Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
Smarte systemløsninger til danske virksomheder — siden 1999. Admind ERP, webshop, hosting og IT-service samlet ét sted.
EU vil gøre cookiebanneret mindre påtrængende, og halvdelen af branchen skriver om det. Men forslaget er ikke vedtaget — medlemslandene kunne ikke samle et mandat så sent som 7. oktober 2026. Det, jeres hjemmeside bliver målt på i dag, er cookiebekendtgørelsen fra 2011 og den fælles vejledning fra maj 2025. Og tilsynet føres af Digitaliseringsstyrelsen — ikke af Datatilsynet.
De fire fejl nedenfor er dem, Digitaliseringsstyrelsen finder igen og igen. Tre af dem er ren teknik i WordPress.
Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen, altså med om samtykket er gyldigt og informationen fyldestgørende. Datatilsynet fører tilsyn med databeskyttelsesreglerne, altså med hvad I bagefter gør med oplysningerne. Begge myndigheder kan ramme den samme hjemmeside på samme tid.
Det første, der går galt i de fleste samtaler om cookies, er navnet på myndigheden. Mange danske sider — og mange rådgivere — skriver stadig, at Erhvervsstyrelsen holder øje med cookiereglerne. Det gør den ikke. Opgaven ligger hos Digitaliseringsstyrelsen, og styrelsens eget cookieindhold henviser i dag videre til Digitaliseringsstyrelsen. På styrelsens tilsynsside står det kort og godt: „Det er Digitaliseringsstyrelsen, der fører tilsyn med reglerne vedrørende sporingsteknologierne“, og hjemlen til tilsynet er § 20 i teleloven.
Det er ikke en detalje for jurister. Det afgør, hvem der skriver til jer, hvad brevet hedder, og hvad I skal gøre med det. Digitaliseringsstyrelsen sender ikke en bøde som det første. Den sender et høringsbrev, hvor den beskriver de mangler, den har fundet, og giver jer lejlighed til at rette dem inden høringsfristen. Retter I manglerne og melder tilbage, lukkes sagen. Retter I dem ikke, kan der komme et påbud med en ny frist, og i sidste ende kan manglende overholdelse straffes med bøde.
| Myndighed | Ser på | Retsgrundlag | Reaktion |
|---|---|---|---|
| Digitaliseringsstyrelsen | Om samtykket er gyldigt, og om informationen til brugeren er fyldestgørende | Cookiebekendtgørelsen, BEK nr. 1148 af 09.12.2011. Tilsyn efter § 20 i teleloven | Høringsbrev → påbud → bøde |
| Datatilsynet | Om der er hjemmel til at behandle personoplysningerne, og hvad der sker med dem bagefter | Databeskyttelsesforordningen og databeskyttelsesloven | Kritik, alvorlig kritik, påbud, bøde |
| Erhvervsstyrelsen | Intet på cookieområdet i dag. Styrelsen havde opgaven tidligere | — | — |
Vejledningen, de to myndigheder måler jer på, hedder „Brug af cookies og lignende teknologier“ og er fra maj 2025. Den afløser den gamle vejledning fra december 2019, og den er, som der står på forsiden, „udarbejdet af Digitaliseringsstyrelsen og Datatilsynet“. Det er den første gang, de to myndigheder har skrevet ét samlet dokument om emnet — og det er derfor, den er værd at læse frem for de tre hundrede blogindlæg, der refererer den.
Digitaliseringsstyrelsen førte i 2025 tilsyn med 146 tjenester, heraf 131 hjemmesider. Halvdelen af sagerne blev lukket under høringen, og 11,6 procent endte med et påbud. I et tidligere tilsyn med 200 tilfældigt udvalgte danske hjemmesider satte samtlige sporingsteknologier, før brugeren kunne samtykke.
