Er cookie-banneret ditt lovlig?

Den nye ekomloven trådte i kraft 1. januar 2025. Paragraf 3-15 sier at informasjonskapsler og lignende teknologi krever samtykke etter samme standard som i personvernforordningen (GDPR). Den gamle løsningen, der innstillingene i nettleseren kunne regnes som et ja, holder ikke lenger.

Datatilsynet og Nkom har felles tilsyn med regelen. Samtykket skal være frivillig, spesifikt, informert og utvetydig. Det skal gis gjennom en aktiv handling, kunne dokumenteres og være like lett å trekke tilbake som å gi. Nkom formulerer kjernen enkelt: det skal være like lett å si nei som å si ja.

Hva som trenger samtykke

Unntaket er smalt. Kapsler som er strengt nødvendige for at tjenesten brukeren har bedt om skal fungere, kan settes uten samtykke. Handlekurven, innloggingen og lagringen av selve valget i banneret hører til her. Analyse, annonsesporing, Meta-pikselen, Google Ads-taggene og mange innebygde tredjepartsverktøy trenger samtykke. Det gjelder også Google Analytics, selv om mange fortsatt behandler det som «bare statistikk».

Fem feil som går igjen

Avvis-knappen mangler på første side. Datatilsynet skriver rett ut at det ikke skal kreve ekstra klikk eller være mer brysomt å avvise. Ligger «Godta alle» som en stor knapp mens avvisningen er gjemt under «Innstillinger», er valget ikke likeverdig.

Designet skyver folk mot ja. En knallfarget godta-knapp ved siden av en grå tekstlenke for å avvise har omtrent samme effekt som en skjult knapp, bare litt mer diskret.

Boksene er krysset av på forhånd. Samtykke gitt ved at brukeren ikke gjør noe, teller ikke.

Taggene laster før valget er tatt. Banneret vises, men analyse- og annonsekoden kjører allerede i bakgrunnen. Dette er den vanligste feilen vi finner, og den synes ikke på skjermen. Du ser den først når du åpner utviklerverktøyene og sjekker hvilke kapsler som er satt før du har klikket på noe.

Det finnes ingen vei tilbake. Brukeren skal kunne ombestemme seg like enkelt som valget ble tatt, for eksempel via en lenke i bunnteksten som åpner valgene igjen.

Consent Mode og rekkefølgen

Bruker du Google-verktøy, må valget også sendes videre til Google gjennom Consent Mode. Siden mars 2024 har det vært et krav for å bruke annonsefunksjoner som remarketing og målgrupper mot brukere i EØS.

Her er rekkefølgen alt. Standardverdien, der alt er avslått, må settes før noen Google-tagg lastes. Settes den for sent, eller ikke i det hele tatt, oppfører taggene seg som normalt, som om samtykke var gitt. Da har du et banner som ser riktig ut og en sporing som ignorerer det. Vi fant akkurat denne feilen i vårt eget oppsett under testing, før det gikk live, så den er lett å overse også for folk som jobber med dette hver dag.

Prisen for å gjøre det riktig

Et banner der nei er like lett som ja, gir færre ja. Det må man regne med. Dataene du sitter igjen med, er til gjengjeld lovlig samlet inn, og Consent Mode lar Google modellere deler av det som mangler i Analytics og Ads. Et oppsett som samler inn uten gyldig samtykke, er en risiko du tar på vegne av hver eneste besøkende.

Test nettstedet ditt i dag. Åpne det i et privat vindu, ikke trykk på noe, og se under fanen Application i utviklerverktøyene i Chrome hvilke informasjonskapsler som allerede er satt. Er det mer enn det strengt nødvendige, vet du hva som står øverst på lista.