Når trenger du samtykke for cookies, og hva må banneret gjøre?

De fleste cookie-bannere gjør lite nytte hvis de bare ligger i veien. Det avgjørende er hva som skjer bak banneret. Her forklarer vi hva loven krever, hvorfor «Godta alle» uten et reelt valg ikke holder, og hvordan du kan kontrollere om nettsiden din følger reglene.

Hva sier loven om cookies og samtykke?

Fra 1. januar 2025 ble reglene for informasjonskapsler (cookies) skjerpet i Norge. Den nye ekomloven krever at samtykke til bruk av cookies og lignende teknologier oppfyller kravene i personvernforordningen (GDPR).

To regelverk virker sammen:

• Ekomloven § 3-15: Krever som hovedregel samtykke før en nettside lagrer eller henter opplysninger fra utstyret til den besøkende. Dette gjelder ikke bare cookies, men også lignende teknologier, som lokal lagring og enkelte sporingspiksler. Reglene gjelder selv om opplysningene ikke er personopplysninger.
• Personvernforordningen (GDPR): Bestemmer hva som skal til for at samtykket er gyldig. Dersom det behandles personopplysninger, stilles det også krav til hvordan disse opplysningene behandles.

Det finnes noen unntak. Cookies som er strengt nødvendige for å levere en tjeneste brukeren har bedt om, krever normalt ikke samtykke. Det kan for eksempel være en cookie som holder orden på handlekurven i en nettbutikk.

Analyse og markedsføring faller normalt ikke inn under dette unntaket. Bruker du for eksempel Google Analytics, Meta-pikselen eller Google Ads-sporing med cookies, må du som hovedregel innhente samtykke før sporingen starter.

Du finner mer informasjon i Nkoms oversikt over regelverket for informasjonskapsler.

Fire ting som må være på plass for at samtykket er gyldig

1. Frivillig. Den besøkende må ha et reelt valg. Å avslå skal være like enkelt som å godta. Tilgang til nettsiden skal som hovedregel ikke gjøres avhengig av samtykke til sporing.
2. Spesifikt. Brukeren skal kunne velge mellom ulike formål. Analyse og markedsføring er for eksempel to forskjellige ting, og det skal være mulig å godta det ene uten å godta det andre.
3. Informert. Det må være tydelig hvilke opplysninger som behandles, hvorfor de brukes og hvem som mottar dem. Mer detaljert informasjon skal være lett tilgjengelig.
4. Aktivt og utvetydig. Brukeren må selv gi et tydelig samtykke. Forhåndsavkryssede bokser, scrolling eller fortsatt bruk av nettsiden er ikke tilstrekkelig.

Samtykket må også kunne dokumenteres og trekkes tilbake like enkelt som det ble gitt. Derfor bør nettsiden ha en lett tilgjengelig lenke eller knapp som åpner samtykkeinnstillingene på nytt.

Valgene må presenteres på en rettferdig måte. En stor, tydelig «Godta alle»-knapp kombinert med et nesten usynlig alternativ for å avslå er ikke et reelt likeverdig valg.

Datatilsynet har en nyttig veiledning om samtykke og sporingsteknologier, med konkrete eksempler på hva som er tillatt.

Hvorfor cookie-banneret ditt kanskje ikke stopper sporingen

Et cookie-banner kan se helt riktig ut uten å fungere som det skal.

Problemet oppstår når banneret ikke er koblet riktig til verktøyene som samler inn data. Da kan sporingen starte før den besøkende har tatt et valg.

De vanligste feilene er:

• Bare «Godta alle» er synlig. Muligheten til å avslå er gjemt bak flere klikk eller er vanskelig å oppdage.
• Sporingsverktøyene er ikke koblet til samtykket. Google Analytics eller Meta-pikselen er lagt direkte inn i nettsiden og kan aktiveres uavhengig av valgene i banneret.
• Nye verktøy er ikke kontrollert. Chat, kart, videoavspillere og andre tredjepartsløsninger kan bruke cookies eller tilsvarende teknologi.
• Kategoriene er forhåndsvalgt. Analyse og markedsføring er allerede aktivert, slik at brukeren selv må skru dem av.

En samtykkeløsning må altså gjøre mer enn å vise et pent banner. Den må styre den faktiske bruken av cookies og sporingsteknologier.

Slik kan du teste om nettsiden sporer før samtykke

Du kan gjøre en enkel kontroll i nettleseren. Dette erstatter ikke en full teknisk gjennomgang, men kan avsløre vanlige feil.

1. Åpne nettsiden i et nytt privat nettleservindu uten tidligere lagret samtykke.
2. Åpne utviklerverktøyene i Chrome eller Edge med F12, eller høyreklikk og velg «Inspiser».
3. Gå til fanen «Application» og finn «Cookies». Kontroller hvilke informasjonskapsler som er lagret før du har tatt et valg.
4. Se spesielt etter cookies som _ga, _gcl_au og _fbp. Slike cookies brukes ofte av analyse- og markedsføringsverktøy.
5. Gå til «Network» og undersøk om data sendes til analyse- eller annonsetjenester før samtykke.
6. Velg «Avslå», last siden på nytt og kontroller at sporingen fortsatt respekterer valget.