Styrelsen arbejder emnebaseret og risikobaseret: den vælger et tema, udtager tjenester inden for temaet og kigger dem igennem. Udvælgelsen afhænger af antallet af brugere, hvilke oplysninger der indsamles, hvem tjenesten henvender sig til, og hvor stor almen interesse emnet har. Det betyder, at en helt almindelig dansk virksomhedshjemmeside godt kan blive udtaget — ikke fordi nogen har klaget, men fordi den lå i det rigtige tema det rigtige år.
| År | Tjenester i tilsyn | Tema | Udfald |
|---|---|---|---|
| 2024 | 123 (100 hjemmesider, 23 apps) | Apps til børn og unge samt genbesøg af hjemmesider | 90 % lukket under høring, 10 % påbud |
| 2025 | 146 (131 hjemmesider, 15 apps) | Rejse- og transporthjemmesider samt genbesøg af danske hjemmesider | 50 % lukket under høring, 11,6 % påbud, alle bragt i orden |
| 2026 | Planlagt | De mest brugte danske apps, udvalgt blandt top 200 i Apple App Store | Kun danske apps er omfattet |
Det tilsyn, der for alvor er værd at kende, er dog det store screeningtilsyn, Digitaliseringsstyrelsen offentliggjorde 14. august 2024. Styrelsen havde analyseret omkring 11.000 .dk-hjemmesider i 2023 og udtaget 200 tilfældigt udvalgte til egentligt tilsyn. Resultatet: samtlige 200 anvendte sporingsteknologier som pixels og cookies, før brugeren havde mulighed for at give samtykke. Derudover havde 42,2 % uklassificerede sporingsteknologier, 27,6 % manglede oplysninger i selve cookiebanneret — for eksempel om data deles med tredjeparter — og 18,1 % havde slet ikke noget banner. 196 virksomheder rettede efterfølgende op; de, der ikke retter, kan politianmældes og få en bøde.
Hundrede procent er et usædvanligt tal i et tilsyn. Det betyder i praksis, at hvis I ikke har gjort noget aktivt for at blokere scripts før samtykke, så gør jeres hjemmeside det, som alle 200 gjorde. Det er ikke en vurderingssag — det kan måles på tyve minutter, og vi viser længere nede, hvordan I selv gør det.
Et gyldigt cookiesamtykke er efter den fælles vejledning „en frivillig, specifik, informeret og utvetydig viljestilkendegivelse fra brugeren“. I praksis betyder det syv ting: reelt valg, ingen samlepakke, særskilt samtykke pr. formål, fuld information, aktiv handling, lige let at afvise og trække tilbage — og dokumentation bagefter.
Kravene er ikke nye, men formuleringerne i vejledningen fra maj 2025 er skarpere end i den gamle. Tabellen nedenfor sætter hvert krav op mod det, der typisk går galt i en WordPress-opsat samtykkeløsning. Alle citater er ordrette fra vejledningen.
| Krav | Hvad vejledningen siger | Den typiske fejl |
|---|---|---|
| 1. Frivilligt | „Giver du ikke brugeren et reelt eller frit valg, vil samtykket ikke være frivilligt“ | Cookievæg uden alternativ. Banneret kan ikke lukkes uden at acceptere |
| 2. Specifikt | „Din samtykkeløsning må derfor ikke være generelt udformet“ | Én knap, der dækker statistik, markedsføring og deling med tredjeparter på én gang |
| 3. Granulært | „brugerne skal have mulighed for at give særskilt samtykke til forskellige formål“ | Kategorierne findes, men kan kun slås til samlet |
| 4. Informeret | „Samtykket skal være informeret, hvilket betyder, at brugerne skal vide, hvad de giver samtykke til“ | Ingen navne på tredjeparter. Ingen oplysning om, hvilke typer data der indsamles |
| 5. Aktiv handling | „Samtykke skal dermed gives ved en aktiv handling eller erklæring“ | Forudafkrydsede felter, kontakter slået til på forhånd, eller „ved fortsat brug accepterer du“ |
| 6. Lige let at afvise | „Det skal altid være tilsvarende let at afstå fra at give samtykke“ | „Acceptér alle“ som stor blå knap, „Afvis“ som grå tekst bag „Indstillinger“ |
| 7. Kan trækkes tilbage | „at det til enhver tid er lige så let for brugerne at trække deres samtykke tilbage“ | Intet permanent link eller ikon til at ændre valget bagefter |
Og oven i de syv: dokumentation. Vejledningen siger, at samtykket skal kunne dokumenteres „så længe du behandler oplysninger om vedkommende“, og at dokumentationen omfatter selve samtykkeproceduren og den information, brugeren fik vist — i praksis skærmbilleder af hver version af banneret. Det er den del, næsten ingen har på plads, fordi de fleste plugins gemmer et samtykke-ID uden at gemme, hvad brugeren fik at se, da han trykkede.
