Jesper Bengtson
Datatilsynet og Digitaliseringsstyrelsen har skærpet reglerne, og det skal være lige så nemt at afvise som at acceptere.
Danske hjemmesider må ikke sætte tracking-cookies, før du aktivt har sagt ja, og du har ret til at afvise alle cookies, der ikke er teknisk nødvendige for at siden fungerer. Det slår Datatilsynet og Digitaliseringsstyrelsen fast i en fælles vejledning fra maj 2025, der erstatter den tidligere vejledning fra december 2019.
Vejledningen præciserer, at et gyldigt samtykke er “en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra brugeren”, som Digitaliseringsstyrelsen formulerer det i cookievejledningen. Det betyder blandt andet, at du ikke kan give samtykke ved at scrolle eller ved at fortsætte brugen af siden.
Teknisk nødvendige cookies kan sættes uden samtykke
Nogle cookies må hjemmesiden sætte uden at spørge dig, fordi tjenesten ellers ikke kan levere det, du selv har bedt om. Det gælder blandt andet log-in, autentifikation, en elektronisk indkøbskurv, brugerdefinerede indstillinger og teknologier til loadbalancing.
Kravet er, at cookien reelt er nødvendig for funktionen, og at oplysningerne ikke bruges til andre formål. En cookie må altså ikke både holde dig logget ind og samtidig følge din adfærd til statistik eller markedsføring, uden at du har givet særskilt samtykke.
Alt, hvad der ligger ud over det tekniske minimum, kan du afvise. Det omfatter statistikcookies, personaliseringscookies og markedsføringscookies, herunder tredjeparts-pixels og fingerprinting, som Digitaliseringsstyrelsen beskriver som sporingsteknologier på linje med almindelige cookies.
Lige så nemt at afvise som at acceptere
Et af de centrale krav er ligestilling af valgene. “Det skal altid være tilsvarende let at afstå fra at give samtykke til behandling af sine oplysninger, som det er at give det”, fastslår Digitaliseringsstyrelsen i cookievejledningen.
Hjemmesider må derfor ikke skjule afvis-knappen bag flere klik, mens accept-knappen står synligt på første skærm. De må heller ikke bruge forhåndsmarkerede felter, hvor cookies er sat til “til” på forhånd, for et samtykke skal være en aktiv handling.
Vejledningen advarer også mod såkaldt nudging, hvor designet presser brugeren i én retning. “Enhver form for disproportionalt pres på eller påvirkning af brugernes frie vilje kan medføre, at samtykket er ugyldigt”, skriver myndighederne, og de peger konkret på, at farvevalget på knapperne kan udgøre nudging, hvis accept fremstår markant mere fristende end afvis.
Cookie walls: Adgang må ikke være betinget af samtykke
En hjemmeside må som udgangspunkt ikke lukke dig ude, hvis du afviser cookies. Datatilsynet stiller fire krav til lovlige cookie walls, hvor adgangen gøres betinget af samtykke: der skal være et rimeligt alternativ som for eksempel betalt adgang, prisen skal være rimelig, dataindsamlingen skal begrænses til nødvendige formål, og databehandlingen skal være reduceret, hvis brugeren betaler sig fra samtykket.
Er de betingelser ikke opfyldt, er samtykket ikke frivilligt, og cookie wall’en er ulovlig.
Sådan klager du
Ansvaret er delt mellem to myndigheder. Digitaliseringsstyrelsen fører tilsyn med selve cookiebekendtgørelsen, altså om hjemmesiden overhovedet må sætte de cookies, den sætter, mens Datatilsynet fører tilsyn med den efterfølgende behandling af personoplysninger efter databeskyttelsesreglerne.
Som borger kan du klage via en selvbetjeningsløsning på borger.dk om overtrædelse af cookiereglerne. Du skal beskrive og begrunde klagen så konkret som muligt og gerne vedlægge skærmbilleder af cookiebanneret eller af de cookies, der er sat på din enhed.
Typiske klagegrunde er, at der placeres sporingsteknologier, før du har givet samtykke, at cookiebanneret mangler eller er utilstrækkeligt, eller at det ikke er muligt at trække sit samtykke tilbage. Som privat klager bliver du ikke part i en eventuel tilsynssag og modtager ikke løbende opdateringer fra Digitaliseringsstyrelsen.
Handler klagen om, hvordan en virksomhed eller myndighed behandler de personoplysninger, der er indsamlet via cookies, hører sagen under Datatilsynet.
