De fleste danske hjemmesider har et cookie-banner. Langt de fleste overholder ikke kravene.
Her er en faktabaseret gennemgang af hvad loven faktisk kræver, hvad der er forbudt, og hvad konsekvenserne kan være.
Bruger du udelukkende essentielle cookies (session, kurv, login, sikkerhed) eller ingen cookies overhovedet, er du ikke forpligtet til at vise et cookie-banner. Det er kun ved brugen af ikke-essentielle cookies (analytics, tracking, markedsføringspixels) at samtykke kræves.
Hvad er en cookie?
En cookie er en lille tekstfil der gemmes på brugerens enhed, når de besøger en hjemmeside. Cookies bruges til alt fra at huske en indkøbskurv (essentielt) til at spore adfærd på tværs af hjemmesider (ikke-essentielt).
Loven skelner klart:
| Type | Eksempler | Kræver samtykke |
|---|---|---|
| Essentielle | Session, indkøbskurv, login, sikkerhed | Nej |
| Funktionelle | Sprogvalg, præferencer | Ja |
| Statistik/analytics | Google Analytics (_ga), Hotjar | Ja |
| Marketing/tracking | Meta Pixel, Google Ads, TikTok Pixel | Ja |
Cookies fra Google Analytics kræver forudgående samtykke. Det gælder også GA4.
Hvornår kræves et banner?
Kravet om forudgående samtykke til cookies stammer fra ePrivacy-direktivet (cookiedirektivet), som er implementeret i dansk ret via cookiebekendtgørelsen, og fra GDPR, der stiller krav til kvaliteten af samtykket.
Grundreglen: Sættes der cookies der ikke er strengt nødvendige for sidens funktion, skal du indhente samtykke inden cookies placeres. Ikke efter. Ikke ved fortsat brug. Inden.
Krav til et lovligt banner
Et gyldigt samtykke ifølge GDPR (artikel 7) og Datatilsynets vejledning skal opfylde disse krav:
- Frivilligt: brugeren skal kunne afvise cookies lige så let som at acceptere dem
- Specifikt: samtykke til analytics er ikke samtykke til markedsføring; der skal være granulær kontrol
- Informeret: brugeren skal forstå hvad de accepterer
- Utvetydigt: kræver en aktiv handling; fortsat brug af siden er ikke samtykke
- Trækbart: brugeren skal nemt kunne trække samtykket tilbage
Første lag af banneret skal altid indeholde en synlig mulighed for at afvise alle ikke-essentielle cookies, ikke blot en "Indstillinger"-knap der skjuler et afvisningsvalg.
Manipulerende design (dark patterns)
Datatilsynet og de europæiske databeskyttelsesmyndigheder (EDPB) advarer mod det, der kaldes "dark patterns" i cookiebannere. Typiske eksempler:
- En stor, farvet "Accepter alle"-knap kombineret med en grå eller lille "Afvis"-tekst
- Forudvalgte kategorier (pre-ticked boxes) ved åbning af indstillinger
- Kun "Accepter" og "Indstillinger" i første lag, afvisning skjult bag ekstra klik
- Cookie walls (adgang til indhold betinget af accept): kun lovlige i særlige tilfælde, fx med et rimeligt betalt alternativ
- Vildledende eller forvirrende sprog ("Brug kun nødvendige" vs. "Tillad alle")
"Accepter" og "Afvis" skal have samme visuelle vægt: samme farve, samme størrelse, samme antal klik. Enhver designmæssig asymmetri der favoriserer accept over afvisning betragtes som et dark pattern.
Tilsyn og bøder
I Danmark fører Digitaliseringsstyrelsen tilsyn med cookiereglerne, og Datatilsynet med den efterfølgende behandling af personoplysninger efter GDPR. En vigtig detalje i dansk ret: Datatilsynet kan ikke selv udstede administrative bøder. Sager sendes til politiet, og bøder fastsættes af domstolene.
Det betyder ikke, at konsekvenserne er beskedne. For den del, der handler om personoplysninger, er GDPR-rammen:
- Op til 20 mio. EUR eller 4% af den globale årsomsætning, det højeste af de to
- Datatilsynet kan udstede påbud og kræve dokumentation for lovlig behandling
- Gentagne overtrædelser kan eskaleres til politianmeldelse
Tjekliste: er dit banner lovligt?
- Vises banneret inden nogen ikke-essentielle cookies placeres?
- Er "Afvis alle" tilgængeligt i første lag, samme klik som "Accepter alle"?
- Er accept- og afvisningsknapper visuelt ligeværdige (farve, størrelse)?
- Kan brugeren give samtykke pr. kategori (analytics, marketing osv.)?
- Er der ingen forudvalgte kategorier?
- Kan brugeren nemt trække samtykket tilbage (fx via en "Cookieindstillinger"-knap i footer)?
- Registreres og dokumenteres samtykket?
Kan du svare ja til alle punkter, er du godt på vej. Bruger du ingen ikke-essentielle cookies og kan dokumentere det, er du fritaget for kravet om et banner helt og aldeles.
Indholdet i dette indlæg formidles til orientering og udgør ikke juridisk rådgivning. Konsultér en juridisk rådgiver hvis du er i tvivl om din specifikke situation.
Skal det løses på din egen webshop? Læs om ad hoc-opgaver på Shopify.
Skrevet ved hjælp af AI og gennemlæst af Nicolai Arpe, inden det blev udgivet. Ser du noget, der ikke stemmer, så sig til.