Datatilsynet gav 11. februar 2020 DMI alvorlig kritik for sin cookieløsning på dmi.dk (j.nr. 2018-32-0357). Afgørelsen fastslog, at samtykket var samlet for flere formål, ikke informeret om Google som fælles dataansvarlig, og at det var sværere at sige nej end ja. Den er stadig den principielle målestok i Danmark.
DMI havde en løsning, hvor et klik på „OK“ dækkede både besøgsstatistik og adfærdsbaseret annoncering på tværs af hjemmesider. Ville man sige nej, skulle man først ind under „Vis detaljer“ og derefter trykke „Opdatér samtykke“. Datatilsynet fandt, at hverken den tidligere eller den daværende løsning levede op til samtykkekravet i forordningens artikel 4, nr. 11, eller til princippet om lovlighed, rimelighed og gennemsigtighed i artikel 5, stk. 1, litra a. Videregivelsen til Google manglede desuden hjemmel efter artikel 6.
„det bør være tilsvarende let at afstå fra at give samtykke til behandling af personoplysninger, som det er at give det.“
Datatilsynet, afgørelse af 11. februar 2020, j.nr. 2018-32-0357Den sætning er værd at lære udenad, fordi den går igen i vejledningen fra 2025 næsten ordret. Og den udelukker den løsning, som sandsynligvis sidder på halvdelen af alle danske virksomhedshjemmesider: en stor farvet „Acceptér alle“-knap ved siden af et diskret „Indstillinger“-link. To klik mod ét er ikke „tilsvarende let“. Vejledningen advarer direkte mod nudging med kontrastfarver, der løfter accept-knappen frem.
Samme tre mangler gik igen, da Digitaliseringsstyrelsen 6. november 2023 gav påbud til Meta Platforms og Google LLC for deres cookieløsninger på da-dk.facebook.com og google.dk: manglende granularitet, manglende let adgang til at trække samtykket tilbage, og manglende permanent adgang til oplysninger om de anvendte teknologier i et klart og forståeligt sprog. De fik fire uger til at rette.
EU-Kommissionen fremlagde 19. november 2025 sin Digital Omnibus, der blandt andet skal flytte samtykkereglerne fra ePrivacy-direktivet ind i databeskyttelsesforordningen og give ét-kliks-afvisning. Forslaget er ikke vedtaget. Rådet fjernede browsersignalet i juni 2026, og Coreper kunne ikke samle et mandat 7. oktober 2026. Indtil der er en vedtagen tekst, gælder de nuværende regler uændret.
Grunden til, at halvdelen af branchen skriver om cookiebannere lige nu, er en pakke, EU-Kommissionen fremlagde 19. november 2025 under titlen „Simpler EU digital rules and new digital wallets to save billions for businesses and boost innovation“. Pressemeddelelsen beskriver selv ændringerne sådan, at de „will reduce the number of times cookie banners pop up“, at brugere skal kunne tilkendegive samtykke „with one-click“, og at de skal kunne gemme deres cookievalg „through central settings of preferences in browsers and operating system“.
Kommissæren med ansvar for området lagde vægt på, at det ikke er en afmontering af forordningen. Formålet med de målrettede ændringer er, som han formulerede det:
„is to maintain the effectiveness and integrity of this landmark regulation while also addressing stakeholder calls“
Michael McGrath, EU-kommissær for demokrati, retfærdighed, retsstatsprincippet og forbrugerbeskyttelse, 19. november 2025Rent teknisk ville forslaget flytte samtykke til adgang til udstyr ind i forordningen som en ny artikel 88a, når der er personoplysninger involveret, og lade adgang uden personoplysninger blive tilbage under ePrivacy-direktivets artikel 5, stk. 3. En ny artikel 88b skulle forpligte hjemmesider til at respektere maskinlæsbare samtykkesignaler fra browsere og styresystemer. Dertil kom undtagelser for aggregeret publikumsmåling og sikkerhed, ét-kliks-afvisning og en karensperiode, hvor man ikke måtte spørge igen.
Så langt forslaget. Lovgivningsforløbet har siden gjort det, lovgivningsforløb gør:
Konsekvensen for en dansk virksomhed er enkel og lidt kølig: der er intet at vente på. Så længe der ikke er en vedtagen tekst, gælder cookiebekendtgørelsen og den fælles vejledning fra maj 2025 uændret — og Digitaliseringsstyrelsen fører tilsyn efter dem, ikke efter et forslag. Selv i det scenarie, hvor reformen vedtages i 2027, vil der komme en overgangsperiode, og de krav, der falder væk, er ikke de krav, der fælder danske hjemmesider i dag. Ingen version af forslaget tillader at sætte markedsføringscookies før samtykke.
