Cookiebanner på hjemmesiden: hvad er et gyldigt samtykke?

Hvad er et gyldigt samtykke til cookies?

Der er mange hjemmesider i Danmark, der har et cookiebanner. Det er der ikke mange, der er i tvivl om længere. Men det, der stadig går galt igen og igen, er ikke selve banneret. Det er det, der sker bag det.

Et cookiebanner er ikke bare en formalitet, du slår til for at have ryggen fri. Det er et juridisk krav, der bygger på helt konkrete betingelser, og dem er der desværre rigtig mange hjemmesider, der ikke lever op til, selv om de tror de gør.

Når man taler om gyldigt samtykke til cookies i dansk og europæisk lovgivning, handler det om, at brugeren aktivt og informeret siger ja til, at bestemte cookies må sættes på deres enhed. Ikke at de bare scroller forbi et banner. Ikke at de klikker videre uden at gøre noget. De skal aktivt vælge til.

Datatilsynet i Danmark er tydelige på det punkt. Samtykke skal være frivilligt, specifikt, informeret og utvetydigt. Det er de fire nøgleord, som alt andet bygger på, og det er præcis dem, der giver problemer i praksis på rigtig mange hjemmesider.

Det gode ved at forstå, hvad et gyldigt samtykke egentlig indebærer, er, at det ikke behøver at være kompliceret at gøre rigtigt. Det kræver bare, at man ved, hvad man kigger efter, og det er præcis det, vi gennemgår her.

Brugeren skal kunne sige ja og nej lige let

Dette er et af de mest overskuede krav, og det er samtidig et af dem, der oftest giver problemer. Kravet lyder simpelt: Knappen "Afvis" eller "Nej tak" skal være lige så nem at finde og klikke på som "Accepter alle".

I praksis ser man tit et stort grønt banner med én tydelig knap: "Accepter alle". Afvisningsknappen er til gengæld skjult bag et lille link, der siger "Indstillinger" eller "Administrer cookies". Det er ikke et gyldigt samtykkedesign. Det er et dark pattern, og Datatilsynet og de øvrige europæiske tilsynsmyndigheder kigger specifikt efter den slags.

Frivillighed er et grundlæggende krav i GDPR-forordningen og den danske cookiebekendtgørelse. Og frivillighed kræver, at der reelt er et valg. Ikke et skinvalg, hvor det ene alternativ er åbenlyst nemmere end det andet. Begge muligheder skal præsenteres klart og på samme niveau i banneret.

Samtykke kræver klar tekst og reelt valg

Ud over designet handler det om, hvad der rent faktisk står i banneret. Teksten skal fortælle brugeren, hvad de siger ja til, og det skal ske på et sprog, de forstår. Ikke juridisk kancellistil og ikke vage formuleringer som "Vi bruger cookies til at forbedre din oplevelse".

Brugeren skal forstå, at de eksempelvis siger ja til, at Meta Pixel sender data om deres adfærd til Meta, eller at Google Analytics 4 indsamler statistik om, hvilke sider de besøger. Det er det niveau af klarhed, der kræves, for at et samtykke er informeret og dermed gyldigt.

Derudover skal samtykket være specifikt. Det betyder, at du ikke bare kan bede om ét samlet ja til "alle cookies". Brugeren skal have mulighed for at sige ja til statistik, men nej til markedsføring, og omvendt. Det er grunden til, at mange cookiebannere i dag er bygget op med kategorier, brugeren selv kan slå til og fra.

Og så er der dokumentation. Du skal faktisk kunne bevise, at et samtykke er givet, hvornår det er givet, og hvad det dækkede. Datatilsynet kan bede om det, og et ordentligt cookie-system registrerer og gemmer den information automatisk.

Hvilke fejl i cookiebanner ser man oftest?

