Dom fra OLG Frankfurt av 27.06.2024 – Az.: 6 U 192/23
Når informasjonskapsler lagres på brukerens enheter uten deres samtykke, kan ikke bare nettstedets operatør holdes ansvarlig, men også leverandøren av den brukte sporingsprogramvaren. Dette har OLG Frankfurt bestemt med dommen av 27. juni 2024 (Az.: 6 U 192/23). Med avgjørelsen har OLG pålagt et stort IT-selskap å avstå fra å lagre informasjonskapsler uten brukernes samtykke på enhetene deres.
Når man besøker nettsider på internett, blir man ofte bedt om å godta eller avslå bruken av informasjonskapsler. Informasjonskapsler er små filer som lagres på besøkendes enheter som PC, smarttelefon osv., slik at besøkende kan gjenkjennes og gis tilpasset reklame.
Bruker må samtykke til lagring
I henhold til § 25 TDDDG er lagring av informasjon på brukerens enheter eller tilgang til allerede lagrede opplysninger kun tillatt hvis sluttbrukeren har gitt samtykke basert på klare og omfattende opplysninger. Sluttbrukeren må blant annet informeres om hvem som har tilgang til enheten hans, i hvilken form og med hvilket formål dette skjer. Ved bruk av informasjonskapsler uten nødvendig samtykke kan den berørte brukeren kreve tiltak mot nettstedoperatøren, ifølge advokatfirmaet MTR Legal, som blant annet gir råd innen IT-rett.
OLG Frankfurt har med sin dom av 27.06.2024 gått et skritt videre og bestemt at også leverandøren av sporingsprogramvaren kan holdes ansvarlig hvis informasjonskapsler settes uten samtykke.
I den foreliggende saken hadde saksøkeren motsatt seg lagring og avlesing av informasjonskapsler uten samtykke på sine enheter. Svarteparten er et datterselskap av et IT-konsern. Tjenesten deres tilbyr nettstedoperatører muligheten til å plassere annonser i søkeresultater og måle suksessen til reklamekampanjene. For dette formålet samles informasjon om nettstedets besøkende ved hjelp av informasjonskapsler, og målrettede annonser vises til de besøkende.
Informasjon lagres og leses med hjelp av informasjonskapsler
Svarteparten gir nettstedoperatørene en kode som de kan integrere på sin egen side. Når siden deretter åpnes, settes informasjonskapslene på brukerens enhet, eller allerede eksisterende informasjonskapsler leses. Svarteparten forplikter nettstedoperatørene kontraktsmessig til å innhente nødvendig samtykke fra brukerne. Samtykket må uttrykkelig gis ved en bekreftende handling. Godkjennelsen kan vanligvis gis via de kjente informasjonskapsel-bannerne.
Saksøkeren hevdet at informasjonskapsler hadde blitt satt på hennes enheter uten hennes samtykke, og krevde at svarteparten skulle avstå fra dette.
Tingretten i Frankfurt hadde avvist en midlertidig forføyning. I ankesaken ved OLG Frankfurt hadde saksøkeren imidlertid suksess. Svarteparten har ved å sette informasjonskapsler uten nødvendig tillatelse brutt de lovbestemte kravene, ifølge OLG. Loven forbyr «enhver tilgang til nettverkstilkoblede endeinnretninger uten sluttbrukerens samtykke», fastslo OLG Frankfurt.
Forbudet gjelder også teknologi-tilbydere
Forbudet gjelder enhver som har til hensikt å utføre en konkret lagrings- eller tilgangshandling. Dermed omfatter forbudet også svarteparten som stiller den tilsvarende teknologien til disposisjon. De lagrer informasjon gjennom informasjonskapsler på brukernes enheter og får tilgang til lagret informasjon ved å få den gjort tilgjengelig av nettstedoperatørene. Dermed har de forårsaket lagringen av informasjonskapsler uten samtykke på en tilstrekkelig kausal måte, ifølge OLG Frankfurt.
Svarteparten kan heller ikke stole på at nettstedoperatørene innhenter samtykke. De har fortsatt bevisbyrden for at brukeren har gitt samtykke til å sette informasjonskapsler. De må sørge for at dette samtykket foreligger, la OLG Frankfurt til.
Med denne avgjørelsen har OLG Frankfurt klargjort at brukere ved brudd på personvernet gjennom uautorisert bruk av informasjonskapsler ikke bare kan gå mot nettstedoperatører, men også mot tilbydere som stiller den tilsvarende teknologien til disposisjon.
MTR Legal gir råd innen IT-rett.
Ta gjerne kontakt med oss!