Der er én ting, det er værd at tage med fra forslaget allerede nu: retningen går mod færre og mere maskinlæsbare samtykker. Bygger I en ny hjemmeside i 2026 eller 2027, er det et argument for at vælge en samtykkeløsning, der kan udskiftes uden at man skal igennem hver enkelt side — og for at holde sporingen samlet i ét tag-lag frem for spredt ud over tyve plugins. Det er også den opbygning, der gør det nemmest at holde styr på det tekniske fundament i øvrigt.
WordPress’ login- og indstillingscookies og WooCommerces kurv- og sessionscookies er teknisk nødvendige og kræver ikke samtykke. Alt, der måler, personaliserer eller markedsfører — Google Analytics, Meta Pixel, Hotjar, indlejret YouTube, Google Fonts fra et CDN — kræver samtykke, før det må indlæses.
Undtagelsen i vejledningen er snæver og skal læses bogstaveligt. Den gælder teknologier, „som er teknisk nødvendige for at få en funktionalitet på din tjeneste til at virke“, og kun hvis teknologien „ikke anvendes til andre formål end til at sikre tjenestens funktionalitet“. Vejledningen nævner selv login, indkøbskurv, valgte sprogindstillinger, autentifikation og load balancing som eksempler. En kurv er altså fri. En besøgsstatistik er ikke.
WooCommerce dokumenterer selv, hvilke cookies butikken sætter. De tre, der bærer kurven, er de vigtigste at kende, når man skal forklare en samtykkeløsning, hvad den ikke skal blokere:
| Cookie | Hvad den gør | Varighed | Samtykke? |
|---|---|---|---|
woocommerce_cart_hash | Registrerer, om kurvens indhold er ændret | Session | Nej — teknisk nødvendig |
woocommerce_items_in_cart | Samme formål: ændringer i kurven | Session | Nej — teknisk nødvendig |
wp_woocommerce_session_ | Giver kunden en unik kode, der finder kurvens data i databasen | 2 døgn | Nej — teknisk nødvendig |
woocommerce_recently_viewed | Driver widgetten med senest viste produkter | Session | Vurdering — er widgetten en funktion kunden selv har valgt? |
store_notice[notice id] | Husker, at kunden har lukket butiksbeskeden | Session | Nej — brugerens eget valg |
wordpress_logged_in_, wp-settings- | Login og redaktørens egne visningsindstillinger | Varierer | Nej — autentifikation |
_ga, _ga_* | Google Analytics 4: måling og rapportering | Op til 2 år | Ja |
_fbp, fr | Meta Pixel: måling og annoncemålretning | Op til 90 dage | Ja |
_hjSession* | Hotjar og lignende: sessionsoptagelse og heatmaps | Varierer | Ja |
| YouTube, Vimeo, Google Maps, Google Fonts fra CDN | Sætter cookies eller afgiver IP til tredjeland ved indlæsning | Varierer | Ja — eller læg dem på egen server |
Bemærk formuleringen i den sidste række. Et indlejret YouTube-klip, et Google Maps-kort eller et Google Fonts-stylesheet, der hentes fra Googles servere, sætter ikke nødvendigvis en cookie — men det afgiver besøgendes IP-adresse til en tredjepart i det øjeblik, siden indlæses. Det er derfor, mange WordPress-temaer skal rettes to steder: i samtykkeløsningen og i temaets egen fonthentning. På jit.nu hentes Fraunces og IBM Plex lokalt fra vores egen server af netop den grund.
Er butikken bygget i WooCommerce, er der en pointe mere: betalingsløsningen. Et betalingsvindue, kunden selv har klikket sig frem til, er en funktion han har valgt — men de sporingsscripts, som nogle betalingsudbydere lægger på alle sider, er ikke. Det er værd at tjekke, når man alligevel er inde i opsætningen af WooCommerce-butikken.
