Cookies på nettsiden: Dette må norske bedrifter vite om samtykke

Hva er informasjonskapsler?

Informasjonskapsler er små tekstfiler som lagres i nettleseren når noen besøker en nettside. De kan brukes til mye forskjellig:

• Nødvendige kapsler som får handlekurven eller innloggingen til å fungere
• Funksjonelle kapsler som husker valg, for eksempel språk
• Statistikkapsler som måler hvordan nettsiden brukes
• Markedsføringskapsler som sporer besøkende for annonsering

Reglene gjelder ikke bare cookies, men også lignende teknologier som lagrer eller henter informasjon fra brukerens enhet, for eksempel lokal lagring i nettleseren og sporingspiksler.

Hva sier loven?

Bruk av informasjonskapsler er regulert i ekomloven § 3-15. Den nye loven, som trådte i kraft 1. januar 2025, sier at samtykke til slik lagring må være gyldig etter personvernforordningen (GDPR).

Før dette var det i praksis godtatt at nettleserens standardinnstillinger ble regnet som samtykke. Det er ikke lenger tilstrekkelig. Ifølge Datatilsynet og Nasjonal kommunikasjonsmyndighet (Nkom) må et gyldig samtykke være:

• frivillig
• spesifikt
• informert
• utvetydig
• gitt gjennom en aktiv handling
• dokumenterbart
• like lett å trekke tilbake som å gi

Unntak for det som er strengt nødvendig

Loven har unntak for teknisk lagring som utelukkende skjer for å overføre kommunikasjon, og for lagring som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om. En handlekurv i en nettbutikk er et typisk eksempel. Statistikk og markedsføring regnes som hovedregel ikke som strengt nødvendig.

Hvem fører tilsyn?

Datatilsynet og Nkom har felles tilsynsansvar. Nkom vurderer om en teknisk løsning er omfattet av loven og om unntakene gjelder. Datatilsynet vurderer om informasjonen er god nok og om samtykket oppfyller kravene i GDPR.

Hva betyr dette i praksis?

For de fleste småbedrifter handler det om noen konkrete punkter:

1. Ingen sporing før samtykke

Statistikk- og markedsføringskapsler skal ikke settes før den besøkende har sagt ja. Det er ikke nok å vise et banner mens sporingen allerede er i gang.

2. Like enkelt å si nei som ja

Et banner med en stor «Godta alle»-knapp og et skjult «Innstillinger»-valg kan være problematisk. Avslå bør være like lett tilgjengelig som å godta.

3. Forhåndskryssede bokser er ikke samtykke

Samtykke krever en aktiv handling. Valgfrie kategorier skal derfor ikke være forhåndsvalgt.

4. Tydelig informasjon

Besøkende skal få vite hvilke opplysninger som behandles, til hvilket formål og hvem som behandler dem. Det gjøres som regel i en egen erklæring om informasjonskapsler, koblet til samtykkebanneret.

5. Mulighet til å trekke tilbake

Det skal være enkelt å endre eller trekke tilbake samtykket senere, for eksempel via en lenke eller knapp nederst på nettsiden.

Slik sjekker du din egen nettside

1. Åpne nettsiden i et privat nettleservindu, slik at tidligere valg ikke er lagret.
2. Se om det dukker opp et samtykkebanner, og om det er like lett å avslå som å godta.
3. Trykk «Avslå» og bruk utviklerverktøyene i nettleseren (F12, fanen for lagring eller applikasjon) for å se hvilke cookies som er satt.
4. Sjekk innebygd innhold som videoer, kart og sosiale medier. Disse kan sette cookies fra tredjeparter.
5. Les gjennom erklæringen om informasjonskapsler og personvern. Stemmer den med det nettsiden faktisk gjør?

Finner du statistikk- eller markedsføringskapsler etter at du har trykket avslå, bør løsningen gjennomgås.

Verktøy for samtykke i WordPress

For WordPress finnes det flere utvidelser for samtykkehåndtering. De kan blokkere skript til samtykke er gitt, vise banner og føre logg. Uansett verktøy må det settes opp riktig: Utvidelsen må faktisk stoppe skriptene, og kategoriene må stemme med de tjenestene nettsiden bruker. Datatilsynet og Nkom har mer veiledning på sine nettsider.