Med ét klik kan du samtykke til mere end tusind trackingcookies

Af Gustav Allingham de Cordier, DPO Danmark

Og de stammer fra et omfattende reklameteknologisk fællesskab, som dit cookiebanner sandsynligvis er en del af.

Når du browser på internettet, har du set det før: Det gode gamle cookiebanner, som agerer obligatorisk interaktiv grænseflade, før du kan fortsætte din færden. Herpå bliver vi bedt om at forholde os til de adskillige cookies, som førsteparten eller tredjeparter placerer på vores PC. Man skulle tro, at cookiebannerets eneste opgave er dette. I dag er der dog kommet helt andre boller på suppen, og de smager af koordineret overvågning…

Lad mig male billedet for dig: Du har fem minutter til overs og vil lige tjekke dagens historier på Berlingske. Du åbner siden, men inden du når frem til den første overskrift, spærrer en boks for skærmen. Den handler om cookies og er fyldt med tekst, faner og afkrydsningsfelter. Du læser den ikke. Det gør de færreste. Du trykker på den store, grønne knap: “Accepter alle”. Det er blevet en refleks. Vi møder bannerne hver dag, og de fleste af os har vænnet os til tanken om, at nogle annoncører lærer lidt om vores interesser. Til gengæld får vi mere relevante reklamer. En rimelig byttehandel, tænker du. Men klikket kan have langt større konsekvenser, end de fleste er klar over. Med ét tryk på dette cookiebanner kan oplysninger om dig i skrivende stund blive delt med mere end 1000 “partnere”. De fleste af dem, som ingen anden funktion på siden har. De er der udelukkende, fordi de står på listen i cookiebanneret, og fordi de alle sammen, cookiebanneret inkluderet, er del af et fællesskab, du nok ikke kender.

Cookies er ikke en ny teknologi. De blev opfundet helt tilbage i 90’erne for at skabe hukommelse om slutbrugernes brug af den pågældende hjemmeside, f.eks. for at gemme information om, hvad der lægges i kurven.¹ Selve cookiebanneret er oprindeligt et forsøg på at imødekomme regler om cookies², som kræver samtykke ved brug af ikke strengt nødvendige cookies såsom “trackingcookies”.

På et konceptuelt niveau behøver trackingcookies ingen introduktion. De lever i bedste velgående, og vi har alle i et eller andet omfang gjort os bekendt med konceptet: at blive tracket på internettet gennem de såkaldte cookies. Hvorfra de hidrører, kræver herimod en forklaring. Det er nemlig ikke helt simpelt. I den gængse brug af cookies finder man førsteparts- og tredjepartscookies. Typisk placeres førstepartscookies af hjemmesideejeren til brug for hjemmesidefunktioner og interne analyser/statistikker. Og tredjepartscookies opstår normalt ved førstepartens implementering af tredjepartssoftware, som betinges med brugen af tredjepartens cookies. F.eks. placeres der tredjepartscookies, når en hjemmesideejer implementerer sociale moduler fra Facebook eller kortet fra Google Maps. Listen over cookies kan imidlertid blive lang. Derfor har det været den fornemmeste rolle for udbydere af cookiebannere (“Consent Management Platforms/CMP’er”) at samle alle disse cookies ét sted for at facilitere et gennemsigtigt samtykke, som er påkrævet af reglerne under GDPR og ePrivacy-direktivet.³ Af den grund skulle man tro, at CMP’ers eneste rolle er at beskytte slutbrugerne mod tracking ved at fremvise en overskuelig grænseflade og kun præsentere de cookies, som stammer fra første- eller tredjeparter, som hjemmesiden anvender.