Et cookiebanner er ikke en spærring. Det er en besked. Hvis jeres sporingsscripts ligger i sidens kode, indlæses de, når siden indlæses — uanset hvad brugeren bagefter trykker i banneret. Samtykkeløsningen skal aktivt holde scripts tilbage, og det er en opgave i temaet og i tag-opsætningen, ikke kun i et plugin.
Her ligger kernen i hele emnet, og det er også forklaringen på, at samtlige 200 hjemmesider i Digitaliseringsstyrelsens tilsyn fejlede på samme punkt. De havde formentlig alle sammen et banner. Mange havde et pænt et. Men banneret stod oven på en side, der allerede havde hentet Google Analytics, Meta Pixel og et par indlejrede videoer, inden banneret blev tegnet på skærmen.
I WordPress sker det typisk ad fire veje, og de skal lukkes hver for sig:
header.php eller via et „indsæt kode i head“-plugin kører altid. Det skal flyttes ind bag samtykket.I oktober 2021 meldte Erhvervsstyrelsen ud, at den ikke fremover ville prioritere tilsyn med simpel besøgsstatistik. Det var en prioritering af tilsynsressourcer, ikke en lovlig undtagelse. Den fælles vejledning fra maj 2025 kræver samtykke til statistik, og Datatilsynet påpegede allerede dengang, at databeskyttelsesreglerne gælder uændret.
Dette punkt koster flere danske virksomheder penge end noget andet i emnet, fordi en rådgiver engang har sagt, at statistik er fri. Historien er denne: 26. oktober 2021 meldte Erhvervsstyrelsen ud, at den „ikke fremadrettet vil prioritere tilsyn med hjemmesiders indhentning af simpel statistik“. Brancheorganisationer skrev samme dag overskrifter om, at man nu kunne sætte statistik-cookies uden samtykke.
Datatilsynet reagerede straks og præciserede, at „databeskyttelsesforordningens og databeskyttelseslovens regler (fortsat) gælder“ for personoplysninger om hjemmesidebesøgende — uanset om de bruges til statistik eller andet. Den dataansvarlige „skal sikre sig, at der foreligger et lovligt grundlag (en hjemmel)“. Med andre ord: tilsynet med cookiereglerne blev nedprioriteret, men kravet om hjemmel efter forordningen blev ikke rørt.
Hvordan står det så i 2026? To ting på én gang, og de skal holdes adskilt:
| Spørgsmål | Svaret i 2026 |
|---|---|
| Kræver simpel besøgsstatistik samtykke efter reglerne? | Ja. Den fælles vejledning fra maj 2025 siger, at der skal indhentes samtykke, hvis cookies bruges til for eksempel at generere besøgsstatistik |
| Fører Digitaliseringsstyrelsen tilsyn med netop det? | Nedprioriteret. Tjenester, der kun bruger sporing til simpel statistik, prioriteres ikke — forudsat at data alene bruges til basal trafikmåling og ikke kombineres med andre oplysninger |
| Gælder databeskyttelsesreglerne alligevel? | Ja. Behandles der personoplysninger, skal der være hjemmel, og Datatilsynet fører tilsyn med det |
Den praktiske konsekvens: en ren, intern besøgstælling, hvor tallene ikke forlader jeres eget hus og ikke kobles på andre data, ligger i en gråzone, tilsynet ikke jagter. Google Analytics 4 gør ikke det. GA4 sender data til en tredjepart, kombinerer på tværs af tjenester og bruges typisk også til annoncemålretning. Det falder uden for både nedprioriteringen og undtagelsen for teknisk nødvendige teknologier. Bruger I GA4, skal I have samtykke.
Google kræver efter sin EU-brugersamtykkepolitik, at annoncører indsamler samtykke fra brugere i EŒS og videregiver samtykkesignaler til Google. Mangler signalerne, påvirkes måling, annoncepersonalisering og remarketing. Det gør samtykkeløsningen til et markedsføringsspørgsmål, ikke kun et juridisk.
Selv hvis man var tilbøjelig til at tage chancen med tilsynet, er der en anden håndhæver med kortere arm: Google selv. Googles krav er, at „you must collect consent for use of personal data from end users based in the EEA and share consent signals with Google“. Signalerne hedder ad_user_data (samtykke til at sende brugerdata til Google til annonceformål) og ad_personalization (samtykke til personaliserede annoncer), ud over det oprindelige ad_storage. Fra marts 2024 bliver ad_storage-værdien for kunder i EŒS automatisk afbildet til ad_user_data for dem, der stadig kører den første version af consent mode.
