Kan Datatilsynet give bøder uden forudgående varsel?

I teorien ja, men i praksis starter Datatilsynet næsten altid med en henvendelse, en påtale og en frist til at rette op. Bøder uden forudgående dialog er yderst sjældne for danske SMB'er og typisk forbeholdt grove eller gentagne overtrædelser.

Hvad hvis min hjemmeside er lavet af et bureau — er det deres ansvar?

Nej. Du er som dataansvarlig (virksomhedsejer) ansvarlig for, at dit website overholder reglerne. Du kan stille krav til dit bureau om at implementere cookie-samtykke korrekt, men ansvaret ligger hos dig. Det kan dog være relevant at involvere bureauet i at løse eventuelle problemer.

Skal jeg svare Datatilsynet med det samme?

Du bør svare inden for den frist, Datatilsynet angiver i deres henvendelse — typisk 2-4 uger. Svar aldrig for sent, og ignorer aldrig en henvendelse. Hvis du har brug for mere tid, kan du bede om forlængelse — det er normalt og acceptabelt.

Kan en borger klage over mine cookies?

Ja. Enhver besøgende kan indgive en klage til Datatilsynet, hvis de mener, at dit website ikke overholder cookie-reglerne. Datatilsynet er forpligtet til at behandle klager og kan på baggrund af en klage indlede en undersøgelse af dit website.

Jeg bruger kun Google Analytics — skal jeg stadig have cookie-samtykke?

Ja. Google Analytics sætter cookies og indsamler data, der kan identificere enkeltpersoner. Datatilsynet og EU-domme har fastslået, at dette kræver samtykke. Det gælder også GA4, selv om det indsamler mindre data end Universal Analytics.

Datatilsynet og cookies: Hvad sker der hvis du får en henvendelse?

Du har modtaget et brev fra Datatilsynet — eller du er nervøs for at få et. Her er hvad der faktisk sker, hvad de kigger efter, og hvordan du håndterer det.

Hvorfor kontakter Datatilsynet dig?

Datatilsynet kan kontakte dig af flere grunde:

Stikprøvekontrol — Datatilsynet gennemfører løbende kontroller af tilfældigt udvalgte danske websites
Borgerklage — en besøgende har klaget over, at dit website ikke overholder cookie-reglerne
Tematisk tilsyn — Datatilsynet fokuserer på et bestemt område (f.eks. e-handel eller sundhed) og gennemgår websites i den branche

I alle tilfælde er tonen typisk saglig og informerende — ikke truende. Datatilsynets mål er compliance, ikke bøder.

Hvad kigger Datatilsynet efter?

Datatilsynet tjekker typisk følgende, når de vurderer dit websites cookie-compliance:

Cookies sættes før samtykke

De besøger dit site og tjekker om cookies (ud over nødvendige) sættes, før de klikker på noget i banneren.

Afvis-knap mangler eller er skjult

De tjekker om det er lige så let at afvise cookies som at acceptere dem. En "Afvis alle"-knap skal være lige så synlig som "Accepter alle".

Forudafkrydsede bokse

Cookie-kategorier (analytics, marketing) må ikke være afkrydset som standard.

Manglende information

Banneren skal oplyse, hvad cookies bruges til, inden samtykke gives.

Ingen mulighed for tilbagekaldelse

Besøgende skal kunne ændre eller trække deres samtykke tilbage.

Manglende samtykkeregistrering

Du skal kunne dokumentere, at samtykke er indhentet — hvornår, fra hvem, og hvad der blev samtykket til.

Hvad sker der, når du får en henvendelse?

Processen ser typisk sådan ud:

1
Henvendelse
Du modtager et brev eller en email fra Datatilsynet. De beskriver, hvad de har observeret på dit website, og beder dig om at redegøre for din cookie-praksis.
2
Frist til svar
Du får typisk 2-4 uger til at svare. Svaret skal beskrive din nuværende praksis og eventuelle tiltag, du har iværksat for at rette op.
3
Vurdering
Datatilsynet vurderer dit svar. Hvis du har rettet op, afsluttes sagen typisk med en vejledning. Hvis ikke, følger de op.
4
Afgørelse
Hvis du ikke retter op, kan Datatilsynet udstede en påtale (en formel kritik), et påbud (du skal ændre praksis), eller i grove tilfælde en bøde.

Hvad du bør gøre med det samme

Uanset om du har fået en henvendelse eller bare vil sikre dig, at du er klar til en — her er hvad du bør gøre:

Scan dit website — find ud af, hvilke cookies dit site faktisk sætter. Du kan blive overrasket over cookies fra plugins eller tredjeparts-scripts, du har glemt.
Implementer en compliant cookie-banner — med accept, afvis og tilpas-muligheder. Sørg for, at scripts blokeres, indtil samtykke er givet.
Aktivér samtykkeregistrering — log alle samtykker med tidspunkt, valg og banner-version, så du kan dokumentere compliance.
Opdater din privatlivspolitik — beskriv alle cookies, deres formål og kategori.
Test det selv — åbn dit site i inkognito, afvis cookies, og tjek om scripts rent faktisk blokeres.

Med CookieBar kan du gøre punkt 1-3 på 5 minutter. Automatisk scanning, compliant banner og samtykkeregistrering er inkluderet i alle planer — også den gratis.

Bødestørrelser i praksis

GDPR tillader bøder på op til 20 millioner EUR, men i praksis er bøderne for cookie-overtrædelser i Danmark langt lavere:

De fleste sager for SMB'er ender med en påtale (formel kritik uden bøde)
Bøder i Norden for cookie-overtrædelser har typisk ligget på 50.000-200.000 DKK for mindre virksomheder
Store virksomheder har set bøder i millionklassen (f.eks. i andre EU-lande)
Den reelle risiko for de fleste SMB'er er påtaler og omdømmetab, ikke store bøder

Men selv en påtale er offentlig information og kan skade tilliden hos kunder og partnere. Forebyggelse er billigere end oprydning.

Sådan undgår du en henvendelse

Den bedste måde at håndtere Datatilsynet på er at sikre, at de ikke har noget at påtale:

Brug et cookie consent management-værktøj, der håndterer samtykke, blokering og registrering korrekt
Scan dit website regelmæssigt for nye cookies (nye plugins kan tilføje cookies uden du ved det)
Hold din privatlivspolitik opdateret
Test din cookie-banner med jævne mellemrum — åbn dit site i inkognito og verificer, at alt fungerer
Følg Datatilsynets vejledninger og opdateringer