Ekomloven-ordliste

Ny ekomlov (lov 2024-12-13-76) trådte i kraft 1. januar 2025 og erstattet ekomloven fra 2003. Den regulerer blant annet mobil- og bredbåndstjenester, kommunikasjonstjenester i apper og sosiale medier, og – for første gang – datasentre.

For de fleste virksomheter er det cookie-reglene i § 3-15 som er mest aktuelle, fordi de gjelder nesten alle som har en nettside.

Loven gjelder elektronisk kommunikasjon, nett, tjenester og tilhørende utstyr. Mens de tradisjonelle pliktene retter seg mot tilbydere, gjelder cookie-bestemmelsen i § 3-15 langt bredere – i praksis enhver som lagrer eller leser opplysninger på en brukers utstyr.

Det gjør at ekomloven angår mange flere virksomheter enn man kanskje skulle tro.

En ekomtilbyder leverer for eksempel mobil-, bredbånds- eller meldingstjenester. Tilbydere har særskilte plikter etter loven, blant annet om sikkerhet, robusthet, taushetsplikt og varsling.

Den nye loven utvider tilbyderbegrepet til også å omfatte enkelte nettbaserte kommunikasjonstjenester.

Den nye ekomloven innfører regulering av datasentre, blant annet med registreringsplikt og krav til sikkerhet. Bakgrunnen er datasentrenes økende betydning for digital infrastruktur og beredskap.

Dette er en av nyhetene som skiller den nye loven fra 2003-loven.

Informasjonskapsler («cookies») og lignende teknologi lagrer eller henter informasjon på brukerens enhet. Ekomloven § 3-15 regulerer all slik lagring og tilgang – ikke bare klassiske cookies, men også for eksempel sporingspiksler og lokal lagring.

Reglene er sentrale fordi de gjelder nesten alle nettsteder.

Den store endringen i ny ekomlov: lagring og tilgang krever samtykke som oppfyller GDPR. Det betyr at samtykket må være frivillig, spesifikt, informert og uttvetydig – og like lett å trekke tilbake som å gi. Forhåndskryssede bokser og «fortsatt bruk = samtykke» er ikke lenger nok.

Brukeren skal informeres om hvilke opplysninger som behandles, formålet og hvem som er behandlingsansvarlig, før samtykke gis.

Det finnes et snevert unntak: cookies som er strengt nødvendige for å levere en tjeneste brukeren uttrykkelig har bedt om, krever ikke samtykke. Det gjelder for eksempel handlekurv-funksjon eller innlogging – men ikke analyse og markedsføring.

Unntaket skal tolkes strengt; «nødvendig for oss» er ikke det samme som «nødvendig for brukeren».

Mye sporing skjer gjennom tredjeparts cookies og sporingsteknologi, ofte for markedsføring og profilering. Slik sporing krever samtykke etter ekomloven, og når den behandler personopplysninger, også et behandlingsgrunnlag etter GDPR.

Ekomloven og GDPR spiller her tett sammen.

Ekomloven verner kommunikasjonen mellom brukere: innhold, trafikkdata og lokasjon skal beskyttes mot avlytting og urettmessig tilgang. Dette er en grunnpilar for tillit til elektroniske tjenester.

Vernet henger sammen med tilbydernes taushetsplikt.

Tilbydere og deres ansatte har taushetsplikt om innholdet i kommunikasjonen og om hvem som kommuniserer med hvem. Plikten beskytter brukernes privatliv og er en forutsetning for kommunikasjonsvernet.

Brudd kan få både tilsynsmessige og strafferettslige følger.

Tilbydere må sikre nett og tjenester mot hendelser og opprettholde tilgjengelighet, også i krise. Loven stiller krav til risikohåndtering, beredskap og varsling av sikkerhetshendelser – viktig for samfunnets digitale grunnmur.

Dette overlapper med kravene i digitalsikkerhetsloven for kritisk infrastruktur.

Loven gir sluttbrukere rettigheter knyttet til avtaler, åpenhet om priser og vilkår, nummerportabilitet og leverandørbytte. Formålet er en velfungerende og rettferdig konkurranse til brukernes beste.

Sluttbrukervern er en stor del av ekomreguleringen, ved siden av sikkerhet og personvern.

Nkom fører tilsyn med ekomtilbydere, forvalter frekvenser og nummer, og følger opp krav til sikkerhet, robusthet og sluttbrukervern. For cookie-reglene deler Nkom tilsynsansvaret med Datatilsynet.

Nkom er også utpekt som koordinerende tilsynsmyndighet for KI-forordningen.

Cookie-bestemmelsen håndheves i fellesskap: Datatilsynet har ansvar for samtykkekravet (som bygger på GDPR), mens Nkom har ansvar for de øvrige sidene av § 3-15. Virksomheter må derfor forholde seg til begge.

Det delte ansvaret gjenspeiler at cookie-regelen ligger i skjæringspunktet mellom personvern og ekom.

Ved brudd kan tilsynsmyndighetene gi pålegg om retting og ilegge overtredelsesgebyr og tvangsmulkt. For cookie-brudd kan også personvernregelverkets reaksjoner komme til anvendelse via samtykkekravet.

Nivået skal være tilstrekkelig til at det virker avskrekkende.