Når man kigger på de fejl, der typisk opstår på danske hjemmesider, er der et tydeligt mønster. Fejlene er ikke altid bevidste. Tit er de opstået, fordi nogen har sat et banner op hurtigt, brugt en gratis plugin, eller antaget at det var nok at have et banner, uanset hvad det faktisk gør. Men uanset årsagen er konsekvenserne de samme: juridisk risiko og mistillid fra besøgende.

De fejl, der går igen, handler primært om tre ting: cookies der sættes for tidligt, knapper der er svære at finde, og en uklar opdeling af cookie-typer. Lad os tage dem én ad gangen.

Cookies sættes før samtykke, og det er problemet

Dette er den mest alvorlige fejl, og den er desværre utrolig udbredt. Det sker, når en hjemmeside loader tracking-scripts som GA4 eller Meta Pixel, allerede fra det øjeblik siden åbner, uden at afvente brugerens svar på cookiebanneret.

Banneret dukker fint nok op. Men bag kulisserne er sporings-cookies allerede sat. Det er en direkte overtrædelse af reglerne, fordi samtykke skal gives før dataindsamlingen starter. Ikke samtidig med, og slet ikke efter.

Det kan ske, fordi scripts er hardkodet ind i siden, fordi tag manager ikke er sat korrekt op med samtykke-triggers, eller fordi den cookie-løsning man har valgt ikke kommunikerer ordentligt med de scripts, der kører på siden.

Skjulte afvis-knapper skaber både risiko og mistillid

Som nævnt tidligere er designet af banneret ikke ligegyldigt. Når afvise-muligheden er gemt under et ekstra klik, eller teksten er gjort grå og lille sammenlignet med accept-knappen, sender det et klart signal til brugeren: Vi vil ikke have, at du afviser.

Det signal er ikke bare juridisk problematisk. Det er også brandmæssigt skadeligt. Brugere i dag er mere opmærksomme på deres data end nogensinde, og et manipulativt cookiebanner er en af de hurtigste måder at miste troværdighed på, allerede inden de har set dit indhold.

Datatilsynet har udstedt vejledning om prædesignede bannere, og EU's databeskyttelsesråd (EDPB) har publiceret retningslinjer, der direkte forbyder dark patterns i samtykkeflows. Det er ikke en gråzone. Det er klare krav.

Statistik og marketing blandes tit forkert sammen

En anden klassisk fejl er, at hjemmesiden ikke skelner tydeligt nok mellem, hvad der er statistik-cookies og hvad der er marketing-cookies. Måske fordi det teknisk set kan virke som det samme, men juridisk og brugsmæssigt er det to vidt forskellige ting.

Statistik-cookies som GA4 bruges til at forstå, hvordan besøgende bruger siden. Marketing-cookies som Meta Pixel og LinkedIn Insight Tag bruges til at spore adfærd på tværs af platforme og målrette annoncer. Det er to meget forskellige formål, og brugeren har ret til at sige ja til det ene og nej til det andet.

Hvis dit banner samler dem i én kategori og kalder det "Analyse og marketing", har du et problem. Det er ikke specifikt nok, og det opfylder ikke kravet om, at samtykket skal dække en bestemt og afgrænset behandling af data.

Hvilke cookies kræver samtykke på en hjemmeside?

En af de ting, der skaber mest forvirring, er, at ikke alle cookies kræver samtykke. Der er en kategori, der er undtaget, og det er nødvendige cookies. Men hvad er nødvendige cookies egentlig, og hvad falder uden for den kategori? Det er vigtigt at kende forskel, og det er desværre et sted, mange ender med at kategorisere forkert.

Nødvendige cookies er ikke det samme som statistik

Nødvendige cookies er de cookies, der er teknisk nødvendige for, at hjemmesiden overhovedet fungerer. Det kan være en session-cookie, der husker din indkøbskurv i en webshop, en login-cookie der holder dig logget ind, eller en cookie der husker dit sprogvalg.

