Trenger nettsiden cookie-banner?

Med de nye cookie-reglene holder ikke lenger løsningen mange nettsider brukte: «ved å bruke siden godtar du informasjonskapsler». Her er hva loven sier, hva som krever samtykke og ikke, hvordan et lovlig banner ser ut, og hvordan du finner ut om du trenger et banner i det hele tatt.

Den nye ekomloven trådte i kraft 1. januar 2025. Paragraf 3-15 sier at det ikke er tillatt å lagre eller skaffe seg tilgang til opplysninger i brukerens utstyr, som mobil, nettbrett eller PC, uten at brukeren er informert og har gitt samtykke. Samtykket skal oppfylle kravene i personvernforordningen (GDPR).

Den store endringen er at nettleserinnstillinger ikke lenger teller som samtykke. Datatilsynet skriver at det frem til da var tilstrekkelig at standardinnstillingene i nettleseren tillot informasjonskapsler. Nå må brukeren gjøre et aktivt valg.

To ting til er verdt å merke seg:

• Regelen er teknologinøytral. Den gjelder ikke bare informasjonskapsler, men alle teknologier som lagrer eller henter opplysninger fra brukerens enhet, for eksempel lokal lagring i nettleseren og sporingspiksler.
• Den gjelder uansett om det er personopplysninger. Paragrafen handler om lagring og tilgang på enheten, ikke bare om data som kan knyttes til en person.

Loven har to snevre unntak. Samtykke trengs ikke for teknisk lagring som utelukkende skal overføre kommunikasjon i et nett, eller som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om. Nøkkelordet er «strengt». At noe er nyttig for deg som eier av siden, gjør det ikke strengt nødvendig for brukeren.

Om statistikk er Datatilsynet tydelig i sine råd for analyse og sporing på nettsted: i praksis må du samle inn gyldig forhåndssamtykke fra de besøkende for å bruke sporingsverktøy. Analyseverktøy behandles altså som markedsføringsverktøy. Samtykket skal innhentes før noe lagres eller leses på enheten, så verktøyene må ikke sette eller lese informasjonskapsler før brukeren har svart.

Innebygd innhold er fellen mange går i. En YouTube-video eller et Google-kart som lastes med siden, kan sette informasjonskapsler fra tredjeparter før brukeren har gjort noe. Løsningen er å vise et stillbilde med en knapp og først laste innholdet når brukeren klikker.

Samtykket skal være frivillig, spesifikt, informert og utvetydig, gitt gjennom en aktiv handling, mulig å dokumentere og like lett å trekke tilbake. I april 2025 publiserte Datatilsynet en veileder med ti konkrete råd. Oversatt til praktisk design betyr de:

1. «Avvis» på første skjermbilde. Har banneret en knapp for å godta, skal det være en like enkel mulighet til å avvise i samme lag. Å si nei skal ikke kreve ekstra klikk.
2. Like synlige knapper. Avvis-knappen kan ikke være gjemt, gjort grå eller mindre enn godta-knappen.
3. Ingen forhåndsavkryssede bokser. Og ingen samtykke fordi brukeren bare scroller eller blir værende.
4. Valg per formål. Brukeren skal kunne si ja til statistikk og nei til markedsføring.
5. Ingen cookie-vegg. Tilgangen til nettsiden kan ikke gjøres betinget av at brukeren samtykker.
6. Klare ord på knappene. «Godta statistikk» og «Avvis» er tydelige. «OK» og «Jeg forstår» er det ikke.
7. Enkelt å angre. Legg en fast lenke, for eksempel «Innstillinger for informasjonskapsler», i bunnen av alle sider.
8. Fullstendig informasjon et klikk unna. Hvilke informasjonskapsler, formål, hvem som behandler dataene og hvor lenge de lagres.

Hele listen står i Datatilsynets veileder om samtykke til informasjonskapsler. Husk også at banneret selv må kunne brukes med tastatur og skjermleser. Et banner som fanger tastaturet, bryter kravene til universell utforming.

Datatilsynet og Nasjonal kommunikasjonsmyndighet (Nkom) har felles tilsynsmyndighet med § 3-15. Ansvaret er fordelt slik:

• Nkom vurderer om en teknisk løsning er omfattet av regelen, og om unntakene for strengt nødvendig lagring gjelder.
• Datatilsynet vurderer om brukeren får god nok informasjon, og om samtykket oppfyller kravene i GDPR.

Nkom har en egen side om informasjonskapsler og reglene med lenker videre.

