1 (5) Sida 2014-03-20 Datum PTS Nätsäkerhetsavdelningen Jeanette Kronwall 08-614 6767 072-711 9449 08-614 7790 bjorn.moller@nordea.se Tel Mobiltelefon Fax Tillsyn avseende användningen av kakor (cookies); Dnr: 14-1371 (nedan Nordea eller banken) inkommer härmed med följande svar på frågorna i PTS skrivelse av den 10 februari 2014. Allmänna frågor om er webbplats 1. Vilka webbplatser som riktar sig till personer i Sverige ansvarar ni för? Nordeas huvudsakliga webbplatser är nordea.com och nordea.se. Nordea.com är Nordeas-koncernens företagswebbplats med generell information om Nordea och Nordea-koncernen. Webbplatsen riktar sig till alla som är intresserade av Nordea och inte specifikt till personer i Sverige. Informationen på webbplatsen finns både på danska, engelska, finska, norska och svenska. Nordea.se är Nordeas primära kanal för bankens online-tjänster. På denna webbplats informerar banken om sina produkter och tjänster. Här finns även länkar till Nordeas internetbanker och andra inloggningsbara online-tjänster för Nordea-kunder. Banken har även ytterligare ett antal webbplatser som vänder sig till personer i Sverige. Det är huvudsakligen fråga om webbplatser som har upprättats av affärsenheter inom banken för närmare information om enheterna och dess tjänster och produkter samt om olika former av kampanj-, sponsor- och eventsiter. Mot bakgrund av tillsynens syfte att få fram praxis och vägledning kring hur reglerna om information och samtycke ska följas och för att inte göra svaret oöverskådligt, väljer Nordea att begränsa svaret till webbplatserna nordea.com och nordea.se. Vad som sägs om dessa webbplatser gäller i stor utsträckning även för Nordeas övriga webbplatser, särskilt när det gäller vad som sägs om dagsläget för nordea.se under avsnittet Information och samtycke nedan. 2. Har ni själva skapat er webbplats eller har någon annan utvecklat den och de applikationer och funktioner som används? Vilka system (webbpubliceringsverktyg m.fl.) använder ni för att bygga er webbplats?
2 (5) Sida Båda webbplatserna har utvecklats av Nordea. Ett egenutvecklat webbpubliceringsverktyg används för själva webbplatserna och Wordpress används för de newsrooms som finns på danska, engelska, finska, norska och svenska. 3. Finns det innehåll på er webbplats som hämtats från en tredje part (annonsrutor, inbäddade videoklipp, sociala insticksfunktioner som gilla-knappar m.m.)? Ja, båda webbplatserna har inbäddade videoklipp och sociala insticksfunktioner, dock inte gilla-knappar, från tredje part. På nordea.com finns även ett insticksprogram avseende aktieinformation och på nordea.se finns insticksprogram för fondkalkylator och bolånekalkylator. Användningen av kakor 4. Använder ni kakor (cookies) eller liknande tekniker och i så fall vilka typer? Ja, båda webbplatserna använder cookies. Det rör sig både om permanenta/beständiga cookies och om sessions-cookies. 5. Redogör för er policy eller strategi avseende användande av kakor. Banken har i dagsläget inte formulerat någon övergripande policy eller strategi för sin cookieanvändning. Webbplatserna informerar besökarna enligt vad som framgår av fråga 11 nedan. 6. Har ni övervägt andra alternativ än att använda kakor och i så fall vilka? Om det har funnits alternativ, vad har i så fall motiverat användningen av kakor? Nej, varken för nordea.com eller nordea.se. 7. Vilka kakor använder ni? För vilka ändamål används respektive kaka? Nordea.com: Genom Cookie Reports genomförs en månatlig genomgång av vilka cookies som används. Den senaste genomgången bifogas som Bilaga 1. Nordea.se: Inom ramen för det projekt som berörs i fråga 11 har det tagits fram en förteckning över de cookies som används på nordea.se, Bilaga 2. Projektet arbetar med att identifiera ändamålen med dessa cookies, varför de används och i vilken utsträckning de ska fortsätta att användas. 8. Hur lång livslängd har respektive kaka? Vad har motiverat valet av livslängd? Livslängden framgår av de ovan nämnda bilagorna 1 och 2. Några övergripande principiella överväganden ligger inte bakom valet av livslängd. Det handlar om vad som befunnits lämpligt med tanke på cookiens funktion och ändamål.
