Cookie-regler i 2026
Cookie-reglerne er et af de mest synlige aspekter af GDPR og ePrivacy-direktivet for både virksomheder og forbrugere. Næsten alle websites bruger cookies, og lovgivningen stiller klare krav til, hvordan de håndteres. Her er en opdateret gennemgang af reglerne, som de ser ud i 2026.
Hvad kræver loven?
I Danmark reguleres cookies primært af cookiebekendtgørelsen (baseret på ePrivacy-direktivet) og GDPR. Hovedreglen er, at du skal indhente informeret samtykke, før du sætter cookies eller lignende teknologier, der ikke er strengt nødvendige for at levere den tjeneste, brugeren har anmodet om. Det gælder fx marketingcookies, analysecookies og cookies til sociale medier. Strengt nødvendige cookies (fx session-cookies til indkøbskurv eller login) kræver ikke samtykke, men du skal stadig informere om dem.
Krav til cookie-banneret
Et compliant cookie-banner skal opfylde flere krav: det skal præsentere et reelt valg, hvor det er lige så let at afvise som at acceptere cookies. Et banner med kun en 'Accepter'-knap er ikke lovligt. Banneret skal give klar information om, hvilke typer cookies der bruges og til hvilke formål. Forhåndsafkrydsede bokse for ikke-nødvendige cookies er ikke tilladt. Brugeren skal let kunne ændre eller trække sit samtykke tilbage. Og ingen ikke-nødvendige cookies må sættes, før brugeren aktivt har givet samtykke.
Analyse-cookies og alternativer
Google Analytics og lignende analyseværktøjer bruger cookies og kræver derfor samtykke. Mange virksomheder oplever, at en stor del af brugerne afviser analysecookies, hvilket giver ufuldstændige data. Der er flere alternativer: cookiefrie analyseværktøjer som Plausible, Fathom eller Umami, der ikke kræver samtykke, fordi de ikke bruger cookies eller indsamler personoplysninger. Server-side analytics er en anden mulighed, hvor data behandles på serveren uden cookies på brugerens enhed.
Seneste praksis og håndhævelse
Datatilsynet og andre EU-tilsynsmyndigheder har i de seneste år skærpet håndhævelsen af cookie-reglerne. Den franske tilsynsmyndighed CNIL udstedte i 2022 en bøde på 150 millioner EUR til Google for mangelfuld cookie-håndtering. I Danmark har Datatilsynet udstedt flere påbud og vejledninger. Tendensen er klar: cookie-compliance tages alvorligt, og 'dark patterns' (designmønstre der manipulerer brugere til at acceptere) betragtes som overtrædelser.
Hovedpointer
- Samtykke kræves for alle ikke-strengt-nødvendige cookies
- Cookie-banneret skal give et reelt valg med lige let afvisning
- Ingen cookies må sættes før aktivt samtykke er givet
- Cookiefrie analyseværktøjer kan være et alternativ til Google Analytics
- Håndhævelsen af cookie-regler er skærpet markant i hele EU