Cookies og tracking: hvilke krav gælder i Danmark?

Cookies er ikke det eneste, du skal holde styr på

Cookiebekendtgørelsen og databeskyttelsesreglerne er teknologineutrale. Reglerne gælder derfor ikke kun cookies, men også lignende teknologier og metoder: pixels, fingerprinting og unikke koder, der tildeles brugernes enheder, fx et reklame-ID. Det afgørende er ikke teknikken, men om du lagrer oplysninger på brugernes udstyr eller får adgang til oplysninger, der allerede er lagret der.

Cookiebekendtgørelsen skal beskytte den del af brugernes privatsfære, der udgøres af deres enheder. Reglerne gælder derfor også, når der skaffes adgang til oplysninger på brugernes biler, IoT-devices og lignende udstyr.

Bekendtgørelsen er nr. 1148 af 9. december 2011, og Digitaliseringsstyrelsen fører tilsyn med den. Styrelsens cookievejledning, senest opdateret 16. maj 2025, er udarbejdet i samarbejde med Datatilsynet og erstatter den tidligere cookievejledning fra 2019.

Når du anvender cookies eller lignende teknologier, skal du som minimum overholde cookiebekendtgørelsen. Ofte skal du også overholde databeskyttelsesreglerne, fordi teknologierne bruges til at indsamle oplysninger, som i sig selv eller i kombination med andre oplysninger kan udgøre personoplysninger. Det gælder, selv om du hverken kender navn eller identitet på den person, oplysningerne handler om.

Første skridt er at undersøge, hvilke teknologier der faktisk sættes på din hjemmeside eller app.

Hvornår skal du have samtykke?

Hovedreglen er, at du skal indhente samtykke, medmindre der udelukkende er tale om teknisk nødvendige teknologier. Du skal derfor indhente samtykke, hvis du fx bruger cookies og lignende teknologier til besøgsstatistik eller personaliserede annoncer.

Erhvervsstyrelsen meddelte 19. oktober 2021, at styrelsen fremover ikke vil prioritere tilsynet med, om hjemmesider indhenter samtykke til cookies til simpel statistik. Det gælder, når tre betingelser er opfyldt: oplysningerne indsamles til hjemmesideejerens eget brug, der bygges ikke brugerprofiler af de besøgende, og oplysningerne videregives ikke til tredjepart.

Cookiebekendtgørelsen blev ikke ændret dengang, og kravet om forudgående samtykke til cookies og lignende teknologier — bortset fra teknisk nødvendige — gælder derfor principielt stadig. Tilsynet med cookiebekendtgørelsen føres i dag af Digitaliseringsstyrelsen.

Ifølge Dansk Erhverv har op mod halvdelen af alle besøgende i danske netbutikker afvist alle cookies, siden Datatilsynet i foråret 2020 strammede kravene til indhentelse af samtykke til cookies og personoplysninger.

Statistiske fakta om cookie-anvendelse i Danmark

Sådan ser et gyldigt samtykke ud

Et samtykke er kun gyldigt, hvis det er frivilligt, specifikt, informeret og udtryk for en utvetydig viljestilkendegivelse. Brugeren skal desuden kunne trække samtykket tilbage lige så let, som det blev givet. Uden et gyldigt samtykke er behandlingen ulovlig.

For en dansk hjemmeside eller app betyder det i praksis, at brugeren skal give samtykke ved en aktiv handling — ikke ved at fjerne et felt, der er afkrydset på forhånd. Samtykket skal desuden være specifikt; cookievejledningen har et selvstændigt afsnit om, hvad det indebærer.

Kravet om nem tilbagetrækning betyder, at brugeren skal kunne trække sit samtykke tilbage lige så let, som det blev givet. Trækkes samtykket tilbage, og har du ikke et andet retligt grundlag, må behandlingen ikke fortsætte.

Du skal fortælle, hvad cookies bruges til

Datatilsynet afviser udtrykkeligt, at det er nok at informere om brugen af cookies uden at informere om, hvordan de bruges. Der gælder en selvstændig oplysningspligt, og cookievejledningen har et eget afsnit om den.

Informationen til brugeren skal derfor dække mere end en sætning om, at der anvendes cookies. Tag udgangspunkt i vejledningens afsnit om oplysningspligt, og tilpas oplysningerne til de cookies og lignende teknologier, du faktisk bruger.

En praktisk måde at opfylde kravet er at lægge den løbende information i en cookiepolitik, der kan læses sammen med eller indeholdes i privatlivspolitikken, og at holde den opdateret, når du tilføjer eller fjerner værktøjer på siden eller i appen.

Indsaml kun de oplysninger, du har brug for

Det er ulovligt at indsamle flere personoplysninger, end du reelt har behov for. Indsamler du fx oplysninger gennem et analyseværktøj, som du ikke bruger til noget, er det i strid med reglerne.

Vælg derfor et analyseværktøj og øvrige værktøjer, der passer til din organisations behov, og som kun giver dig de oplysninger, du reelt skal bruge. I praksis betyder det, at du gennemgår værktøjernes standardopsætning og slår de datatyper og funktioner fra, du ikke anvender, begrænser opbevaringstiden til det nødvendige og undgår værktøjer, der deler data videre, hvis du ikke har brug for det.

Hvem har ansvaret for cookiebanneret?

Du har ansvaret for, at din samtykkeløsning er tilstrækkelig — også når en leverandør står for at levere eller drifte den. Datatilsynet peger på, at det normalt er den enkelte dataansvarliges opgave at sørge for at leve op til reglerne, og at man som udgangspunkt hverken bliver godkendt eller får tilladelse af Datatilsynet.

Du skal derfor både have styr på samtykket til at sætte cookieen eller teknologien og på grundlaget og kravene for den videre behandling af oplysningerne.

Tjekliste til din danske hjemmeside eller app

Undersøg, hvilke cookies og lignende teknologier der faktisk sættes på din hjemmeside eller app, herunder pixels, fingerprinting og unikke koder.

Vurder for hver teknologi, om den er teknisk nødvendig, eller om der skal indhentes samtykke.

Sikr, at samtykket er frivilligt, specifikt, informeret og udtryk for en utvetydig viljestilkendegivelse, og at brugeren kan trække det tilbage lige så let, som det blev givet.

Indsaml kun de oplysninger, du reelt har behov for, og slå unødvendige datatyper og funktioner fra i dine værktøjer.

Sørg for, at oplysningspligten er opfyldt, og at brugerne kan finde informationen i en opdateret cookiepolitik eller privatlivspolitik.

Afklar med leverandører, hvem der gør hvad, så ansvaret for samtykkeløsningen er placeret.

Gennemgå løsningen regelmæssigt, når du tilføjer eller fjerner værktøjer.