Cookies og GDPR: Sådan sikrer du en lovlig brug af cookies

Af Gustav Allingham de Cordier, DPO Danmark

Det kan være en hårfin grænse, der adskiller compliant og ikke-compliant brug af cookies og andre teknologier på din hjemmeside, særligt når det kommer til samtykke. I denne artikel gennemgås, hvad cookies er for en teknologi, og hvordan den er reguleret. Det indebærer en undersøgelse af reglerne om brug af cookies, vanskelighederne i at sikre et GDPR-samtykke, navnlig i forhold til kravene om, at et samtykke skal være frivilligt, informeret, specifikt og udtryk for en utvetydig viljestilkendegivelse, og et kort indblik i oplysningspligten og dataansvaret.

Nærværende artikel undersøger kun brugen af cookies i lyset af cookiebekendtgørelsen og GDPR. Disse regelsæt er teknologineutrale, hvorfor lignende teknologier også underlægges samme regulering.¹

Hvad er cookies?

Cookies, også kendt som HTTP-cookies (Hypertext Transfer Protocol), er små tekstfiler, som hjemmesideejere og tredjeparter placerer på brugernes computere. Man skelner typisk mellem førstepartscookies, som placeres af selve hjemmesidens ejer, og tredjepartscookies, som f.eks. placeres af eksterne parter gennem hjemmesidens integration af tredjepartssoftware, som f.eks. Google Maps eller en Facebook “like-knap”.

Teknologien blev oprindeligt udviklet for at afhjælpe udfordringen ved, at hjemmesider ikke havde hukommelse. Med cookies blev det muligt at huske brugernes login-oplysninger, indhold i indkøbskurven og meget mere. Disse cookies benævnes ofte tekniske eller nødvendige cookies. Før opfindelsen af cookies var brugerne nødt til at indtaste deres oplysninger på ny, hver gang hjemmesiden blev opdateret eller skiftede indhold.

I dag anvendes cookies dog også i høj grad til kommercielle formål i form af markedsførings-, statistiske og analytiske cookies (trackingcookies). Cookies kan placeres af både tredjepartssoftware og hjemmesiden selv, som led i en databehandlerkonstruktion eller i fællesskab, som ved brugen af Google Analytics, Facebook Business Tools mv., hvor både hjemmesideejeren og udbyderen (f.eks. Google eller Meta) behandler personoplysninger.

ePrivacy-direktivet og cookiebekendtgørelsen – regulering af cookies

Reguleringen af cookies og lignende teknologier blev introduceret i 2002 gennem ePrivacy-direktivet², som omhandler beskyttelse af data inden for elektronisk kommunikation. Ifølge direktivet må cookies og lignende teknologier kun bruges til at gemme og tilgå data uden samtykke, hvis det udelukkende sker med henblik på at overføre en kommunikation, eller hvis det er strengt nødvendigt for at levere en tjeneste, som brugeren udtrykkeligt har anmodet om, jf. art. 5(3).³ Dette indebærer, at samtykke ikke kræves, når cookies f.eks. anvendes til login, brugervalidering, hukommelse i online indkøbskurve og indstillinger, autentificeringsteknologier mv.

Brug af cookies til markedsførings- og analytiske formål forudsætter brugernes samtykke, da disse ikke er nødvendige for kommunikationstjenestens funktion eller levering af den specifikke tjeneste.

Direktivet er implementeret i dansk ret gennem bekendtgørelsen om krav til information og samtykke ved lagring af eller adgang til oplysninger i slutbrugeres terminaludstyr, også kaldet cookiebekendtgørelsen (CBEK).⁴ Ifølge bekendtgørelsen må første- og tredjeparter ikke lagre eller tilgå oplysninger – dvs. placere og tilgå ikke-nødvendige cookies – i slutbrugernes enheder uden brugersamtykke, jf. § 3, stk. 1, jf. § 4, stk. 1, nr. 1 og 2.