Det forholder sig derimod stik modsat. For i tiden mellem opfindelsen af cookieteknologien og i dag har et kæmpe reklameteknologisk fællesskab ved navn “Interactive Advertising Bureau Europe” eller “IAB Europe” udarbejdet en standard, Transparency & Consent Framework (“TCF”)⁴, som reelt har til formål, at så mange trackingcookies anvendes som muligt. I fællesskabet deltager mere end 1600 aktører⁵ (IAB-partnere), som potentielt kan placere cookies gennem CMP’ers standardimplementering af et TCF-compliant cookiebanner. Ingen af hvilke som stammer fra den oprindelige anvendelse af cookies. Som udgangspunkt kræves det nemlig af CMP’er, at de ikke diskriminerer mellem IAB-partnerne i TCF, hvilket normalt medfører inkludering af trackingcookies fra alle partnere, som er del af fællesskabet.⁶ Og det er ikke blot en håndfuld ukendte CMP’er, som er en del af fællesskabet. Det er også de kendte, såsom Cookie Information og Cookiebot, og mange flere.⁷

De såkaldte IAB-partnere er virksomheder, som har specialiseret sig i reklameteknologi (på engelsk oftest benævnt “adtech”-virksomheder). Velkendte virksomheder som Google og TikTok tager del i dette fællesskab, men herudover er der over tusind aktører, som du sandsynligvis aldrig har hørt om.

Det vil sige, at såfremt hjemmesideejeren installerer standardopsætningen af et TCF-compliant CMP, kan der tilbydes en helt ekstra omgang trackingcookies, som kun placeres, fordi … ja, fordi det er ønskeligt for hjemmesideejeren, TCF og dets medlemmer. Og ved at trykke “Accepter alle” kan slutbrugerne få ikke blot alle de almindelige og forventelige cookies. De kan få hele møllen af reklameteknologivirksomheders arsenal af trackingcookies.

Konkret står de involverede aktører nemlig til at øge deres indtjening, fordi TCF skaber et fælles system, der fremmer brugen af trackingcookies, muliggør udveksling af data og samtykkesignaler mellem virksomheder og gør det lettere at indsamle, kombinere og anvende data til målrettet og mere præcis personlig annoncering.

IAB Europe og dets TCF-fællesskab har generelt opereret uden at vække meget opmærksomhed. Dette har imidlertid ændret sig, eftersom det belgiske datatilsyn i en afgørelse fra 2022 vurderede frameworket i forhold til næsten alle aspekter af databeskyttelsesforordningen. I sagen fandtes IAB Europe bl.a. at være fællesdataansvarlig med IAB-partnerne, ligesom det fandtes, at brug af samtykke til trackingcookies til personaliseret annoncering ikke under de daværende forhold kunne ske lovligt.⁸ Efter at sagen havde været forelagt EU-Domstolen (C-604/22), afgjorde Markedsdomstolen i Bruxelles (“Market Court”) i maj 2025 imidlertid sagen således, at IAB Europe ikke er fællesdataansvarlig med IAB-partnerne for alle dele af behandlingerne, men forholdet om samtykket forblev uforandret.⁹

Det skal selvfølgelig nævnes, at placering af adskillige trackingcookies ved ét klik ikke direkte er ulovligt. Dette skyldes, at slutbrugerne stadig kan afvise samtykke til de op imod 1600 ekstra cookies. Dog kan man ikke undgå at se ironien i, at cookiebannerets oprindelige opgave var at facilitere gennemsigtighed om brug af cookies, og at TCF tillige udgiver sig for at koordinere transparente samtykker. Det kan nemlig ikke være længere væk fra sandheden…

Som interesseorganisationen “None Of Your Business” (“NOYB”) rammende har formuleret det: “Contrary to what the omnipresence of consent banners might suggest, they are not required by EU law. In fact, in the European Union, online tracking is prohibited by default. Instead, consent banners are the tracking industry’s tool for malicious compliance, designed to trick you into waving your rights. In other words: this system is broken by design.”¹⁰ Grundlæggeren af NOYB, Max Schrems, beskriver også cookiebannere som et produkt af trackingindustrien snarere end et krav i EU-reguleringen: “Cookie banners are not an invention of data protection, but of the tracking industry. Without consent, there is no snooping online.”¹¹

Der findes dog en løsning, og den ligger allerede på bordet. Som led i Digital Omnibus-pakken foreslog EU-Kommissionen i november 2025 en ny artikel 88b i GDPR. Den skulle bl.a. forpligte browsere til at have automatiske privatlivssignaler, som gør det muligt én gang i din browser at vælge, om du vil acceptere, afvise eller begrænse tracking, og hjemmesider og apps skulle respektere valget. Idéen er hverken ny eller kompliceret. Din browser fortæller allerede hjemmesider, hvilket sprog du foretrækker.