Google skriver selv, at håndhævelsen „will also impact measurement features“. Konsekvensen i praksis: en hjemmeside uden korrekt opsat consent mode mister måledata og mulighed for remarketing — ikke som en straf, men fordi signalerne ikke når frem. Det er derfor, en rigtigt opsat samtykkeløsning ofte giver bedre data end en forkert opsat: i consent mode indsendes der modellerede, cookiefrie signaler, når brugeren siger nej, mens en blokeret tag slet ikke siger noget.
Det er også her, de to verdener mødes. Jeres samtykkekategorier skal afbildes til Googles signaler: statistik til analytics_storage, markedsføring til ad_storage, ad_user_data og ad_personalization. Er den afbildning ikke sat op, kan banneret godt se perfekt ud og stadig sende „samtykke givet“ til Google, når brugeren har sagt nej. Det er den fejl, der både er en tilsynssag og et databrud på samme tid.
Åbn jeres hjemmeside i et nyt privat browservindue, åbn udviklerværktøjernes faneblad Netværk og Applikation, genindlæs siden og tryk ikke på banneret. Er der cookies eller kald til Google, Meta eller YouTube på listen, så har I den fejl, alle 200 hjemmesider i tilsynet havde.
Det kræver ingen værktøjer, I ikke har, og ingen rådgiver. De seks trin nedenfor kan køres af enhver, der kan finde udviklerværktøjerne i Chrome eller Edge — F12 eller Ctrl+Shift+I.
F12, vælg fanebladet Network (Netværk), sæt filteret til All, og lad vinduet stå åbent. Skift derefter til Application og find Cookies.google, facebook, doubleclick, youtube, hotjar og fonts i filterfeltet på Network-fanen, et ord ad gangen. Hver træffer er et kald, der allerede er sendt.wp_woocommerce_session_, woocommerce_cart_hash, jeres samtykke-cookie selv. Ligger der _ga eller _fbp, er løbet kørt.Mens I er i gang, er det værd at tage de fire sidste punkter med. De kræver ingen udviklerværktøjer, men de går igen i tilsynssagerne:
Et høringsbrev fra Digitaliseringsstyrelsen er ikke en bøde og ikke et påbud. Det er en beskrivelse af de mangler, styrelsen har fundet, med lejlighed til at rette dem inden høringsfristen. Retter I manglerne og melder tilbage, bliver sagen lukket. Halvdelen af sagerne i 2025 blev afsluttet på den måde.
Styrelsen skriver selv, at den inviterer til dialog og vejleder om, hvordan man overholder reglerne, og at et høringsbrev ikke automatisk betyder, at der kommer et påbud. Det er en væsentlig forskel fra den måde, mange forestiller sig et tilsyn. Og det sætter også prioriteringen: den dyre vej er ikke at blive udtaget, men at ignorere brevet.
Tallene understøtter det. I 2024 blev 90 % af sagerne lukket under høringen, i 2025 50 %. De resterende endte med påbud, og alle tjenester var bragt i orden, da tilsynet blev afsluttet. Rettes manglerne ikke, kan virksomheden politianmældes, og manglende overholdelse af reglerne kan straffes med bøde.
Rent praktisk er de tre første ting, vi gør, når en kunde ringer med et sådant brev, altid de samme: vi tager en kopi af siden, som den ser ud i dag, så der er dokumentation for udgangspunktet; vi finder de scripts, der fyrer før samtykke, og flytter dem bag samtykkeløsningen; og vi retter banneret, så „Afvis alle“ står på første niveau. Resten — klassificering, tredjepartsnavne, dokumentation — er skrivearbejde, der kan laves i samme omgang. Skal der også styr på aftalerne bag, er databehandleraftalen med IT-leverandøren det næste sted at kigge, og skal hjemmesiden alligevel igennem en opdatering, er tilgængelighedskravene til webshops værd at tage med i samme arbejdsgang.
Og for god ordens skyld: vores egen cookiepolitik ligger offentligt, så I kan se, hvordan de fire kategorier kan beskrives i praksis. En ny hjemmeside fra os leveres med samtykkeløsningen opsat, fonte på egen server og pladsholdere på indlejret indhold fra starten.