I CBEK defineres et samtykke som en frivillig, specifik og informeret viljestilkendegivelse, jf. § 2, stk. 1, nr. 8. Begrebet “informeret” uddybes yderligere i CBEK § 3, stk. 2, nr. 1-5, hvor der oplistes en række minimumskrav. Kravene til samtykke og kravene til information er sammenlignelige med nogle af kravene i GDPR, art. 4, nr. 11, og art. 7, 12, 13 og 14.⁵

Efter ePrivacy-direktivets 17. betragtning skal samtykket svare til det efter 95/46/EF (som i dag er afløst af GDPR), hvilket betyder, at samtykket skal følge GDPR’s definition på samtykke.

Det oprindelige ePrivacy-direktiv fra 2002 gav blot brugere ret til at afvise unødvendige cookies, men efter den reviderede udgave fra 2009 kræves der nu et aktivt samtykke. Elementet “aktivt” samtykke blev også undersøgt i Planet49-sagen, hvor Domstolen konkluderede, at samtykke skal gives aktivt.⁶

Overlap med GDPR

ePrivacy-direktivet og CBEK regulerer adgangen til at lagre oplysninger eller opnå adgang til lagrede oplysninger på slutbrugeres terminaludstyr, mens GDPR udelukkende omhandler behandling af personoplysninger. Da cookies ofte bruges til at behandle personoplysninger, er der imidlertid et overlap, hvor begge regelsæt skal følges. Personoplysninger, som indsamles ved brug af cookies, er ofte IP-adresser, MAC-adresser, adfærdsmønstre og lokaliseringsdata.

Hvor CBEK kræver samtykke til at placere og tilgå unødvendige cookies, kræver GDPR blot et behandlingsgrundlag for den efterfølgende behandling af personoplysninger. I praksis kombineres dette i ét cookiebanner som en samlet løsning for en lovlig cookieplacering og behandlingen af personoplysninger.

Samtykke efter GDPR – ikke nødvendigvis et krav

Det er dog værd at bemærke, at der ikke efter GDPR, modsat CBEK, gælder et krav om, at behandling af personoplysninger gennem cookies skal ske på baggrund af et samtykke. Det kan f.eks. forekomme, at der ikke kræves samtykke efter CBEK’s regler, men at der alligevel behandles personoplysninger, hvilket kræver en behandlingshjemmel efter GDPR, som ikke nødvendigvis er samtykke.⁷

Selvom der ikke gælder et absolut krav om samtykke efter GDPR til behandling af personoplysninger indsamlet via cookies, vil samtykke dog altid være den sikreste hjemmel. Hertil er der en naturlig forbindelse til cookiebekendtgørelsens krav om samtykke, som kan gøre det uigennemsigtigt for de registrerede, hvis de skal samtykke til brugen af ikke-nødvendige cookies efter cookiereglerne, men ikke til den efterfølgende behandling af personoplysningerne efter GDPR, hvis man bruger anden hjemmel end samtykke.

Såfremt samtykke ikke anvendes som grundlag for behandlingen af personoplysninger, bør der foreligge en dokumenteret proportionalitetsvurdering, som det kræves for at benytte de øvrige behandlingshjemler, jf. bestemmelsernes brug af ordet “nødvendig”.

Krav til et GDPR-samtykke

Efter GDPR skal et samtykke være frivilligt, informeret, specifikt og udtrykke en utvetydig viljestilkendegivelse, jf. definitionen i art. 4, nr. 11.

Et “frivilligt” samtykke

Kravet om et frivilligt samtykke indebærer, at brugeren frivilligt skal kunne samtykke til brugen af cookies og behandlingen af sine personoplysninger, og at nægtelsen af et samtykke ikke negativt påvirker brugeren. Således skal brugeren præsenteres for et reelt valg og ikke tvinges eller nudges til at give samtykke. Kravet om et frivilligt samtykke indebærer også, at det skal være lige så nemt at afslå, som det er at give det, og det skal være muligt at acceptere enkelte dele af en behandling og ikke kun én samlet behandling, som indeholder flere formål. Nedenfor gennemgås tre udbredte metoder, som ofte har vanskeligt ved at facilitere et frivilligt samtykke.