De er nødvendige, fordi siden simpelthen ikke kan levere den service, brugeren forventer, uden dem. Disse cookies kræver ikke samtykke, og de behøver ikke at være en del af dit cookiebanner, udover at de bør nævnes i din cookiepolitik.

Cookie-type	Eksempel	Kræver samtykke?
Nødvendige	Session-cookie, login, CSRF-token	Nej
Statistik / Analyse	Google Analytics 4 (GA4)	Ja
Marketing	Meta Pixel, LinkedIn Insight Tag	Ja
Præferencer / Funktionelle	Gemt sprogvalg, chat-widget indstillinger	Typisk ja

Det, der oftest sker, er, at folk sætter GA4 i kategorien "nødvendige", fordi de oplever statistik som afgørende for driften. Men GA4 er ikke teknisk nødvendig for, at siden virker. Den indsamler data om brugerne til analyse, og det kræver samtykke.

GA4, Meta og tredjeparts-scripts kræver ekstra blik

GA4, Meta Pixel og lignende tredjeparts-scripts er de mest udbredte eksempler på cookies og scripts, der kræver aktivt samtykke, og som samtidig er dem, der oftest håndteres forkert.

• Google Analytics 4 (GA4) sætter cookies, der sporer brugeradfærd. Det kræver samtykke under statistik-kategorien. Du kan bruge GA4 i en samtykke-tilstand (Consent Mode v2), men det kræver korrekt opsætning i tag manager.
• Meta Pixel sporer konverteringer og adfærd til brug i Meta-annoncering. Det er en klar marketing-cookie og kræver eksplicit samtykke under marketing-kategorien.
• LinkedIn Insight Tag fungerer på samme måde som Meta Pixel, blot til LinkedIn-annoncering.
• Hotjar, Microsoft Clarity og lignende registrerer musebevægelser og adfærd og kræver samtykke, typisk under statistik eller funktionelle cookies.

Det vigtige her er, at disse scripts ikke bare selv sætter en cookie. De sender data til tredjeparter. Og det er netop dér, GDPR for alvor bider til, for der sker en overførsel af persondata, som brugeren skal have givet eksplicit og informeret samtykke til.

Hvorfor rammer det både tillid, data og måling?

De fleste tænker på cookiereglerne som et juridisk anliggende. Og det er de jo. Men de rammer faktisk tre steder på én gang, og det er vigtigt at forstå det hele billede, hvis man skal prioritere at gøre det rigtigt.

For det første er der den juridiske risiko. Datatilsynet kan udstede påbud, og selv om store bøder primært er set hos de store internationale aktører, er det at tro, at de aldrig kigger på SMV'er, en dyr antagelse. Der er klaget over og fulgt op på danske virksomheder af alle størrelser.

For det andet er der tilliden fra brugerne. Et manipulativt eller utydeligt cookiebanner er et af de første møder, en besøgende har med dit brand. Og det signalerer noget om, hvordan du behandler dem som person. Det er ikke den følelse, du vil efterlade.

Og for det tredje, og det er måske det mest undervurderede: det rammer din dataindsamling og dine beslutninger.

Dårligt samtykke giver skæve data og dårligere beslutninger

Når cookies sættes på den forkerte måde, ender du typisk i en af to situationer. Enten indsamler du data uden gyldigt samtykke, og dine tal er juridisk set ugyldige. Eller du har et banner, der er sat korrekt op, mange brugere afviser, og du ser dine GA4-tal dykke markant.

Det andet lyder måske skræmmende, men det er faktisk den rigtige situation. Problemet opstår, når du har troet på dine data i årevis, men de i virkeligheden var opbygget på forkert grundlag, fordi samtykke ikke var i orden. Pludselig kan du ikke stole på de tal, du har brugt til at træffe beslutninger om sider, kampagner og indhold.