3 (5) Sida 9. Används tredjepartskakor och i så fall från vem? Ja, webbplatserna använder tredjepartscookies från AppNexus, WebTrends, AddThis, Google, Youtube, BlueKai, Scorecard research, Media6degrees, Turn inc och Full Circle Studies. 10. Hur regleras ansvaret för eventuella tredjepartskakor? Vem bestämmer vilka kakor som sätts? Båda webbplatser har site managers som bestämmer vad som ska publiceras och vilka verktyg som ska användas på siterna. När det är aktuellt med innehåll från tredje part görs kontroll av att parten är en seriös aktör och fastställs ramarna och ändamålet för publiceringen. Eventuella cookies från tredje part ska hålla sig inom ramarna. Nordea ansvarar för vilka cookies som sätts och för vilka ändamål. Nordea gör ibland uppföljningar av vilka tredjepartscookies som används, och med verktyget Cookie Reports säkerställs regelbunden (månatlig) uppföljning (för nordea.com i dagsläget och längre fram även för nordea.se). Information och samtycke 11. Hur har ni utformat er information på webbplatsen om användningen av kakor? Redogör detaljerat för var, när och hur informationen lämnas. Bifoga exempel i form av skärmklipp, textkopior eller liknande. Nordea.com: Webbplatsen använder sig av cookieverktyget Cookie Reports. Längst upp på webbplatsen finns en banner som visas första gången en person använder webbplatsen, se Bilaga 3. Bannern informerar om att webbplatsen använder cookies och har en länk till fullständig information om hur cookies används. Om personen inte klickar på (OK) så finns bannern kvar under hela besöket och på alla sidor som en upplysning om att cookies samlas. Dessutom finns längst ner på alla sidor en länk, se Bilaga 4, som leder till den fullständiga informationen om webbplatsens cookie-användning. Den fullständiga informationen återges i bifogad skärmdump, Bilaga 5 och i denna länk. Som framgår av informationen finns här också dokument med information om hur man ändrar sina webbläsarinställningar, Bilaga 6, vilka cookies som används, tidigare berörd Bilaga 1, och intyg avseende den senaste granskningen, Bilaga 7. Nordea.se: I dagsläget gäller följande. Längst ned på alla sidor på webbplatsen finns en länk till Behandling av personuppgifter och cookies. Följande information lämnas om cookies: Nordea använder cookies för att samla in information automatiskt. En cookie är en liten textfil som webbläsaren sparar i webbesökarens dator. Textfilen innehåller information som används t.ex. för att underlätta besökarens användning av webbplatsen.
4 (5) Sida Nordea använder både sessionscookies och cookies som lagras (persistent cookies). Om du inte vill acceptera cookies kan du ändra inställningarna i din webbläsare. Observera att om du inte inaktiverat cookies utgår Nordea från att du accepterar användningen av dem. En förutsättning för att du ska kunna använda Nordeas nättjänster är att du accepterar sessionscookies. Dessa cookies används för att du ska kunna utföra dina bankärenden på ett enkelt och smidigt sätt och de försvinner när du loggar ut ur Nordeas tjänst. I direkt anslutning till texten finns dessutom en länk till information om hur man inaktiverar cookies. Nordea har inlett ett projekt om att införa cookieverktyget Cookie Reports även på nordea.se. Utseendet kommer att skilja sig något från den version som finns på nordea.com, men funktionaliteten ska i allt väsentligt vara densamma. Planen är att införa verktyget under andra halvåret 2014. I Bilaga 8 finns en presentation av en första pilotversion av verktyget. Nordea avser att justera vissa av de informations- och samtyckestexter som finns i piloten. Piloten baseras på den lösning som har installerats av Nordea Danmark och som kan studeras närmare på nordea.dk. I korthet fungerar det på följande sätt. Vid första besöket på webbplatsen kommer det fram en informationsruta om att cookies används (bild 3 i bilaga 8). I rutan finns en länk till mer detaljerad information om cookies-användningen (bild 4 i bilaga 8). Informationen i rutan består av en övergripande text med hänvisningar till mer detaljerad information om vilka cookiekategorier och cookies som används samt till motsvarande dokument som finns för nordea.com (bilagorna 6, 1 och 7). Vid framtida besök finns en klickbar Cookie-triangel placerad längst ner till höger på skärmbilden (bild 2 i bilaga 8). Cookie-triangeln finns på varje sida på webbplatsen som besöks. Genom att klicka på triangeln kommer man till den ovan nämnda rutan med information om att cookies används. 12. Hur inhämtar ni samtycke från användarna/webbplatsbesökarna till användningen av kakor? Nordea.com: I den ovan nämnda bannern informeras besökaren att genom att klicka på någon länk på sidan så samtycker besökaren till att cookies tas emot från webbplatsen. Samtycket bygger på besökarens konkludenta handlande. Genom (1) bannerns tydliga information om att cookies används. (2) möjligheten att via bannern ta del av utförlig information om webbplatsens cookies, inklusive om hur man ändrar webbläsarinställningarna, (3) det förhållandet att bannern följer med och påminner om dessa förhållanden under hela besöket ända till dess att man klickar OK; och (4) allt i kombination med att besökaren redan har sin webbläsare in-
5 (5) Sida ställd på att tillåta cookies, så måste enligt Nordeas bedömning besökaren genom sitt handlande att fortsätta att använda webbplatsen anses ha lämnat samtycke till att cookies används. Nordea.se: I dagsläget gäller följande. Något uttryckligt samtycke inhämtas inte. Som framgår av informationstexten så tillämpas än så länge det som fortfarande är vanligt förekommande på många webbplatser, att om inte besökaren har inaktiverat cookies i sina webbläsarinställningar så anses samtycke föreligga. När verktyget Cookie Reports införs på nordea.se så kommer samtycket att bygga på konkludent handlande enligt resonemanget ovan och beskrivningen i fråga 11. 13. Får den som besöker er webbplats ta emot eller lämna några kakor innan dennes samtycke har inhämtats? Nordea.com: Nej, för förstagångsbesökare sätts cookies först när besökaren klickar sig vidare på siten. Nordea.se: Ja, i dagsläget, men efter införandet av Cookie Reports gäller samma svar som för nordea.com. 14. Om en användare inte tillåter kakor, vad får det för konsekvenser för användarens möjlighet att använda webbplatsen? Båda webbplatserna kan användas även om besökaren skulle ställa in webbläsaren så att cookies blockeras. Användarupplevelsen kan dock komma att begränsas. 15. Hur lagrar ni information om att en användare/webbplatsbesökare lämnat samtycke? Hur länge lagras den informationen? Nordea.com: Informationen om användarens samtycke lagras i cookien wscrcookieconsent och sparas i 180 dagar. Nordea.se: I dagsläget sparas inte någon sådan information. Stockholm som ovan Björn Möller Legal Counsel