Brugen af cookiewalls

Såfremt du betinger adgangen til dine services (ofte hjemmesider) af en såkaldt “cookiewall”, kan du risikere, at brugerne ikke gives muligheden for at give et frivilligt samtykke; dvs. et reelt valg. For at anvende cookiewalls lovligt skal du ifølge Datatilsynets praksis opfylde følgende betingelser⁸:

• Enten tilbyde et gratis alternativ uden cookies eller tilbyde et alternativ mod betaling.
• Alternativet skal være rimeligt og tilsvarende tjenesten med cookies.
• Hvis alternativet kræver betaling, må prisen ikke være urimelig høj.
• Kun indsamle personoplysninger til de formål, der er nødvendige for at modsvare betaling fra brugeren.
• Ikke behandle yderligere personoplysninger, end hvad der er nødvendigt, for at tjenesten kan leveres i de tilfælde, hvor brugeren betaler for adgang til tjenesten.

Ifølge en udtalelse (Opinion) fra European Data Protection Board (EDPB) om ‘Consent or Pay’ har denne praksis også været genstand for kritik.⁹ Udtalelsen omhandler navnlig ‘Consent or Pay’-modeller implementeret af store online platforme, men indholdet må i nogen grad anses for også at være relevant for andre hjemmesider, som anvender ‘Consent or Pay’-løsninger.

I udtalelsen identificeres følgende vurderingsmomenter som væsentlige for at finde ud af, om et samtykke anses for at være afgivet frivilligt:

• Der må ikke være ulemper ved at nægte samtykke: “Samtykke eller betal”-cookiebannere må f.eks. ikke presse brugere til at betale ved at udelade vigtige funktioner på en hjemmeside.
• Man skal tage den mulige magtubalance i betragtning: F.eks. på grund af markedsdominans (Facebook, Instagram osv.) skal man være forsigtig med at opsætte “Samtykke eller betal”, eftersom brugerne nemt kan føle sig tvunget til at samtykke.
• Samtykke må ikke være en betingelse for adgang: Ligesom efter Datatilsynets praksis må man ikke betinge adgang af samtykke uden at tilbyde alternativer.
• Gebyrer må ikke hæmme valgfrihed: Som Datatilsynet tillige understreger, må betalingsalternativer ikke påvirke det frie valg, f.eks. ved at kræve en meget høj pris.
• Granularitet: Brugere skal kunne vælge samtykke til specifikke formål og ikke kun give ét samlet samtykke til flere formål.

Brugen af nudging

Det kan være fristende at anvende psykologiske tricks, når det kommer til designet af sine samtykkeløsninger. F.eks. ses det tit, at hjemmesider har samtykkeløsninger, som har en stor knap, som siger “ACCEPTER ALLE”, og en lille knap i venstre hjørne, som siger “vis indstillinger”. Det ses også, at hjemmesider anvender iøjnefaldende farver for “accept-knappen”, hvorimod “afvis-knappen” har en farve, der går i ét med baggrunden. Anvendelse af disse såkaldte “nudgingteknikker” anses af Datatilsynet for ikke at facilitere et frivilligt samtykke.¹⁰

En videnskabelig artikel fra 2020 viste, at fjernelsen af “afvis alle”-knappen fra cookiebannerets første lag gjorde testpersonerne 22-23 % mere tilbøjelige til at acceptere cookies.¹¹

For at afhjælpe dette foreslår forfatteren af denne artikel, at cookiebanneret opsættes med et neutralt design og med en “AFVIS ALLE”-knap, som skal være lige så synlig som “ACCEPTER ALLE”, for at undgå at brugeren påvirkes til at samtykke. En sådan løsning understøtter både gennemsigtighed og brugernes ret til nemt at afvise, hvilket følger af frivillighedskravet, jf. GDPR, art. 4, nr. 11, og præambelbetragtning 42.

Et neutralt og informativt cookiebanner bidrager desuden til at opfylde kravene i GDPR, art. 25, om “privacy by design” og “privacy by default”, som forpligter dataansvarlige til gennem tjenesternes design og standardindstillinger at beskytte registreredes privatliv.

