Cookiesamtykke og cookiebanner efter GDPR i Danmark

Hvilke regler gælder i Danmark?

Kort svar. To regelsæt mødes. Cookiebekendtgørelsen gælder lagring og adgang på brugerens udstyr. GDPR gælder, når der behandles personoplysninger. Mange cookies gør begge dele.

Cookiebekendtgørelsen

Kort svar. Bekendtgørelse nr. 1148 af 9. december 2011 kræver fyldestgørende information og samtykke, før der lagres oplysninger eller opnås adgang til oplysninger, der allerede ligger i slutbrugerens terminaludstyr.

Reglerne er teknologineutrale. De gælder cookies, pixels, fingeraftryk og andre lignende metoder. Udstyr er i praksis også browseren på computer, telefon og tablet. Du må ikke lade en tredjepart sætte den slags oplysninger uden samtykke, heller ikke når du selv ikke får adgang til dataene.

GDPR, når der er personoplysninger

Kort svar. En cookie, der kan knyttes til en person, behandler personoplysninger. Så skal der også være et grundlag i databeskyttelsesforordningens artikel 6. For statistik og markedsføring er samtykke det grundlag, vejledningen lægger op til at bruge.

Et gyldigt samtykke efter GDPR er en frivillig, specifik, informeret og utvetydig viljestilkendegivelse. Det skal kunne dokumenteres: hvad det dækker, hvornår det er givet, og hvilken løsning der blev brugt. Det skal kunne trækkes tilbage lige så let, som det er givet. Den fælles vejledning fra Datatilsynet og Digitaliseringsstyrelsen anbefaler ét samlet samtykke, der dækker både cookiebekendtgørelsen og databeskyttelsesreglerne.

Hvem fører tilsyn?

Kort svar. Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen. Datatilsynet fører tilsyn med behandling af personoplysninger. Den gældende cookievejledning er udarbejdet i samarbejde mellem de to og erstatter vejledning nr. 10189 af 10. december 2019. Digitaliseringsstyrelsen angiver seneste opdatering 16. maj 2025.

Praksis skal derfor læses i den fælles vejledning, ikke som et enkelt citat fra den ene myndighed. Manglende overholdelse af cookiebekendtgørelsen kan efter bekendtgørelsen straffes med bøde. Denne side opstiller ikke bødeniveauer.

Hvad er et gyldigt samtykke?

Kort svar. Samtykket skal være frivilligt, specifikt, informeret og utvetydigt. Det skal gives, før cookies sættes, og det skal kunne trækkes tilbage lige så let.

Frivilligt

Brugeren skal have et reelt valg, herunder en mulighed for at afslå. Adgang til tjenesten må som udgangspunkt ikke være betinget af samtykke. Et betalingsalternativ kan i visse tilfælde bruges, men kun når alternativet er rimeligt, prisen er rimelig, og behandlingen er begrænset til det, der er nødvendigt for at levere tjenesten. Vejledningen opstiller de kriterier. Den fastsætter ikke et bestemt beløb.

Pres, gentagne prompts under samme besøg og sprog, der skubber brugeren mod et ja, kan gøre samtykket ugyldigt. Knapper, der går i ét med baggrunden, eller en acceptknap, der er langt tydeligere end afvisning, kan efter omstændighederne være i strid med cookiebekendtgørelsen. Brugeren skal kunne give særskilt samtykke til forskellige formål og må ikke tvinges til at sige ja til dem alle på én gang.

Specifikt og informeret

Formålene skal være præcise. Overordnede kategorier som funktion, statistik og markedsføring skal kunne vælges hver for sig. Brugeren skal let kunne se, hvilke parter der sætter cookies inden for formålet, hvad formålet er, og hvornår cookien udløber. Den detalje kan ligge i en cookieerklæring, som altid er tilgængelig på sitet. Samtykket må ikke være gemt i almindelige vilkår.

Der er ingen fast udløbsdato for et samtykke. Det afhænger af sammenhængen og af, hvad brugeren kunne forvente. Ændrer du formål eller begynder du at videregive oplysninger til nye tredjeparter, dækker det gamle samtykke ikke længere. Så skal der indhentes et nyt.

Aktivt valg

Brugeren skal selv foretage en handling. Forudafkrydsede felter er ikke et aktivt samtykke. En tekst om, at videre brug af siden er et ja, er heller ikke et aktivt samtykke. Samtykket skal være på plads, før cookien placeres.

Tilbagetrækning

Det skal til enhver tid være lige så let at trække samtykket tilbage, som det var at give det, og uden gebyr. I praksis kan det være et tydeligt link eller et fast ikon, der kan nås fra siderne på sitet, med en kort forklaring af, hvordan valget ændres.

Hvad der bør kunne dokumenteres om valget, tidspunktet, versionen af teksten og en senere tilbagetrækning, står i guiden til samtykkelog. Den side er dokumentation. Kravene til selve samtykket bliver her.