Cookies og samtykke: hva loven krever av nettsiden din

Kort svar: siden 1. januar 2025 må du ha et aktivt samtykke som oppfyller kravene i GDPR før nettsiden setter cookies eller lignende sporing som ikke er strengt nødvendig. Det følger av ekomloven § 3-15. At nettleseren godtar cookies, eller at brukeren bare fortsetter å surfe, er ikke lenger nok. Avvis-knappen skal være like enkel å bruke som Godta-knappen.

Hva sier loven om cookies i Norge?

Ekomloven § 3-15 sier at det ikke er tillatt å lagre eller skaffe seg tilgang til opplysninger på brukerens enhet uten at brukeren er informert og har gitt samtykke. Samtykket må oppfylle kravene i personvernforordningen, GDPR.

Den nye ekomloven trådte i kraft 1. januar 2025 og erstattet den gamle § 2-7 b. Den store endringen er samtykkestandarden. Før kunne innstillingene i nettleseren regnes som samtykke. Nå må brukeren aktivt si ja, og det må være like enkelt å si nei.

Brudd på reglene er ikke lenger en teoretisk risiko. Datatilsynet og Nkom deler tilsynsansvaret, og Datatilsynet har allerede ført tilsyn med sporingsverktøy på nettsteder, med særlig vekt på sider om sensitive temaer som helse.

Gjelder reglene bare cookies?

Nei. Regelen er teknologinøytral og gjelder all lagring av og tilgang til informasjon på brukerens enhet, ikke bare cookies.

Det betyr at sporingspiksler, local storage, fingeravtrykk av nettleseren og lignende teknikker også er omfattet. Det spiller heller ingen rolle om informasjonen regnes som personopplysninger. Selve lagringen eller lesingen på enheten utløser kravet. Er det i tillegg snakk om personopplysninger, gjelder GDPR fullt ut i tillegg.

Hvilke cookies trenger ikke samtykke?

Du trenger ikke samtykke for cookies som er strengt nødvendige for å levere en tjeneste brukeren uttrykkelig har bedt om, eller som bare brukes til å overføre kommunikasjon.

Unntaket er smalt. Slik vi leser loven, er dette typisk innenfor og utenfor:

Analyse er gråsonen folk spør mest om. Loven har ikke noe eget unntak for statistikk, så tradisjonelle analyseverktøy krever samtykke. Nkom vurderer hvilke tekniske løsninger som omfattes og om unntakene gjelder, så er du i tvil, er det dit du skal spørre.

Hvordan skal samtykkebanneret se ut?

Samtykkebanneret skal gi klar informasjon, la brukeren velge formål, og gjøre det like enkelt å avvise som å godta. Datatilsynet publiserte i april 2025 en veiledning om samtykke til cookies. Her er kravene derfra og det vi ser i praksis, samlet i ti punkter:

1. Gi klar og tydelig informasjon i samtykkeboksen om hva som samles inn, hvorfor og av hvem.
2. Ha fullstendig informasjon tilgjengelig i neste lag, for eksempel en liste over alle cookies og leverandører.
3. Ikke gjør tilgang betinget av samtykke. Nettsiden skal fungere selv om brukeren sier nei.
4. La brukeren velge formål, som statistikk og markedsføring hver for seg.
5. Ingen forhåndsavkryssede bokser og ingen aksept ved passivitet.
6. Avvisning skal ikke kreve ekstra klikk. Har første lag en Godta-knapp, må det også ha en Avvis-knapp.
7. Ikke skjul Avvis-knappen eller gi den svakere farge, mindre størrelse eller dårligere plassering.
8. Bruk klare ord på knappene. "Godta alle" og "Avvis alle" er bedre enn "OK" og "Innstillinger".
9. Gjør det enkelt å trekke samtykket tilbake, for eksempel med en fast lenke i bunnen av siden.
10. Hold orden i eget hus. Vit hvilke verktøy som faktisk ligger på siden, og hold oversikten oppdatert.

