøkte norske nettsteder, enten med.no adresse eller som helt tydelig henvender seg til et norsk publikum. Disse 500 sidene ble så kategorisert inn i syv ulike kategorier Ferie/Fritid; sider som for eksempel matprat.no, se.no, vektklubb.no Handel; sider som for eksempel biltema.no, jysk.no, solfaktor.no Nyheter; sider som for eksempel vg.no, nrk.no, p4.no Næringsliv; sider som for eksempel nordea.no, colorline.no, bilnorge.no Referanse; sider som for eksempel 1881.no, kvasir.no, speedtest.no Samfunn; sider som for eksempel difi.no, avinor.no, lanekassen.no Sport; sider som for eksempel speaker.no, treningsforum.no, altomfotball.no Bakgrunnen for denne kategoriseringen er for å se om det er noen kategorier av nettsteder som utmerker seg i positiv eller negativ retning

6 Til den automatiserte sjekken har Nkom brukt et verktøy utviklet av Information Commissioner s Office i Storbritannia. Verktøyet bestod av et Pythonscript med et «Selenium Python bindings» 2 grensesnitt. Dette skriptet ble kjørt fra en ny installasjon av Ubuntu LTS. En ny brukerprofil med «default»-oppsett i Firefox nettleser 3 ble brukt for hvert nettsted som ble besøkt. Informasjonskapsler ble ekstrahert av en modifisert versjon av «Get all Cookies in XML» 4 utvidelsen til Firefox og lagret i en loggfil. Det er kun informasjonskapsler satt på førstesiden som ble fanget opp av denne automatiserte sjekken. Fase to var en manuell kontroll av nettstedet der vi kontrollerte at nettstedet informerte om hvilke informasjonskapsler som ble satt, samt en vurdering av hvorvidt informasjonen var lett tilgjengelig og lett forståelig. Denne manuelle kontrollen ble gjort ved å bruke Firefox nettleser hvor all informasjon ble slettet før vi gikk inn på det aktuelle nettstedet. 1.4 Bruk av Alexa.com som kilde I tilsynet har det vært brukt nettsteder plukket ut av Alexa.com som er et selskap eid av Amazon.com. Måten de produserer statistikk på er at bruker laster ned tillegg til egen nettleser som lar Alexa.com spore hvilke nettsteder brukeren besøker. Dette er vurdert til å gi en god statistisk vurdering av hvilke 500 norske nettsteder som er mest besøkt. I uttaket fra Alexa.com ble det, etter gjennomgang, funnet seks nettsteder som ikke fungerte, eller som ikke lastet inn i nettleseren. Disse ble tatt ut av tilsynet og det totale antallet nettsteder som inngår i tilsynet ble derfor Informasjonskapsler som kommer inn under unntaksbestemmelsene I det automatiske uttaket ble alle informasjonskapsler registrert. Det ble ikke gjort en vurdering av hvorvidt informasjonskapslene kom inn under ekomlovens 2-7 b punkt 1. og 2. (unntaksbestemmelsene). Det er ikke undersøkt hvorvidt det enkelte nettsted setter andre enn tradisjonelle informasjonskapsler, slik som såkalte «zombie-cookies» eller «flash-cookies» Aksepter alle informasjonskapsler, avslått DNT (do not track) og påslått JavaScript 4 6

7 2 Resultater 2.1 Automatisk tilsyn Denne delen fokuserer på resultatene fra det automatiske tilsynet. Resultatene omhandler derfor kun informasjonskapslene med tilhørende tekniske egenskaper Antall sider fordelt på kategori Tilsynet har betraktet i alt 494 nettsteder. Disse er videre kategorisert inn i syv ulike kategorier. Totalt antall sider per kategori Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport 7

8 2.1.2 Antall informasjonskapsler satt per kategori Totalt ble det satt informasjonskapsler ved innlastning av førstesiden på nettstedene som var med i tilsynsrunden. Dette gir et gjennomsnitt på 29,4 informasjonskapsler per side Totalt antall informasjonskapsler Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport Tabellen under viser gjennomsnittlig antall informasjonskapsler satt per side per kategori. Kategori Gjennomsnitt Ferie/fritid 26,93 Handel 24,80 Nyheter 75,05 Næringsliv 14,96 Referanse 21,55 Samfunn 11,59 Sport 13,12 8