Bruker du Google Analytics 4 eller Google Ads, møter du fort begrepet Consent Mode. Det er ikke et samtykke i seg selv. Det er måten nettsiden forteller Google-taggene hva brukeren har svart i banneret, så taggene kan tilpasse seg.

Consent Mode har egne signaler for lagring av annonse- og statistikkdata (ad_storage og analytics_storage). Versjon 2 la til to signaler for bruk av data til annonsering: ad_user_data og ad_personalization. Google krever at du samler inn samtykke fra brukere i EØS og sender disse signalene videre hvis du vil bruke måling og tilpassede annonser, ifølge Google Ads-hjelpen.

Det finnes to varianter, beskrevet i Googles dokumentasjon:

• Basic: Google-taggene lastes ikke før brukeren har svart, og ingenting sendes til Google før det.
• Advanced: Taggene lastes med en gang med alt satt til «avslått», og sender målinger uten informasjonskapsler til brukeren har svart.

Basic er den strengeste varianten, fordi ingenting sendes til Google før brukeren har tatt et valg. Velger du Advanced, må du være trygg på at ingenting lagres eller leses på enheten før samtykket er gitt. Uansett variant trenger du fortsatt et banner som oppfyller kravene over.

Ikke nødvendigvis. Gå gjennom hva nettsiden faktisk laster:

1. Åpne siden i et privat nettleservindu.
2. Åpne utviklerverktøyene (F12), og se under «Application» eller «Lagring» hvilke informasjonskapsler og hvilken lokal lagring som finnes før du har klikket på noe.
3. Se under «Network» hvilke eksterne tjenester siden kobler seg til: Google, Facebook, YouTube, chat-verktøy og lignende.

Finner du bare strengt nødvendige ting, som handlekurv eller innlogging, trenger du verken banner eller samtykke etter § 3-15. Forklar likevel i personvernerklæringen hva som lagres og hvorfor.

Mange små bedriftssider kan faktisk kutte banneret helt ved å fjerne sporing de ikke bruker. En enkel nettside for en håndverker eller en frisør trenger ofte ikke annonsepiksler, og kart og video kan lastes ved klikk. Vær derimot forsiktig med verktøy som markedsfører seg som «informasjonskapselfrie». Regelen gjelder også annen lagring og lesing fra enheten, så sjekk hva verktøyet faktisk gjør før du dropper samtykket.

Ofte stilte spørsmål

Er det lov å bruke Google Analytics uten samtykke?

Nei. Statistikkverktøy som Google Analytics lagrer og leser opplysninger på brukerens enhet og er ikke strengt nødvendige. Datatilsynet skriver at du i praksis må innhente gyldig forhåndssamtykke før du bruker sporingsverktøy.

Må «Avvis alle» være like synlig som «Godta alle»?

Ja. Det skal være like lett å si nei som å si ja. Har banneret en godta-knapp på første skjermbilde, skal det også ha en like synlig mulighet til å avvise der, uten ekstra klikk.

Trenger jeg cookie-banner hvis jeg bare har nødvendige informasjonskapsler?

Nei. Strengt nødvendig lagring, for eksempel for handlekurv, innlogging eller å huske samtykkevalget, krever ikke samtykke etter ekomloven § 3-15. Forklar likevel i personvernerklæringen hva som lagres.

Gjelder reglene også for lokal lagring og sporingspiksler?

Ja. Ekomloven § 3-15 er teknologinøytral og gjelder alle teknologier som lagrer eller henter opplysninger fra brukerens enhet, ikke bare informasjonskapsler.

Hvem fører tilsyn med cookie-reglene?

Nkom og Datatilsynet har felles tilsyn. Nkom vurderer om en løsning er omfattet og om unntakene gjelder. Datatilsynet vurderer informasjonen og om samtykket oppfyller kravene i GDPR.

Kan jeg stenge ute brukere som avviser informasjonskapsler?

Nei. Datatilsynet sier at tilgang til nettsiden eller tjenesten ikke skal gjøres betinget av samtykke. Brukere som avviser, skal fortsatt kunne bruke siden.

Les også

Universell utforming: krav til nettsiden Tilgjengelighetsdirektivet og nettbutikker SEO for små bedrifter Support og drift av nettside

Dette er generell informasjon, ikke juridisk rådgivning. Reglene er sjekket mot Lovdata, Datatilsynet, Nkom og Googles dokumentasjon i september 2026. Ansvaret for samtykkeløsningen ligger hos den som eier nettsiden.