For TCF-fællesskabet er dette imidlertid en trussel. Et signal, der afviser tracking, før banneret overhovedet vises, gør det ligegyldigt, om listen tæller 10 eller 1600 partnere. Det er derfor ikke overraskende, at trackingindustrien kæmper imod. Ifølge NOYB blokerer flere medlemsstater nu forslaget efter lobbyarbejde med Google i spidsen, og Rådet fjernede i juni 2026 artikel 88b fra sin forhandlingsposition.¹² Derfor opfordrer en koalition af 19 civilsamfundsorganisationer, virksomheder og forskere, herunder NOYB og den europæiske forbrugerorganisation BEUC, EU’s lovgivere til at holde fast i bestemmelsen.¹³

Har I brug for hjælp til jeres cookiebanner og samtykkeløsning? Kontakt os for GDPR-rådgivning, eller se vores GDPR Compliancepakke. Læs også artiklen Cookies og GDPR: Sådan sikrer du en lovlig brug af cookies, der gennemgår, hvornår cookies kræver samtykke, og hvad der skal til, før samtykket er gyldigt.

Noter

1. “History of Cookies”, Cookie Privacy, set 19. august 2026, http://cookie-privacy.weebly.com/history-of-cookies.html.
2. Europa-Parlamentets og Rådets direktiv 2002/58/EF (e-databeskyttelsesdirektivet), art. 5, stk. 3, som ændret ved direktiv 2009/136/EF; gennemført i dansk ret ved cookiebekendtgørelsen (bek. nr. 1148 af 9. december 2011).
3. Samtykke kræves kun ved brug af cookies, som ikke er strengt nødvendige.
4. “IAB Europe Transparency & Consent Framework – Policies Version 2026-05-29.5.0.b”, IAB Europe, set 23. februar 2026, https://iabeurope.eu/iab-europe-transparency-consent-framework-policies/.
5. Find listen her: https://iabeurope.eu/vendor-list-tcf/, set 20. august 2026.
6. TCF Policies, s. 11, Chapter II, Policies for CMPs, Working with vendors, section 3.
7. https://iabeurope.eu/cmp-list/, set 20. august 2026.
8. Autorité de protection des données / Gegevensbeschermingsautoriteit, Litigation Chamber, Case number: DOS-2019-01377, Decision on the merits 21/2022 of 2 February 2022, s. 91, pkt. 402 og 440.
9. “Brussels Market Court, sag nr. 2022/AR/292, dated May 14, 2025”, set 20. august 2026, https://www.dataprotectionauthority.be/citizen/the-market-court-rules-in-the-iab-europe-case.
10. “Open Letter: Civil Society Coalition Urges EU to Kill the Cookie Banner!”, set 15. september 2026, https://noyb.eu/en/open-letter-civil-society-coalition-urges-eu-kill-cookie-banner.
11. “EU Member States (and Google) Suddenly Want to Keep Cookie Banners!”, set 15. september 2026, https://noyb.eu/en/eu-member-states-and-google-suddenly-want-keep-cookie-banners.
12. “Open Letter: Civil Society Coalition Urges EU to Kill the Cookie Banner!”, set 15. september 2026, https://noyb.eu/en/open-letter-civil-society-coalition-urges-eu-kill-cookie-banner.
13. Joint call to replace cookie banners with automated signals (Article 88b proposal for a Digital Omnibus COM(2025) 837 final), 10. september 2026, https://checkmyads.org/wp-content/uploads/2026/09/Joint-letter-Kill-the-Cookie-Banner-Campaign-10092026.pdf.