9 2.1.3 Fordeling mellom første og tredjeparts informasjonskapsler Totalt ble det satt 3528 førsteparts og tredjeparts informasjonskapsler fordelt på alle de 494 førstesidene. Dette gir et gjennomsnitt på 24,2 % førsteparts og 75,8 % tredjeparts informasjonskapsler av alle informasjonskapsler som ble satt. 100,00% Prosentvis fordeling av første og tredjeparts informasjonskapsler 90,00% 80,00% 70,00% 60,00% 50,00% Førsteparts Tredjeparts 40,00% 30,00% 20,00% 10,00% 0,00% Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport Tabellen under viser antall første og andreparts informasjonskapsler satt per kategori. Kategori Førsteparts Tredjepart Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport Totalt

10 2.1.4 Fordeling mellom sesjons og varige informasjonskapsler Totalt settes det 3658 sesjons og varige informasjonskapsler. Informasjonskapselen med lengst varighet varte i 7990 år. Tabellen under viser prosentvis fordeling mellom alle sesjons og varige informasjonskapsler, både første- og tredjeparts. 90,00% 80,00% 70,00% 60,00% 50,00% 40,00% 30,00% 20,00% 10,00% 0,00% Prosentvis fordeling mellom sesjon og varige informasjonskapsler Sesjon Varig Tabellen under viser fordelingen av varige informasjonskapsler, både første- og tredjeparts, fordelt på levetid. 70,00% Prosentvis fordeling av varige informasjonskapsler fordelt på år 60,00% 50,00% 40,00% 30,00% 20,00% Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport 10,00% 0,00% 0-1 år 1-2 år 2-3 år 3-4 år 4-5 år 5-6 år over 6 år 10

11 2.1.5 Fordeling sesjons og varige tredjeparts informasjonskapsler 75.8 % av alle informasjonskapsler er tredjeparts. Av alle tredjeparts informasjonskapsler er 83,1 % varige. 100 % 90 % 80 % 70 % 60 % 50 % 40 % 30 % 20 % 10 % 0 % Prosentvis fordeling mellom sesjon og varige tredjeparts informasjonskapsler Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport Varig Sesjon 11

12 2.1.6 Fordeling mellom sesjons og varige informasjonskapsler for førsteparts informasjonskapsler 100 % Prosentvis fordeling mellom sesjon og varige førsteparts informasjonskapsler 90 % 80 % 70 % 60 % 50 % 40 % Varig Sesjon 30 % 20 % 10 % 0 % Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport 12

13 2.2 Manuelt tilsyn I det manuelle tilsynet ble alle de 494 sidene besøkt og vurdert etter følgende kriterier: Hvorvidt bruk av informasjonskapsler ble beskrevet på nettstedet Om informasjonen var lett å finne Hvorvidt bruk av informasjonskapsler ble godt nok beskrevet Hvorvidt bruk av førsteparts informasjonskapsler og hvilke data som lagres ble godt nok beskrevet Hvorvidt bruk av tredjeparts informasjonskapsler og hvilke data som lagres ble godt nok beskrevet Hvorvidt formålet ved bruk av de ulike informasjonskapslene ble godt nok beskrevet Andel av nettsteder som informerer om at informasjonskapsler brukes Av totalt 494 nettsteder var det 11 som ikke brukte informasjonskapsler og 9 som var utilgjengelig under tilsynsperioden. Av de resterende 476 nettstedene informerte 268 i varierende grad om bruk av informasjonskapsler, mens 208 ikke informerte i det hele tatt Andel av nettsteder som informerer i en eller annen grad fordelt på kategori 100,00% 90,00% 80,00% 70,00% 60,00% 50,00% 40,00% 30,00% 20,00% 10,00% 0,00% Andel nettsteder som informerer om bruk av informasjonskapsler Nettside utilgjengelig Bruker ikke Informerer Informerer ikke 13