Datatilsynet har taget stilling til brugen af nudging i cookiebannere i en afgørelse fra 2021, hvor Datatilsynet lagde til grund, at brug af farver ved valg af responsknapper, som fører til nudging, er i strid med art. 5, stk. 1, litra a, dersom dette omgår brugernes mulighed for at træffe informerede valg.¹² Afgørelsen omhandlede ikke kravet om frivillighed, men hvorvidt det påvirkede muligheden for at træffe informerede valg. Ikke desto mindre viser afgørelsen, at nudging ikke faciliterer et GDPR-samtykke. Det må forventes, at fremtidige afgørelser fra Datatilsynet om brugen af nudging tillige vil indeholde en vurdering af kravet om frivillighed.

Granulering af samtykke

Ud over brugen af cookiewalls og nudgingteknikker ses det også tit, at dataansvarlige “bundler” formål i samtykkeløsningen. Dette betyder med andre ord, at de registrerede kun kan samtykke til én behandling, som indeholder samtlige behandlinger, der har adskillige formål. Ifølge Datatilsynet anses denne praksis for ikke at facilitere et frivilligt samtykke, eftersom det skal være muligt at samtykke særskilt til de enkelte formål.¹³ Dette følger naturligvis af, at man som dataansvarlig ikke kan påvise, at samtykket er givet frivilligt¹⁴, hvis de registrerede ikke selv kan vælge, til hvilke formål deres personoplysninger anvendes.

Et “specifikt” og “informeret” samtykke

“Specifikt”

Kravet om specifikt samtykke betyder, at den registrerede skal kunne give samtykke til ét eller flere klart definerede formål. Det indebærer, at formålene med databehandlingen skal beskrives så præcist, at den registrerede ikke er i tvivl om, hvad der gives samtykke til. Ifølge EDPB indebærer dette¹⁵:

1. Præcis formålsangivelse, som beskytter mod funktionsskred – dvs. at efterfølgende behandlinger ikke må være uforenelige med det oprindelige formål.
2. Granulær samtykkeanmodning, hvor den registrerede kan vælge samtykke til enkelte formål.
3. Tydelig adskillelse af information, så det klart fremgår, hvilke oplysninger der vedrører samtykke til specifikke databehandlingsaktiviteter.

“Informeret”

Dette krav hænger tæt sammen med gennemsigtighedsprincippet i GDPR, art. 5, stk. 1, litra a, og betyder, at den registrerede skal modtage tilstrækkelig information om databehandlingen til at kunne træffe en informeret beslutning. Tager man udgangspunkt i EDPB’s og Datatilsynets retningslinjer og vejledning herom, er der fastlagt følgende minimumskrav for informeret samtykke, hvoraf Datatilsynet vurderer, at nogle af disse skal fremgå på cookiebannerets første lag^{16, 17}:

Information som skal fremgå på første lag:

1. Identiteten på den dataansvarlige (og eventuelle samarbejdspartneres identitet).
2. Formålet med hver enkelt databehandlingsaktivitet.
3. Hvilke typer personoplysninger der behandles.
4. Hvorvidt der indsamles eller videregives oplysninger af/til tredjeparter.
5. Retten til at trække samtykket tilbage.

Information som skal fremgå på andet lag:

1. Oplys navn, formål og udløbsdato for de anvendte teknologier, samt hvem der står bag dem.
2. Vejledning i, hvordan brugeren tilbagekalder sit samtykke og evt. sletter allerede placerede cookies (se også samtykkebetingelser nedenfor).

Herudover vurderer EDPB, at følgende information tillige skal præsenteres for den registrerede:

1. Oplysninger om automatiske afgørelser, jf. GDPR, art. 22, stk. 2, litra c.
2. Eventuelle risici ved overførsler til tredjelande, især hvis der ikke foreligger en afgørelse om tilstrækkelig beskyttelse eller fornødne garantier.

Formålet med kravet er at sikre, at brugernes kontrol over deres data er reel, og at samtykket sker på baggrund af en informeret beslutning. Det betyder, at brugerne skal være tilstrækkeligt oplyste til at kunne træffe en kvalificeret beslutning. Kravet om et informeret samtykke hænger også sammen med oplysningspligten i GDPR, art. 13 og 14.

