GDPR cookie-regler i Danmark

De to love du skal kende

Datatilsynets rolle

Datatilsynet er den danske myndighed, der håndhæver både GDPR og cookiebekendtgørelsen. De har i de seneste år intensiveret deres fokus på cookie-compliance:

• Gennemfører stikprøvekontroller af danske websites
• Behandler klager fra borgere om manglende eller mangelfuld cookie-samtykke
• Udsteder vejledninger og anbefalinger til virksomheder
• Kan udstede påtaler, forbud og bøder ved overtrædelser

I praksis giver Datatilsynet typisk en frist til at rette op, før de skrider til sanktioner. Men at ignorere en påtale eller gentage overtrædelser kan føre til bøder.

Hvad er et gyldigt samtykke?

GDPR stiller specifikke krav til, hvornår et samtykke er gyldigt. Samtykke skal være:

• Frivilligt — brugeren må ikke tvinges til at acceptere cookies for at bruge websitet (cookie walls er problematiske)
• Specifikt — samtykke skal gives per formål/kategori, ikke som ét samlet ja til alt
• Informeret — brugeren skal vide, hvad de samtykker til, før de gør det
• Utvetydigt — samtykke kræver en aktiv handling (klik, swipe). Stiltiende samtykke (bare at browse videre) er ikke gyldigt
• Tilbagekaldeligt — brugeren skal kunne trække samtykke tilbage lige så let, som de gav det

Almindelige fejl danske virksomheder laver

• Forudafkrydsede bokse — cookie-kategorier er slået til som standard. Brugeren skal aktivt vælge til.
• Skjult afvis-knap — "Accepter alle" er en stor knap, men "Afvis" er et lille link gemt i teksten. Begge skal være lige synlige.
• Scripts indlæses før samtykke — Google Analytics eller Facebook Pixel kører, før brugeren har givet samtykke. Scripts skal blokeres, indtil samtykke er givet.
• Ingen samtykkeregistrering — virksomheden kan ikke dokumentere, at samtykke er indhentet, hvis Datatilsynet spørger.
• Cookie-banner uden valgmuligheder — en banner der kun siger "Vi bruger cookies" med en OK-knap er ikke tilstrækkelig.
• Ingen mulighed for tilbagekaldelse — besøgende kan ikke ændre eller trække deres samtykke tilbage efter den indledende beslutning.

Compliance-tjekliste for danske virksomheder

Brug denne tjekliste til at verificere, at dit website overholder cookie-reglerne:

• Dit website viser en cookie-banner, der blokerer ikke-nødvendige cookies, indtil samtykke er givet
• "Afvis alle" er lige så synlig og let tilgængelig som "Accepter alle"
• Besøgende kan vælge per cookie-kategori (granulært samtykke)
• Ingen forudafkrydsede bokse — samtykke kræver en aktiv handling
• Du informerer om, hvad cookies bruges til, inden samtykke gives
• Besøgende kan trække samtykke tilbage når som helst (f.eks. via et ikon eller link i footeren)
• Alle samtykker logges med tidspunkt, valg og banner-version
• Samtykkeregistreringer opbevares i minimum 2 år
• Din privatlivspolitik beskriver alle cookies og deres formål
• Scripts som Google Analytics og Facebook Pixel blokeres, indtil samtykke er givet
• Google Consent Mode v2 er implementeret, hvis du bruger Google-tjenester
• Du scanner regelmæssigt dit website for nye cookies

Google Consent Mode v2

Siden marts 2024 kræver Google, at websites i EU implementerer Consent Mode v2 for at kunne bruge avancerede målefunktioner og remarketing i Google Analytics og Google Ads.

Consent Mode sender signaler til Google om, hvad brugeren har samtykket til. Når en bruger afviser cookies, skifter Google til cookieless measurement med modellerede data — så du stadig får aggregerede indsigter uden at krænke brugerens valg.

CookieBar understøtter Google Consent Mode v2 ud af boksen. Når du installerer CookieBar-scriptet, håndteres Consent Mode-signalerne automatisk.