14 2.2.3 Andel av nettsteder med informasjon som oppfyller synlighetskriteriet Av de 268 nettstedene som informerer var det 139 hvor informasjonen var lett synlig på førstesiden. De resterende 129 hadde informasjon enten inn under «personvernpolicy» eller andre mer eller mindre intuitive lenker fra forsiden. 100 % Andel av nettsteder med informasjon som oppfyller synlighetskriteriet 90 % 80 % 70 % 60 % 50 % Oppfyller ikke Oppfyller 40 % 30 % 20 % 10 % 0 % Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport 14

15 2.2.4 Grad av informasjon på steder som informerer om bruk av informasjonskapsler 100 % Grad av informasjon i de tilfellene hvor det informeres om bruk av informasjonskapsler 90 % 80 % 70 % 60 % 50 % Utilstrekkelig Tilstrekkelig 40 % 30 % 20 % 10 % 0 % Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport Hvor er informasjonsteksten utilstrekkelig? Av de som informerer, men hvor informasjonen er utilstrekkelig, er det 57 % som ikke informerer tilstrekkelig om førsteparts informasjonskapsler de setter, mens 83 % ikke informerer tilstrekkelig om tredjeparts informasjonskapsler. I alle tilfellene er det slik at de som ikke informerer tilstrekkelig om førsteparts informasjonskapsler, heller ikke informerer tilstrekkelig om tredjepart. I de tilfellene hvor tredjeparts informasjonskapsler ikke er informert om i tilstrekkelig grad, er det likevel noen som informerer tilstrekkelig om førsteparts informasjonskapsler. 15

16 2.2.6 Oppsummering Totalt er det 19 % av nettstedene som oppfyller ekomloven 2-7 b når det gjelder krav til synlighet og grad av informasjon. Tabellen under viser fordelingen per kategori. Andel av sider som oppfyller tilsynskrav 100 % 90 % 80 % 70 % 60 % 50 % Oppfyller ikke krav Oppfyller krav 40 % 30 % 20 % 10 % 0 % Ferie/fritid Handel Nyheter Næringsliv Referanse Samfunn Sport 16

17 3 Konklusjon Tilsynet viser at det er en meget lav andel nettsider som informerer godt nok. Bare 19 % oppfyller lovens krav. 81 % av nettsidene oppfyller ikke kravene i loven ved at de enten: 1. ikke har informasjon i det hele tatt 2. ingen lenke til informasjon om informasjonskapsler på førstesiden 3. mangelfull eller uriktig informasjon om informasjonskapsler I mange tilfeller er det en kombinasjon av flere av punktene over. Den kategorien av nettsteder som kommer aller dårligst ut er «Nyheter». Det bør være i både små og store mediehus sin interesse å informere sine lesere om hvilken informasjon de samler inn om hver enkelt leser, hva de bruker den til og hvem de deler den med.. Formålet med l bestemmelsen er å styrke personvernet gjennom å beskytte brukerutstyret og informasjonen som er laget og dermed gi brukerne bedre kontroll over personopplysningene sine. Ved å gi klar og tydelig informasjon om bruken av cookies og hva de brukes til, kan brukeren gjøre et reelt valg om en ønsker å godta bruk av informasjonskapsler fra nettstedet brukeren besøker. Når så få nettsteder informerer godt nok om hvilke informasjonskapsler de setter, svekker det personvernet til den enkelte bruker. Nkom er overrasket og skuffet over at 81 % av de 500 mest besøkte nettstedene i Norge bryter kravene i loven. Dette er et uakseptabelt høyt tall. Nkom vil følge opp dette ved å tilskrive alle de berørte nettstedene, gjøre de oppmerksom på at de bryter bestemmelsen og og be de ansvarlige om å rette seg etter kravene i loven. Ved fortsatt manglende etterlevelse vil Nkom vurdere tvangsmidler i form av overtredelsegebyr eller bøter dersom nettstedene ikke følger opp kravene i loven. 17