Vær oppmerksom på at en nettverksforespørsel alene ikke beviser at ulovlig sporing foregår. Enkelte løsninger kan sende begrensede signaler uten cookies. For å avgjøre om oppsettet er lovlig, må du undersøke hvilke opplysninger som faktisk lagres, hentes ut eller overføres.

Hva må du kunne dokumentere?

Det er virksomheten som driver nettsiden, som har ansvaret for at samtykket er gyldig og kan dokumenteres.

Du bør derfor ha kontroll på:

• Samtykkene: Hva brukeren har samtykket til, når samtykket ble gitt, og hvordan dette kan dokumenteres uten unødvendig lagring av personopplysninger.
• Informasjonen: Hvilken tekst og hvilke valgmuligheter brukeren fikk presentert.
• Cookies og sporingsverktøy: Hvilke teknologier som brukes, formålet, leverandørene og hvor lenge opplysninger lagres.
• Tilbaketrekking: At brukeren enkelt kan endre eller trekke tilbake samtykket, og at løsningen respekterer dette.

Informasjonen må være tilgjengelig i en oppdatert cookie- eller personvernerklæring. En slik erklæring erstatter ikke samtykke, men forklarer hvordan opplysningene behandles.

Du kan se hvordan vi informerer om personvern og cookies i vår personvernerklæring.

Hva betyr dette for Google Analytics og Google Ads?

Et riktig samtykkeoppsett påvirker også måling og annonsering.

Når noen avslår analyse- eller markedsføringscookies, kan du ikke måle disse besøkene på samme måte som før. Dermed kan den direkte målte trafikken og antall konverteringer bli lavere.

Google har utviklet Consent Mode, som gjør at Google Analytics og Google Ads kan tilpasse datainnsamlingen etter brukerens samtykkevalg.

Det finnes to hovedmåter å sette opp dette på:

• Basic Consent Mode: Google-taggene blokkeres frem til brukeren gir nødvendig samtykke. Ingen data sendes fra disse taggene før samtykke.
• Advanced Consent Mode: Google-taggene kan lastes før samtykke og sende begrensede signaler uten cookies. Disse kan brukes til modellering av trafikk og konverteringer.

Advanced Consent Mode er ikke automatisk lovlig bare fordi det ikke brukes cookies. Det må vurderes konkret hvilke opplysninger som behandles, og om løsningen oppfyller ekomloven og personvernregelverket.

For mange norske bedriftsnettsider anbefaler vi Basic Consent Mode som et enklere og mer personvernvennlig utgangspunkt. Dette gir bedre kontroll over hva som skjer før brukeren har samtykket.

Consent Mode er heller ikke en samtykkeløsning i seg selv. Den må fungere sammen med et banner som innhenter gyldig samtykke, og et teknisk oppsett som respekterer brukerens valg.

Samtykke og måling bør derfor planlegges sammen. Det er en viktig del av det vi kaller den digitale grunnmuren.

Vil du ha hjelp med å sette opp riktig samtykkehåndtering på WordPress-nettsiden din, kan du lese mer om Flyt Digitals samtykkeløsning.

Spørsmål og svar

Må alle nettsider ha et cookie-banner?

Nei. Et samtykkebanner er ikke nødvendig dersom nettsiden bare bruker teknologi som faller inn under lovens unntak, for eksempel strengt nødvendige cookies. Bruker du analyse, markedsføringssporing eller andre teknologier som krever samtykke, må du ha en løsning for å innhente dette før teknologien tas i bruk.

Kan jeg bruke «Godta alle» som eneste knapp?

Nei. Brukeren må ha en like enkel og tydelig mulighet til å avslå. Et avslag skal ikke kreve flere klikk eller være vanskeligere å finne enn alternativet for å godta.

Må jeg ha samtykke for Google Analytics?

Ja, som hovedregel dersom du bruker Google Analytics med cookies eller tilsvarende teknologi som omfattes av ekomloven. Et oppsett uten cookies må vurderes særskilt, og er ikke automatisk unntatt fra kravene.

Mister jeg måledata når noen avslår cookies?

Ja, direkte måling blir mer begrenset. Med riktig konfigurert Consent Mode kan Google i enkelte tilfeller bruke modellering for å anslå manglende data. Dette er estimater, ikke registrerte besøk eller konverteringer.

Hvor lenge varer et samtykke?

Det finnes ingen generell lovbestemt gyldighetstid som passer alle nettsider. Samtykket må være aktuelt og kunne trekkes tilbake når som helst. Ved vesentlige endringer i formål eller databehandling må nytt samtykke innhentes.