Google Consent Mode v2, som er et krav fra Google for brug af GA4 og Google Ads i dag, er netop lavet til at hjælpe med at modellere data for de brugere, der afviser cookies. Men det kræver korrekt opsætning, og det kræver, at dit cookiebanner faktisk kommunikerer ordentligt med dit tag manager-setup. Ellers får du stadig skæve data og en juridisk gråzone.

Hvad bør du få styr på før næste kampagne?

Hvis du er ved at gennemgå din hjemmeside, planlægger en kampagne eller er i gang med et redesign, er det her det ideelle tidspunkt at kigge sin cookie-opsætning efter i sømmene. Det er langt nemmere at gøre det rigtigt fra starten, end at rydde op bagefter, særligt hvis du har kørt annoncering på ugyldigt datagrundlag.

Banner, tag manager og scripts skal spille sammen

Et cookiebanner er aldrig bedre end det system, det er forbundet til. Det nytter ikke at have et flot og korrekt udformet banner, hvis de scripts, du kører i Google Tag Manager, ikke venter på et grønt lys fra banneret, inden de loader.

Det korrekte setup er, at din cookie-løsning sender et samtykkesignal til tag manageren, og at tag manageren bruger det signal som trigger for at fyre scripts af. GA4 tændes kun, hvis statistik er accepteret. Meta Pixel tændes kun, hvis marketing er accepteret. Det er den tekniske sammenhæng, der gør samtykket reelt.

Cookiepolitik skal passe til det der faktisk kører

En cookiepolitik, der er kopieret fra et andet sted eller genereret automatisk, og som ikke nøjagtigt beskriver de cookies, der faktisk er aktive på din side, er en juridisk risiko i sig selv.

Din cookiepolitik skal liste de konkrete cookies, du bruger, hvad de hedder, hvem der sætter dem, hvad formålet er, og hvor længe de opbevares. Og den skal opdateres, hver gang du tilføjer et nyt script eller fjerner et gammelt. Det lyder omfangsrigt, men de fleste gode cookie-løsninger scanner og opdaterer automatisk.

Test siden som ny besøgende før du går live

Før du sender trafik til din hjemmeside, enten organisk eller via betalt annoncering, bør du åbne siden i et privat browservindue og observere, hvad der sker.

Kig specifikt efter: Dukker banneret op, inden siden loader scripts? Er afvise-knappen lige så synlig som accepter-knappen? Er kategorierne klart adskilte? Sættes der cookies, inden du har foretaget et valg? Du kan bruge din browsers udviklerværktøjer til at se under "Application > Cookies" og tjekke, om der allerede er cookies sat, inden du har interageret med banneret.

Det er en enkel og gratis test, der kan afsløre fejl, som ellers kunne koste dig dyrt, enten i tab af troværdighed, juridisk risiko eller forvrænget dataindsamling.

Saml trådene og gør det rigtigt én gang

Cookiebannere er et af de emner, der let ryger ned på listen over ting, man aldrig helt når at tage seriøst. Men som du har set her, er det ikke bare et juridisk spørgsmål om at have et banner. Det handler om, hvad der sker bag banneret, om brugerne reelt har et frit valg, om de scripts der kører, venter på et gyldigt svar, og om din cookiepolitik svarer til virkeligheden.

Et gyldigt samtykke til cookies kræver fire ting: frivillighed, specificitet, information og utvetydighed. Og for at det kan fungere i praksis, skal dit banner, din tag manager og dine scripts arbejde som ét sammenhængende system, ikke som tre separate ting, der ikke ved af hinanden.

De mest udbredte fejl på danske hjemmesider er cookies der sættes før samtykke, afvise-knapper der er gjort sværere at finde end accepter-knapper, og statistik-cookies der blandes med marketing-cookies. Alle tre fejl er nemme at løse, når man ved, hvad man kigger efter.

Og det ved du nu. God fornuft, god compliance og gode data behøver ikke at være tre separate mål. De kan sagtens gå hånd i hånd, når opsætningen er i orden.