Datatilsynet understreger også, at samtykkeløsningen skal have en opbygning og et sprog, som overholder følgende:¹⁸

Opbygning:

• Samtykkeløsningen skal være let at finde og bruge på alle enheder (mobil, tablet, computer).
• Den må ikke forstyrre unødigt, men kan gerne kort afbryde brugeroplevelsen, hvis det er nødvendigt for at indhente et reelt samtykke.
• Brugeren må ikke møde samtykkeløsningen for ofte, f.eks. hver gang vedkommende besøger siden.
• Hvis løsningen er svær at finde eller forstå, kan samtykket blive ugyldigt.
• Brugere, der ignorerer samtykkeanmodningen, anses ikke for at have givet samtykke.

Sprog:

• Samtykketeksten skal være klar, enkel og forståelig.
• Undgå kompliceret, teknisk eller juridisk sprog.
• Brug konkret og utvetydigt sprog.
• Samtykket bør være på samme sprog som tjenesten, f.eks. dansk for en dansksproget hjemmeside eller app.

Udfordringerne ved brugen af cookies ift. kravet om “specifikt” og “informeret” samtykke

Ovenstående viser, at der stilles meget strenge krav til samtykke, hvilket medfører, at registrerede skal klædes tilstrækkeligt på for at kunne give et informeret og specifikt samtykke.

De strenge krav til samtykke kan dog udfordre den nuværende brug af cookies. Disse udfordringer blev undersøgt i samme artikel, som refereret til ovenfor. Artiklen undersøgte cookiebannerne på de 10.000 mest besøgte hjemmesider i Storbritannien. I undersøgelsen fandtes det, at brugere typisk skulle tage stilling til omkring 315 modtagere af deres persondata pr. hjemmeside. Dette medfører en betydelig læsebyrde for hjemmesidebesøgende, som skal gennemgå omfattende information for at kunne træffe et informeret valg. Artiklen påviste, at den gennemsnitlige tid, det tog at læse om cookies og deres formål, var cirka 32 minutter.¹⁹

Ud over ovenstående udførte forskerne en række tests, hvor testpersoner skulle præsenteres for en række forskellige cookiebannere i deres dagligdag. Formålet var at undersøge 1) hvordan cookiebannerets udformning (barriere eller banner) påvirker samtykket, 2) effekten af placeringen af “accepter alle”- og “afvis alle”-knapperne og 3) effekten af graden af granularitet ift. detaljeringsniveau på første side (bundling, formål og leverandører).

Resultaterne af disse tests viste, at brugerne sjældent valgte at udforske cookiebannerets detaljer på cookiebannerets undersider, og når de blev præsenteret for omfattende lister over tredjepartscookies på første side, blev disse ofte ignoreret.²⁰ Selv blandt dem, der interagerede med informationen på første side, var gennemgangen ofte begrænset.²¹ Dette kan indikere, at information, som ikke er umiddelbart tilgængelig, i praksis ikke bidrager til et informeret samtykke, og selvom informationen er umiddelbart tilgængelig på første lag, kan det virke uoverskueligt taget i betragtning, at en gennemsnitlig læsetid kan udgøre 32 minutter.

For at imødekomme disse udfordringer anbefaler forfatteren af denne artikel, at man begrænser sin brug af cookies til det rimelige, så registrerede realistisk set kan give et informeret og specifikt samtykke.

Et samtykke som udtrykker en “utvetydig viljestilkendegivelse”

Planet49-sagen har medført, at samtykke til cookies ikke kan gives passivt. Dommen fra EU-Domstolen fastslog, at brugere aktivt skal vælge at give samtykke, f.eks. ved at klikke eller markere et felt.²² Det er derfor ikke nok, at der blot informeres om cookies, eller at samtykke antages, hvis brugeren fortsætter på siden. Samtykket skal være en bevidst og aktiv handling fra brugerens side.

På baggrund heraf skal samtykke gives ved at afkrydse et felt eller lignende, som ikke på forhånd er markeret eller udfyldt. For også at imødekomme udfordringerne ved at give et frivilligt samtykke skal accept-knappen desuden have samme neutrale farve som afvis-knappen.

