Cookie-banner krav: slik gjør du samtykke riktig på nettsiden

Nesten alle bedriftssider bruker cookies til noe — statistikk, annonsemåling eller innebygde videoer. Siden den nye ekomloven trådte i kraft 1. januar 2025, er reglene for samtykke strammet inn, og mange cookie-bannere i Norge oppfyller dem fortsatt ikke. Denne guiden forklarer hvilke cookie-banner krav som gjelder per november 2026, hva som regnes som nødvendige cookies, og hvordan du kan måle besøk uten å spørre om samtykke. Den er ment som praktisk orientering, ikke juridisk rådgivning.

Hva loven sier

Regelen står i ekomloven § 3-15 (lov om elektronisk kommunikasjon av 2024). Kort fortalt: Du kan ikke lagre eller hente informasjon i brukerens nettleser eller enhet uten at brukeren er informert om hva som lagres, hvorfor og hvem som behandler det — og har gitt samtykke. Samtykket skal oppfylle kravene i personvernforordningen (GDPR).

Den største endringen fra den gamle loven er at standardinnstillingene i nettleseren ikke lenger teller som samtykke. Før kunne mange nøye seg med en informasjonsstripe med «OK»-knapp. Nå må brukeren aktivt si ja før ikke-nødvendige cookies settes. Ifølge Datatilsynet er regelen teknologinøytral: den gjelder lokal lagring og lignende teknikker, ikke bare det vi kaller cookies, og den gjelder enten opplysningene er personopplysninger eller ikke.

Kravene til et gyldig samtykke

Nkom og Datatilsynet lister opp hva som skal til for at samtykket er gyldig. Dette er sjekklisten et cookie-banner bør måles mot:

• Frivillig — brukeren skal kunne si nei uten å bli straffet for det, for eksempel ved at siden blir ubrukelig.
• Spesifikt — samtykket gjelder bestemte formål, som statistikk eller markedsføring, ikke «alt».
• Informert — brukeren får vite hva som lagres, hvorfor og hvem som står bak, i et språk som er lett å forstå.
• Utvetydig og gitt ved en aktiv handling — å scrolle videre eller fortsette å bruke siden er ikke samtykke.
• Dokumenterbart — du må kunne vise at samtykket ble gitt.
• Like lett å trekke tilbake som å gi — det må finnes en synlig måte å endre valget på senere.
• Å avslå skal være like enkelt som å godta.

Hva er nødvendige cookies?

Loven har to unntak fra samtykkekravet. Det ene gjelder ren overføring av kommunikasjon i nettet og er i praksis rettet mot teleoperatører. Det andre er det som er relevant for de fleste nettsider: lagring som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om. Nkom understreker at dette bare gjelder når cookien er en forutsetning for å levere tjenesten.

Grensen er ikke alltid skarp, og det er Nkom som avgjør tvilstilfeller. En god tommelfingerregel: Hvis siden fungerer like godt for brukeren uten cookien, er den sannsynligvis ikke strengt nødvendig.

Analyse uten cookies

Mange små bedrifter trenger bare å vite omtrent hvor mange som besøker siden og hvilke sider som er populære. Det kan ofte løses uten å lagre noe i nettleseren, og da gjelder ikke samtykkekravet i § 3-15. Flere analyseverktøy har en cookiefri modus, og noen setter cookies først etter samtykke.

To forbehold: For det første er det fortsatt GDPR som gjelder hvis analysen behandler personopplysninger, for eksempel IP-adresser. Da trenger du et behandlingsgrunnlag og må forklare det i personvernerklæringen. For det andre gjelder regelen også andre måter å hente informasjon fra enheten på, så «cookiefri» er ikke automatisk det samme som «utenfor loven».

Vanlige feil i cookie-bannere

1. 1

   Forhåndsavkryssede bokser

   Er «statistikk» og «markedsføring» slått på fra start, er det ikke en aktiv handling fra brukeren. Alle valgfrie kategorier skal være av til brukeren slår dem på.

2. 2

   Ingen «Avvis»-knapp på første nivå

   Står «Godta alle» som stor knapp, mens avslag ligger gjemt bak «Innstillinger», er det ikke like enkelt å si nei. Gi knappene sammenlignbar plassering og synlighet.

3. 3

   Cookies settes før brukeren har svart

   Det vanligste tekniske avviket: analyse- eller annonseskript lastes med en gang siden åpnes, og banneret er bare pynt. Sjekk i nettleserens utviklerverktøy hvilke cookies som finnes før du har klikket noe.

4. 4

   Ingen måte å endre valget på

   Samtykke skal kunne trekkes tilbake like lett som det ble gitt. En lenke som «Endre samtykke» i bunnen av siden løser det.

5. 5

   Utdatert oversikt

   Nye verktøy legges til, men cookie-oversikten oppdateres ikke. Da er samtykket ikke lenger informert.

Personvernerklæringen

Cookie-banneret erstatter ikke personvernerklæringen. Etter GDPR skal du blant annet opplyse om hvem som er behandlingsansvarlig, hvilke opplysninger du behandler, formål og behandlingsgrunnlag, hvor lenge opplysningene lagres, hvilke leverandører som får tilgang og hvilke rettigheter brukeren har — inkludert retten til å klage til Datatilsynet.

• Lag en egen side eller seksjon for cookies med navn, formål og varighet for hver cookie.
• Lenk til personvernerklæringen fra banneret og fra bunnen av alle sider.
• Skriv på norsk og i et språk kundene dine forstår — ikke kopier en mal på engelsk.
• Oppdater erklæringen når du tar i bruk nye verktøy, for eksempel chat, booking eller annonsesporing.

Personvern og samtykke står også på sjekklisten for ny nettside, sammen med alt annet som bør være på plass før lansering.

Kort oppsummert

Bruk færrest mulig cookies, sett ingen valgfrie før brukeren har sagt ja, gjør «avvis» like lett som «godta», og forklar alt i en oppdatert personvernerklæring. Er du usikker på om et konkret verktøy krever samtykke, se veiledningen fra Nkom og Datatilsynet eller spør en jurist. Planlegger du en ny side, tar vi samtykkeløsningen med i planen fra start — les hvordan du lager nettside til bedriften eller se hva en nettside koster hos oss.