Cookies på hjemmesiden: hvornår skal du have et banner?

Reglen

Cookiebekendtgørelsens § 3 siger, at man ikke må lagre eller få adgang til oplysninger i brugerens udstyr, hvis brugeren ikke har givet samtykke efter at have fået fyldestgørende information. Det gælder ikke kun cookies, men også fx localStorage og pixels.

Undtagelsen står i § 4: samtykke kræves ikke, når lagringen er påkrævet for at levere en tjeneste, som brugeren udtrykkeligt har bedt om. Myndighederne kalder det "teknisk nødvendige" cookies.

Digitaliseringsstyrelsen fører tilsyn med cookiereglerne. Datatilsynet fører tilsyn med den videre brug af personoplysninger efter GDPR. Et cookiebanner skal leve op til begge dele.

Hvad siden ellers skal oplyse, fx CVR-nummer og privatlivspolitik, står i guiden om, hvad der skal stå på en virksomheds hjemmeside.

Hvad er teknisk nødvendigt?

Digitaliseringsstyrelsen nævner disse eksempler på cookies, der ikke kræver samtykke:

• Login og brugervalidering.
• Indkøbskurve i en webshop.
• Valg, brugeren selv har truffet, fx sprog eller skriftstørrelse.
• Sikkerhed og fordeling af trafik mellem servere.

Statistik er ikke teknisk nødvendigt. Digitaliseringsstyrelsen skriver direkte, at du skal indhente samtykke, hvis du bruger cookies til at lave besøgsstatistik. Nogle andre EU-lande har en undtagelse for anonym statistik. Det har Danmark ikke.

Hvad banneret skal kunne

• Afvis på første lag. Datatilsynet skriver, at den besøgende i bannerets første lag skal kunne sige ja eller nej.
• Lige så let at sige nej. Afvis må ikke gemmes bag "Indstillinger" eller kræve flere klik end Accepter.
• Ingen nudging. Knapper i forskellige farver eller en Afvis-knap, der går i et med baggrunden, kan påvirke valget.
• Intet forhåndsafkrydset. Afkrydsede felter er ikke et samtykke.
• Ikke "ved fortsat brug". At brugeren bliver på siden, er ikke et samtykke.
• Formål og afsender. Det skal stå, hvad cookies bruges til, og hvem der sætter dem.
• Ombestem dig når som helst. Der skal altid være en tydelig adgang, fx i footeren, til at trække samtykket tilbage.
• Intet før valget. Statistik og pixels må først indlæses, når brugeren har sagt ja.

Datatilsynet har givet alvorlig kritik for netop den slags, bl.a. til DMI, fordi det krævede ekstra klik at afvise, og til JP/Politiken, bl.a. for farvevalget på knapperne.

Google Analytics, pixels, YouTube og kort

Google Analytics og anden statistik med cookies kræver samtykke. Datatilsynet har desuden mindet om, at der ud over overførsler til USA er en lang række andre GDPR-krav at forholde sig til.

Meta Pixel og andre annoncepixels er omfattet af cookiebekendtgørelsen og kræver samtykke, før de må bruges.

YouTube-videoer regner Datatilsynet med blandt de moduler, der sætter marketing-cookies. Den sædvanlige løsning er et billede med en afspilknap, der først henter videoen, når brugeren klikker.

Google Maps sender den besøgendes IP-adresse til Google og gemmer typisk data i browseren. Jeg har ikke fundet en dansk afgørelse om netop Maps. Det sikreste er et kortbillede med et link til Google Maps.

Google Fonts hentet fra Googles servere sender også IP-adressen til Google. En tysk domstol (LG München I, 2022) fandt det ulovligt uden samtykke. Dommen gælder ikke i Danmark, og der er ingen dansk praksis. Løsningen er nem: læg skrifttyperne på din egen server.

Sådan slipper du for banneret

Et banner er kun nødvendigt, hvis siden bruger noget, der kræver samtykke. En lille virksomhedsside kan ofte klare sig helt uden:

• Skrifttyper på din egen server.
• Kort som billede med link i stedet for et indlejret kort.
• Videoer, der først indlæses ved klik.
• Statistik, der hverken gemmer eller læser noget i browseren. Den falder efter ordlyden uden for cookiebekendtgørelsen, men GDPR gælder stadig, hvis den bruger IP-adresser.

Det giver også en hurtigere side, fordi der er færre scripts at hente.

Hvad sker der, hvis man ikke gør det?

Overtrædelse af cookiebekendtgørelsen kan straffes med bøde. I praksis starter Digitaliseringsstyrelsen med et høringsbrev og derefter et påbud om at rette op. Retter man ikke op, kan sagen ende med en politianmeldelse. I 2025 førte styrelsen tilsyn med 146 tjenester.

EU arbejder på at flytte cookiereglerne ind i GDPR (Digital Omnibus). Det er kun et forslag. Pr. oktober 2026 er det ikke vedtaget, og de nuværende regler gælder.