En halv times gennemgang: vi åbner jeres side i et rent vindue, viser hvad der sendes af sted, inden brugeren har trykket, og siger lige ud, hvad der skal rettes — i temaet, i samtykkeløsningen og i tagopsætningen. I får en konkret liste, også hvis svaret er, at alt er, som det skal være.
„Vi sparer det, der svarer til en hel arbejdsdag om ugen på administration.“
Westwind, Admind-kunde i over 10 årEt cookietilsyn og et sikkerhedsspørgeskema fra en kunde har det samme til fælles: begge handler om at kunne dokumentere, hvad I gør med andres data. Guiden samler de seks dokumenter, der besvarer kundens sikkerhedsspørgeskema, og de seks ting kunden vurderer jer på. Sendes som PDF — ingen opkald.
Vi bruger din mail til at sende guiden og højst et par relevante opfølgninger. Afmeld med ét klik.
Kun hvis I bruger teknologier, der ikke er teknisk nødvendige. En ren WordPress-side uden statistik, pixels, indlejret indhold eller eksterne fonte behøver ikke samtykke — WordPress’ egne login- og indstillingscookies og WooCommerces kurvcookies er undtaget. I praksis er det meget få sider, der er helt rene: et indlejret YouTube-klip eller et Google Maps-kort er nok til, at samtykket skal på plads.
Nej. Pluginnet leverer banneret og kan blokere de scripts, det selv kender. Men et script, der ligger direkte i temaets header.php, en indlejret video i en side eller en Google Fonts-hentning i stylesheetet, bliver ikke blokeret af sig selv. Det er derfor, de 200 hjemmesider i tilsynet fejlede — de fleste af dem havde formentlig et plugin.
Reglerne kræver samtykke. Den fælles vejledning fra maj 2025 siger, at der skal indhentes samtykke, når cookies bruges til at generere besøgsstatistik. Det, rådgiveren formentlig henviser til, er Erhvervsstyrelsens udmelding fra 26. oktober 2021 om ikke at prioritere tilsyn med simpel statistik. Det er en prioritering af tilsynsressourcer, ikke en lovlig undtagelse — og den holder kun for data, der alene bruges til basal trafikmåling og ikke kombineres med andet. Google Analytics 4 falder uden for.
Vejledningen siger, at „der gælder ingen specifik tidsfrist for, hvor længe et samtykke er gyldigt“, men at det „ofte vil være passende at opdatere samtykket en gang årligt“. Ændrer I formål eller tilføjer nye værktøjer, gælder det gamle samtykke ikke længere, og I skal spørge igen.
Som hovedregel nej. En cookievæg kan kun komme på tale, hvis brugeren tilbydes et rimeligt alternativ — for eksempel betaling til en rimelig pris. Uden et reelt valg er samtykket ikke frivilligt, og så er det ikke et samtykke.
Nej, for der er ikke noget at vente på. Kommissionens forslag af 19. november 2025 er ikke vedtaget: Rådet fjernede browsersignalet i juni 2026, formandskabets tekst flyttede cookiereglerne tilbage i ePrivacy-direktivet i september, og Coreper nåede ikke at vedtage et forhandlingsmandat 7. oktober 2026. Indtil der er en vedtagen tekst, gælder de nuværende regler, og ingen version af forslaget tillader markedsføringscookies før samtykke.
Digitaliseringsstyrelsen. Den fører tilsyn med cookiebekendtgørelsen med hjemmel i § 20 i teleloven og sender først et høringsbrev med de mangler, den har fundet. Retter I dem inden høringsfristen og melder tilbage, lukkes sagen. Herefter kan der komme påbud med frist, og i sidste ende bøde. Datatilsynet kan samtidig behandle den databeskyttelsesretlige side af sagen.
Det kan I godt. Styrelsen arbejder emnebaseret: den vælger et tema og udtager tjenester inden for det, ud fra antal brugere, hvilke oplysninger der indsamles, målgruppen og den almene interesse. I 2025 var temaet rejse- og transporthjemmesider samt genbesøg af danske hjemmesider; i 2026 er fokus de mest brugte danske apps udvalgt blandt top 200 i App Store. Men skaden ved en dårlig samtykkeløsning er ikke kun tilsynet — det er også de måledata, I mister.
Tyve minutter i et privat browservindue afgør, om I har problemet. Har I det, tager rettelsen typisk en halv dag — og den giver samtidig måledata, der kan stoles på. Ring, så kigger vi på siden sammen.