Vad samtycket gäller
En cookie är en liten textfil som webbplatsen sparar i besökarens webbläsare. Cookie-samtycke betyder att besökaren har godkänt att sajten sparar eller läser sådana uppgifter på enheten. Knappen i bannern är alltså inte dekoration. Den avgör vilka taggar som över huvud taget får köras.
I Sverige står grundregeln i 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation. Uppgifter får lagras i eller hämtas från användarens terminalutrustning bara om användaren får information om ändamålet och samtycker. Två undantag finns i samma paragraf: lagring som behövs för att överföra ett elektroniskt meddelande, och lagring som är nödvändig för en tjänst som användaren uttryckligen har begärt.
Lägg märke till att paragrafen talar om uppgifter, inte personuppgifter. Samtyckeskravet i lagen hänger alltså inte på om cookien innehåller något som går att koppla till en person.
Tre typer av cookies
De flesta cookiebanners delar in cookies i ungefär de här grupperna. Namnen varierar mellan verktygen, men logiken är densamma.
Nödvändiga cookies
Det här är cookies som måste finnas för att sajten ska fungera: inloggning, varukorg, att en vald inställning ligger kvar mellan sidvisningar. PTS skriver att nödvändiga kakor inte behöver samtycke. De kan alltså sättas innan besökaren har klickat i bannern.
Fällan jag ser oftast är att allt för mycket hamnar i den här gruppen. En analys- eller annonscookie blir inte nödvändig för att sajtägaren tycker att den är viktig.
Statistikcookies
Statistikcookies mäter hur besökare använder sajten: vilka sidor de besöker, hur länge de stannar, vad de klickar på. Det är underlaget för i stort sett all förbättring av en sajt. Men statistik är inte en tjänst som besökaren uttryckligen har bett om, så den faller utanför undantaget i lagen. Statistikcookies kräver samtycke.
Marknadsföringscookies
Marknadsföringscookies används för annonsering: retargeting, målgrupper och konverteringsmätning i till exempel Google Ads och Meta. Ofta sätts de av tredje part och följer besökaren mellan sajter. De kräver samtycke.
Vad ett giltigt samtycke kräver
PTS sammanfattar kraven så här: samtycket ska vara frivilligt, specifikt, informerat och ges aktivt, och användaren ska kunna återkalla det. IMY:s genomgång av samtycke enligt GDPR konkretiserar vad det betyder i praktiken:
- Förkryssade rutor räknas inte som samtycke.
- Tystnad, passivitet eller att bara använda tjänsten räknas inte heller. Att scrolla vidare är inte ett ja.
- Återkallelse ska vara lika enkelt som att ge samtycket.
- Separata ändamål kräver normalt separata samtycken, därför har bra banners en ruta per kategori.
För banners betyder det i klartext: en "Neka"-knapp som är lika lätt att hitta som "Godkänn", inga förvalda kategorier, och en länk i sidfoten där besökaren kan ändra sig. Vill du läsa den europeiska tolkningen i detalj finns EDPB:s riktlinjer 05/2020 om samtycke.
Vem som har tillsyn
Två myndigheter är inblandade. PTS har tillsyn över cookieregeln i lagen om elektronisk kommunikation och genomförde under 2022 och 2023 tillsyn av hur webbplatser följer den. IMY granskar vad som sedan händer med personuppgifterna som samlas in, enligt GDPR. Ett exempel är IMY:s tillsynsbeslut mot Warner Music Sweden från oktober 2024, som gällde samtycke och information kring spårning på en webbplats.
Vad en CMP gör
En Consent Management Platform (CMP) är verktyget bakom bannern. Den visar valen, sparar vad varje besökare svarat, loggar samtycken så att du kan visa vad som gällde vid ett visst tillfälle, och talar om för dina taggar vad de får göra.
Det sista är den del som påverkar din marknadsföring mest. Om CMP:n och Tag Manager inte är korrekt kopplade händer ett av två fel: antingen körs taggar innan besökaren sagt ja, eller så slutar all mätning trots att besökaren godkänt.
Google Consent Mode och certifierade CMP:er
Annonserar du i Google måste samtyckesvalet även skickas vidare till Googles taggar. Det sköts av Consent Mode, som styr hur Google Ads- och GA4-taggarna beter sig före och efter samtycke och modellerar konverteringar från besökare som tackat nej. Hur du sätter upp det steg för steg går jag igenom i guiden till Google Consent Mode v2.
Google har ett partnerprogram för certifierade CMP:er. Väljer du en CMP därifrån finns kopplingen till Consent Mode färdig, vilket sparar tid och minskar risken för fel i implementationen. Du kan bygga samtyckeshanteringen själv, men då äger du också ansvaret för att allt signaleras rätt.
Vanliga frågor
Behöver jag en cookiebanner?
Om sajten använder cookies eller liknande teknik utöver det som är nödvändigt, till exempel analys eller annonstaggar, behöver du besökarens samtycke enligt 9 kap. 28 § lagen om elektronisk kommunikation. Bannern är det vanliga sättet att fråga.
Räcker det att informera i integritetspolicyn?
Nej, inte för cookies som kräver samtycke. Information är ett av villkoren, men samtycket ska ges aktivt. Att besökaren fortsätter surfa räknas inte.
Vad händer med mätningen när besökare säger nej?
Du tappar data från dem. Med Consent Mode kan Google modellera en del av konverteringarna, men individdata från besökare som tackat nej finns inte. Räkna med ett glapp i GA4 och Google Ads jämfört med ordersystemet.
Sammanfattning
Cookie-samtycke är både juridik och mätning. Lagen kräver samtycke för allt utom det nödvändiga, samtycket ska vara ett aktivt och lika enkelt val åt båda hållen, och din CMP måste tala om för taggarna vad de får göra. Blir något av det fel blir antingen besökarens integritet eller din data lidande. Behöver du hjälp att få bannern, Tag Manager och Consent Mode att hänga ihop är det något jag gör inom GDPR och cookies.