Slik sjekker du din egen nettside

Du kan se hva nettsiden din faktisk gjør på fem minutter, uten å kunne kode.

1. Åpne nettsiden i et privat vindu i Chrome, men ikke trykk på banneret.
2. Høyreklikk, velg Inspiser og gå til fanen Application. Se under Cookies og Local Storage.
3. Ligger det cookies fra Google Analytics (navn som starter med _ga), Meta (_fbp) eller andre annonsører der allerede, laster siden sporing før samtykke.
4. Trykk Avvis, last siden på nytt og sjekk igjen. Det skal ikke ha kommet nye sporingscookies.
5. Sjekk fanen Network for forespørsler til domener som google-analytics.com eller facebook.com før du har svart.

Hva er alternativet til cookie-banner?

Det beste alternativet er å ikke trenge et banner i det hele tatt, ved å droppe sporing som krever samtykke.

Mange småbedrifter har Google Analytics og Meta-pikselen liggende fordi en leverandør la dem inn for flere år siden, uten at noen ser på tallene. Fjern det du ikke bruker. Trenger du besøksstatistikk, finnes det analyseverktøy som er laget for å ikke sette cookies eller lagre noe på enheten, som Vercel Web Analytics, Plausible og Fathom. Sjekk likevel selv hva verktøyet gjør, og vurder GDPR, siden personvernreglene kan gjelde selv om ekomloven ikke gjør det.

Kjører du annonser og trenger Meta-pikselen eller Google Ads, må du ha et ordentlig samtykkeverktøy. Det finnes mange, både gratis og betalte, og de fleste koster fra null til noen hundrelapper i måneden for en liten side. Velg et som blokkerer skript til samtykke er gitt, og som lagrer dokumentasjon på samtykkene.

Hva ville vi gjort?

For en vanlig bedriftsside anbefaler vi å kutte all sporing som krever samtykke, bruke cookiefri statistikk og la være å vise banner. Det gir en raskere side, bedre brukeropplevelse og ingen juridisk risiko på dette punktet.

Denne nettsiden bruker selv Vercel Web Analytics, som ikke setter cookies. Kjører du betalt markedsføring og trenger målingen, setter vi opp et samtykkeverktøy som faktisk blokkerer skriptene, og sjekker at Avvis virker. Les også om KI og personvern hvis du bruker chatbot eller andre KI-verktøy som behandler kundedata, og om universell utforming, som også gjelder banneret ditt: det skal kunne brukes med tastatur og skjermleser. Vil du ha hjelp, se tjenestene våre.

Merk at dette er en praktisk gjennomgang av regelverket, ikke juridisk rådgivning. Er du i tvil om din situasjon, sjekk veiledningene fra Datatilsynet og Nkom eller spør en advokat.

Hva med personvernerklæringen?

Du må uansett informere om hvilke cookies og lignende teknologier nettsiden bruker, også de strengt nødvendige, og det gjøres vanligvis i personvernerklæringen eller en egen cookieside.

Informasjonen bør si hvilke cookies som settes, hva de brukes til, hvor lenge de lagres og hvem som står bak dem, for eksempel Google eller Meta. Lenken til erklæringen bør ligge fast i bunnen av alle sider, sammen med en lenke der brukeren kan endre eller trekke tilbake samtykket. Mange maler for personvernerklæring er skrevet før 2025 og henviser fortsatt til den gamle ekomloven § 2-7 b. Sjekk at din viser til § 3-15, og at listen over verktøy faktisk stemmer med det som ligger på siden i dag.

Har du en nettbutikk, et bookingsystem eller en kundeportal, må personvernerklæringen også dekke alle de andre personopplysningene du behandler, ikke bare cookies. Husk også at samtykket må kunne dokumenteres. Et godt samtykkeverktøy lagrer når brukeren svarte, hva som ble svart og hvilken versjon av banneret som ble vist. Endrer du hvilke verktøy siden bruker, bør brukerne spørres på nytt.