Cookiebanner – vad kräver lagen i Sverige?

Det korta svaret

Vi bygger varje företagshemsida så att bannern antingen följer reglerna eller är onödig, och det andra alternativet är oftare möjligt än folk tror.

Vilka kakor som kräver samtycke

Lagen skiljer inte på förstaparts- och tredjepartskakor, eller på kakor och andra identifierare som lagras på enheten. Testet är syftet: är lagringen nödvändig för att leverera en tjänst besökaren uttryckligen bett om? En sessionskaka som håller ihop varukorgen klarar testet. En kaka som mäter besök, minns ett annonsklick eller anpassar innehåll gör det inte, hur ofarlig den än känns.

Kaka eller lagring	Samtycke?	Varför
Inloggning, varukorg, språkval	Nej	Nödvändig för tjänsten besökaren bett om
Bannerns eget minne av valet	Nej	Nödvändig för att respektera själva valet
Google Analytics, Matomo med kakor, Hotjar	Ja	Mätning är ditt syfte, inte besökarens begäran
Meta-pixel, Google Ads, LinkedIn Insight	Ja	Marknadsföring och spårning över sajter
Inbäddad YouTube, kartor, chattwidgets	Oftast ja	Tredje part sätter egna identifierare när inbäddningen laddas

Så ser ett giltigt samtycke ut

GDPR definierar samtycke som frivilligt, specifikt, informerat och otvetydigt, uttryckt genom en aktiv handling. Översatt till en banner betyder det att fyra saker måste stämma. Inget icke-nödvändigt laddas förrän besökaren klickar godkänn. Bannern säger på begriplig svenska vad kakorna används till och vem som får datan. Besökaren kan välja per ändamål, inte bara allt eller inget. Och besökaren kan ta tillbaka samtycket lika enkelt som det gavs, normalt via en länk i sidfoten som öppnar inställningarna igen.

Ladda samtyckesverktyget först och lägg varje tagg bakom det. Google Tag Manager med Consent Mode gör det om det är rätt inställt; en banner ovanpå redan laddade skript gör det inte.
Namnge ändamålen: nödvändiga, statistik, marknadsföring. Göm inte fyrtio leverantörer i en utfällbar lista och kalla det informerat.
Skriv knapptexterna som val, inte som instruktioner. Godkänn alla och Avböj alla, inte OK och Inställningar.
Spara samtycket med tidsstämpel och den version av policyn besökaren såg.

Avböj ska vara lika enkelt som godkänn

Här fallerar de flesta bannrar, och det är punkten IMY och andra tillsynsmyndigheter i EU har skrivit beslut om. Om godkänn är en grön knapp och avböj en grå länk som öppnar en andra vy med reglage är samtycket inte frivilligt, eftersom designen knuffar besökaren mot ett svar. Detsamma gäller ett kryss som tyst betyder godkänn, en banner som blockerar sidan tills du godkänner, och bannrar som dyker upp igen vid varje besök tills du ger upp.

Det säkra mönstret är tråkigt: två knappar med samma storlek och färg, Godkänn alla och Avböj alla, plus en tredje länk för inställningar. Den som avböjer får samma hemsida, bara utan spårningen. Om affärsmodellen bygger på att knuffa folk till att godkänna är det modellen, inte bannern, som är problemet.

Dokumentera samtycket

Enligt GDPR ska du kunna visa att samtycke har lämnats. I praktiken betyder det att samtyckesverktyget loggar varje val med en pseudonym identifierare, tidsstämpel, godkända ändamål och policyversion, och sparar loggen så länge du stödjer dig på samtycket. De flesta samtyckesplattformar gör det åt dig; en hemsnickrad banner med en enda kaka gör det sällan. Komplettera loggen med en cookiepolicy som listar varje kaka, dess syfte, livslängd och vem som sätter den, och uppdatera listan varje gång en utvecklare lägger till ett skript. Lanseringen är det naturliga tillfället att granska den, vilket är därför den ligger i vår checklista inför lansering.

Webbanalys utan kakor som alternativ

Det renaste sättet att följa reglerna är att inte ha något att samtycka till. Kakfria analysverktyg räknar besök, sidor och trafikkällor utan att lagra en identifierare på enheten, och en företagssajt som använder ett sådant, hostar sina egna typsnitt och bäddar in video bakom en klicka-för-att-ladda-ruta behöver ingen banner. Många små svenska företag skulle inte förlora något på att byta: de öppnar aldrig de målgruppsrapporter som kakorna möjliggör. Vi jämför alternativen i vår guide om webbanalys utan kakor.

När du inte ska ta bort bannern: om du kör betalda kampanjer och behöver konverteringsmätning, om du använder retargeting, eller om du säljer online och förlitar dig på funktioner i Klarna eller Shopify som sätter identifierare. Bygg då bannern ordentligt i stället. Oavsett vilket avgör en kvarts genomgång av dina nuvarande taggar vilket läger du tillhör; boka ett samtal om du vill att vi tittar, eller se våra fasta priser för en ny sajt eller en åtgärd på prissidan.

Vanliga frågor

Är en cookiebanner obligatorisk i Sverige?

Nej. Det som är obligatoriskt är samtycke innan någon icke-nödvändig kaka sätts. Om sajten bara använder strikt nödvändiga kakor, eller kakfri webbanalys, behöver du en sida med cookiepolicy men ingen banner. Bannern är verktyget för samtycke, inte ett lagkrav i sig.

Kan jag räkna fortsatt surfande eller scrollning som samtycke?

Nej. Både PTS vägledning och Europeiska dataskyddsstyrelsen är tydliga med att samtycke kräver ett aktivt val. Scrollning, att stänga bannern eller fortsätta surfa räknas inte, och skript som laddas på den grunden laddas utan rättslig grund.

Vem övervakar reglerna, och vad händer om vi gör fel?

PTS övervakar kakreglerna i lagen om elektronisk kommunikation och IMY övervakar GDPR-sidan, inklusive spårningen som följer när en kaka väl är satt. Båda kan förelägga om ändringar och IMY kan besluta om sanktionsavgifter. För ett litet företag är den vanligare följden ett klagomål från en besökare eller en konkurrent som tvingar fram en stressad åtgärd.

Gör Google Consent Mode att Google Analytics följer reglerna?

Consent Mode gör att Googles taggar respekterar besökarens val, vilket är nödvändigt men inte tillräckligt. Du behöver fortfarande en banner som uppfyller reglerna ovan, och du bör läsa vår separata guide om huruvida Google Analytics alls är godtagbart i Sverige efter IMY:s beslut.