Hur påverkar Schibsteds 'betala eller godkänn'-modell vår egen efterlevnad av kravet på fritt samtycke enligt GDPR?

Modellen visar att ekonomiska hinder för att avslå spårning utgör tvingat samtycke, vilket strider mot GDPR. Ni måste säkerställa att inga avgifter eller ekonomiska påföljder kopplas till användarens rätt att neka datadelning.

Vilka konkreta åtgärder bör vi vidta för att undvika liknande regulatoriska åtgärder från IMY?

Granska era arbetsflöden för databehandling och samtyckesmekanismer för att identifiera och ta bort alla ekonomiska barriärer för avvisande av spårning. Se till att avvisande är lika enkelt och kostnadsfritt som godkännande.

Hur hanterar vi risken för övertaget juridiskt ansvar när vi använder externa plattformar för datadelning?

Begränsa er beroende av externa plattformar med tveksamma samtyckesmodeller genom att behandla data lokalt inom EU. Detta minskar risken att ert företag övertar deras juridiska ansvar för brott mot integritetsrättigheter.

Din samtyckesbanner kan vara olaglig

Schibsted, den nordiska mediejätten bakom Aftonbladet och VG, har utlöst en regulatorisk backlash genom att införa en samtyckesmodell med rubriken ”Betala eller godkänn”. Klagomål inlämnade av NOYB och norska Konsumentrådet menar att denna praxis tvingar användarna att antingen acceptera invasiv annonsspårning eller betala en premie för att avslå den. För svenska CTO:er och CISO:er är detta inte bara en bristning inom mediebranschen; det är en direkt varning om att tvångsartade samtyckesmekanismer nu granskas som brott mot grundläggande integritetsrättigheter.

Kärnproblemet är att samtycke måste ges fritt. Genom att göra avvisandet av spårning ekonomiskt bestraffande, eliminerar Schibsted i praktiken valet, vilket leder till samtyckesnivåer på nära 99 procent trots att studier visar att endast en bråkdel av användarna faktiskt vill spåras. Detta skapar det som kritiker kallar ”nordkoreanskt samtycke”, där illusionen av val maskerar ett tvingat överlämnande av data. Om en användare tackar nej för att hen inte har råd med avgiften, är det inte samtycke; det är utpressning.

Konsekvenserna för svenska företag är omedelbara och allvarliga. Den svenska IMY har redan mottagit över 56 klagomål enbart mot Schibsteds svenska dotterbolag. Om tillsynsmyndigheterna bedömer att dina samtyckesbanners eller API-avtal för datadelning bygger på liknande tvångsstrukturer, riskerar du betydande brister i efterlevnaden. Risken handlar inte bara om rykteskada utan om betydande böter och obligatoriska operativa omställningar. Du måste granska dina arbetsflöden för databehandling för att säkerställa att det inte finns några ekonomiska hinder mellan användaren och dennes rätt att säga nej.

Utvecklingen understryker det kritiska fallet för att behandla data lokalt inom EU och Sverige. När du förlitar dig på externa plattformar som tillämpar aggressiv spårning eller tveksamma samtyckesmodeller, övertar du deras juridiska ansvar. Genom att hålla databehandlingen lokal och under din direkta kontroll, eliminerar du risken för att tredje parts tvångsartade metoder ska påverka din efterlevnadsposition. Det möjliggör för dig att utforma arkitekturer med integritet som standard, som respekterar användarens autonomi utan att förlita sig på predatory affärsmodeller.

Läxläggningen är tydlig: samtycke är en juridisk skyldighet, inte en affärsmöjlighet. Om din datastrategi bygger på att fånga användare i spårningsloopar, bygger du på osäker juridisk grund. Prioritera transparent, lokal datahantering som respekterar användarens val, så håller du dig före tillsynsmyndigheterna och bygger upp äkta förtroende hos din publik.