Cookies på nettsiden: dette krever loven av bedrifter
Hva den nye ekomloven krever av informasjonskapsler på bedriftsnettsider fra 2025, hva som er unntatt, og hvordan et lovlig samtykkebanner skal se ut.
Kort fortalt
- Fra 1. januar 2025 krever ekomloven § 3-15 samtykke etter personvernforordningens (GDPR) standard før du setter informasjonskapsler som ikke er strengt nødvendige.
- Samtykket må gis aktivt. Forhåndsavkryssede bokser og innstillinger i nettleseren holder ikke.
- Det skal være like lett å si nei som å si ja, og like lett å trekke samtykket tilbake.
- Velger du verktøy som ikke lagrer noe på brukerens enhet, for eksempel enkelte måleverktøy uten informasjonskapsler, kan du ofte unngå mye av dette.
Hva endret seg i 2025?
Før 2025 tillot norsk lov at samtykke til informasjonskapsler kunne gis gjennom innstillingene i nettleseren. Med den nye ekomloven, som trådte i kraft 1. januar 2025, er det slutt. Nå må samtykket oppfylle kravene i personvernforordningen (GDPR): det skal være frivillig, spesifikt, informert, utvetydig og gitt gjennom en aktiv handling. Reglene står i ekomloven § 3-15, og Nkom og Datatilsynet fører tilsyn.
Hva krever samtykke?
Regelen er teknologinøytral. Den gjelder ikke bare informasjonskapsler, men all lagring av eller tilgang til informasjon på brukerens telefon eller datamaskin. Det gjelder uansett om informasjonen er personopplysninger eller ikke.
| Typisk bruk | Krever samtykke? |
|---|---|
| Handlekurv i nettbutikk, innlogging | Som regel ikke. Strengt nødvendig for tjenesten brukeren ber om. |
| Lagring av brukerens eget samtykkevalg | Som regel ikke. |
| Google Analytics og lignende statistikk med informasjonskapsler | Ja, som hovedregel. |
| Facebook-piksel, Google Ads-sporing og annen markedsføring | Ja. |
| Innebygde videoer, kart og bookingkalendere fra tredjeparter | Ofte ja, hvis de setter informasjonskapsler. |
Slik ser et lovlig samtykkebanner ut
- Ingenting som krever samtykke, lastes før brukeren har sagt ja.
- «Avvis» er like lett å finne og trykke på som «Godta», på første nivå.
- Ingen forhåndsavkryssede bokser.
- Kort og forståelig forklaring av hva informasjonskapslene brukes til, og hvem som får informasjonen.
- Brukeren kan enkelt endre eller trekke tilbake samtykket senere, for eksempel via en lenke i bunnen av siden.
- Du kan dokumentere hvilke valg som er gjort.
Den enkleste løsningen: trenger du dem?
Mange små bedrifter har sporingsverktøy på nettsiden som ingen ser på. Spør deg selv hva du faktisk bruker:
- Statistikk: Det finnes måleverktøy som ikke bruker informasjonskapsler eller lagrer noe på enheten, som Umami, Plausible og Fathom. De gir besøkstall og kilder uten å spore enkeltpersoner. Personvernreglene kan likevel gjelde, så les vilkårene.
- Annonsesporing: Kjører du ikke annonser, trenger du ikke Facebook-pikselen eller Google Ads-taggen.
- Innebygde tjenester: Et kart kan erstattes med en lenke til Google Maps. En video kan vises først når brukeren trykker på den.
Færre tredjeparter gjør også nettsiden raskere, og det er bra både for kundene og synligheten på Google.
Vanlige spørsmål
Trenger jeg cookie-banner hvis jeg bare bruker Google Analytics?
Ja, som hovedregel. Google Analytics setter informasjonskapsler som ikke er strengt nødvendige, og krever derfor samtykke. Alternativet er et måleverktøy som ikke lagrer noe på brukerens enhet.
Gjelder reglene for små bedrifter?
Ja. Reglene gjelder alle som tilbyr nettsider, uansett størrelse.
Holder det med en tekst om at «ved å bruke siden godtar du cookies»?
Nei. Samtykket må gis gjennom en aktiv handling, og brukeren må kunne si nei like lett som ja.