Samtykkebetingelser i artikel 7

Ud over de fire elementer, som indgår i et GDPR-samtykke, er der yderligere tre betingelser for et lovligt samtykke i artikel 7. Disse er følgende:

1. Du skal kunne påvise (og dokumentere), at den registrerede har samtykket til behandlingen.
2. Du skal have sikret, at samtykket var adskilt fra andre forhold, som ikke vedrører samtykket, og det skal i en letforståelig og lettilgængelig form og i et klart og enkelt sprog gøres klart for de registrerede, at samtykket ikke hænger sammen med disse andre forhold, og at disse ikke påvirker hinanden.
3. Du skal gøre det nemt for den registrerede at trække sit samtykke tilbage. Faktisk skal det være lige så nemt at trække et samtykke tilbage, som det var at give det. Information herom skal gives til den registrerede, inden der gives samtykke.

Oplysningspligten

Ud over at sikre et lovligt samtykke skal dataansvarlige oplyse tilstrækkeligt om behandlingens indhold i overensstemmelse med GDPR, art. 13 og 14. Det vil sige, at minimumskravene listet i disse artikler tillige skal efterleves, hvilket typisk indeholdes i en cookie- og privatlivspolitik.

Dataansvaret

Når cookies placeres af dig, og behandlingen af persondata ikke foretages gennem en tredjepart, er det dig, som er selvstændig dataansvarlig. Dette skyldes, at det kun er dig, som behandler personoplysninger til opfyldelse af dine formål.²³

Det samme gælder, når cookies placeres af tredjeparter, som resulterer i en behandling af personoplysninger, i det omfang det sker ifølge dine instrukser. I dette tilfælde agerer tredjeparten som databehandler, så længe denne part ikke også har sine egne formål med behandlingen af personoplysninger.²⁴ Dette medfører, at der skal indgås en databehandleraftale med den pågældende tredjepart. Hvis tredjeparten også har egne formål med behandlingen af personoplysninger, anses forholdet som et fælles dataansvar, jf. nedenfor.

Når tredjeparter sætter cookies gennem din brug af tredjepartens software (f.eks. en “synes-godt-om-knap” fra Facebook), hvilket resulterer i en behandling af personoplysninger, som du ikke nødvendigvis udøver kontrol over eller har et formål med, anses forholdet for at medføre et fælles dataansvar.²⁵ Typisk placeres tredjepartscookies gennem moduler fra tredjeparter, når man bygger sin hjemmeside eller vil tilføje funktioner såsom en “synes-godt-om-knap” fra Facebook. I dette scenarie skal der indgås en aftale om fælles dataansvar. Eksempelvis løser Facebook (Meta) dette ved at betinge brugen af deres Business Tools med en aftale om fælles dataansvar, der fastlægger parternes respektive ansvar for overholdelsen af GDPR.²⁶

Sammenfatning: Hvad kræver brugen af cookies?

Brugen af cookies kræver, at man efterlever de krav, der følger både af cookiebekendtgørelsen og GDPR. Først skal man vurdere, om et samtykke overhovedet er nødvendigt for begge regelsæt. Hvis samtykke vurderes nødvendigt, skal det følge GDPR’s definition på samtykke. For at et samtykke anses for at være gyldigt og i overensstemmelse med GDPR, skal det være frivilligt, specifikt, informeret og aktivt givet af brugerne. Det betyder hovedsageligt, at brugerne skal have et reelt valg, hvor designet af samtykkebanneret ikke må påvirke brugernes beslutning, og det skal være lige så nemt at afslå cookies som at acceptere dem. Samtidig skal formålene med behandlingen være tydeligt og enkelt beskrevet, så brugeren får den nødvendige information til at træffe et informeret valg, samt være opdelt i forskellige formål, hvilket sikrer granularitet.

Det er afgørende, at du som dataansvarlig kan dokumentere, at samtykke er indhentet korrekt, og at samtykket er adskilt fra andre forhold. Det skal desuden være mindst lige så let for brugeren at trække sit samtykke tilbage som at give det, og information om denne mulighed skal gives på forhånd. Ud over samtykkekravene gælder også oplysningspligten, som betyder, at du skal informere brugeren om behandlingen af personoplysninger i overensstemmelse med GDPR’s artikel 13 og 14, for eksempel gennem en cookie- og privatlivspolitik.

Når du selv placerer cookies og behandler persondata uden at involvere tredjeparter, er du dataansvarlig. Hvis du derimod lader en tredjepart placere cookies efter dine instrukser, er tredjeparten databehandler, og der skal indgås en databehandleraftale. Hvis både du og tredjeparten har egne formål med behandlingen, opstår der fælles dataansvar, hvilket kræver en aftale om fælles dataansvar. Bruger du eksempelvis Facebooks “synes-godt-om-knap” eller lignende tredjepartsmoduler, skal ansvarsfordelingen være aftalt og beskrevet.

Artiklen viser navnlig, at der opstår mange praktiske udfordringer, blandt andet i forhold til brugen af cookiewalls, nudging og sammenkædning af formål, og at det ofte kan være svært for brugerne at gennemskue informationen og dermed give et reelt informeret samtykke. Det anbefales derfor, at du som hjemmesideejer begrænser brugen af cookies til det nødvendige, tilrettelægger samtykkeløsningen, så brugeren har reel kontrol over sine data, og sikrer, at alle krav til dokumentation og information overholdes.

Har I brug for hjælp til jeres cookiebanner og samtykkeløsning? Kontakt os for GDPR-rådgivning, eller se vores GDPR Compliancepakke. Læs også debatindlægget Med ét klik kan du samtykke til mere end tusind trackingcookies om, hvordan reklamebranchens samtykkesystem (TCF) kan dele dine data med over 1.000 partnere.

---

Noter

1. Ud over cookies anvendes typisk også pixels og fingerprinting, som begge er omfattet af cookiereglerne og GDPR.
2. (E-databeskyttelsesdirektivet) Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002.
3. (Ændringsdirektivet til e-databeskyttelsesdirektivet) Europa-Parlamentets og Rådets direktiv 2009/136/EF af 19. december 2009.
4. (Cookiebekendtgørelsen) BEK nr. 1148 af 09/12/2011.
5. Art. 4, nr. 11 (definition på samtykke), art. 7 (betingelser for samtykke), art. 12 (generelle krav om forståelighed mv.), art. 13 og 14 (oplysningspligten).
6. C-673/17 (Planet49-sagen), præmis 65.
7. Se GDPR, art. 6, stk. 1, litra a til f.
8. Se (2021-31-4871) Gul og Gratis’ brug af cookie walls & (2021-31-5553) Jysk Fynske Mediers brug af cookie walls.
9. EDPB, Opinion 08/2024 on Valid Consent in the Context of Consent or Pay Models Implemented by Large Online Platforms, Adopted on 17 April 2024, s. 39-41.
10. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 12-13.
11. Nouwens, Midas, et al. “Dark Patterns after the GDPR: Scraping Consent Pop-Ups and Demonstrating Their Influence.” Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems, ACM, 2020, s. 8.
12. (2021-41-0149) Alvorlig kritik af JP/Politikens samtykkeløsning på www.eb.dk.
13. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 14.
14. Dataansvarlige skal kunne påvise, at registrerede har samtykket, jf. GDPR, art. 7, stk. 1.
15. EDPB’s retningslinjer 5/2020 vedrørende samtykke i henhold til forordning 2016/679, s. 14-15.
16. EDPB’s retningslinjer 5/2020 vedrørende samtykke i henhold til forordning 2016/679, s. 16.
17. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 16 og 17.
18. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 17.
19. Nouwens, Midas, et al. “Dark Patterns after the GDPR: Scraping Consent Pop-Ups and Demonstrating Their Influence.” Proceedings of the 2020 CHI Conference on Human Factors in Computing Systems, ACM, 2020.
20. Ibid., s. 8.
21. Ibid., s. 8.
22. C-673/17 (Planet49-sagen), præmis 65.
23. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 18.
24. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 18-19.
25. Datatilsynets og Digitaliseringsstyrelsens fællesvejledning om brug af cookies og lignende teknologier, maj 2025, s. 20.
26. Meta, Controller Addendum, Effective date 25. April 2023, besøgt den 30.10.2025, https://www.facebook.com/legal/controller_addendum.