GDPR og cookies: Det skal din hjemmeside gøre

To tjek: adgang til enheden og personoplysninger

Tjek 1: lagring eller læsning af oplysninger på enheden. I EU kommer denne regel fra artikel 5, stk. 3, i ePrivacy-direktivet, som gennemført i de enkelte landes lovgivning; i Storbritannien fra regulation 6 i PECR. Der kræves samtykke, medmindre en undtagelse gælder, uanset om oplysningerne er personoplysninger eller ej. EDPB’s retningslinjer 2/2023 viser, at reglen kan omfatte sporingspixels, sporingslinks og unikke identifikatorer, ikke kun cookies.

Tjek 2: behandling af personoplysninger. GDPR, eller UK GDPR i Storbritannien, regulerer, hvad du gør med personoplysninger: behandlingsgrundlag, gennemsigtighed, opbevaring, deling, overførsler og de registreredes rettigheder. Cookie-id’er og IP-adresser kan være personoplysninger.

Begge tjek gælder ofte for det samme værktøj. Et analysescript, der sætter en cookie og sender besøgsdata til en udbyder, skal leve op til enhedsreglerne, som regel gennem samtykke, og kræver et behandlingsgrundlag efter GDPR for den efterfølgende behandling. Legitime interesser kan ikke erstatte et samtykke, som enhedsreglerne kræver, og samtykke til cookies afgør ikke spørgsmål om opbevaring, overførsler eller senere anvendelser.

EU’s GDPR gælder for behandling, der sker som led i aktiviteterne i en etablering i EU, og for organisationer andre steder, der udbyder varer eller tjenester til personer i EU eller overvåger deres adfærd dér. At en hjemmeside blot kan åbnes i Europa, afgør ikke spørgsmålet. UK GDPR bruger samme model for Storbritannien, så vurder begge, hvis du betjener begge markeder.

Størrelse er ingen undtagelse: en lille virksomhed kan behandle personoplysninger via formularer, brugerkonti, analyseværktøjer og annonceringsværktøjer. EDPB’s guide til små virksomheder forklarer kravet om et behandlingsgrundlag for hvert formål.

Hvor reglerne i EU og Storbritannien er forskellige

Enhedsreglerne udsprang af det samme EU-direktiv, men Storbritannien har siden ændret PECR. Tjek besøgende fra EU og Storbritannien hver for sig, før du baserer dig på en undtagelse.

Reglerne i EU og Storbritannien sammenlignet
Emne	Den Europæiske Union	Storbritannien
Retskilde	Den Europæiske UnionArtikel 5, stk. 3, i ePrivacy-direktivet som gennemført nationalt samt GDPR.	StorbritannienPECR regulation 6 og Schedule A1 samt UK GDPR.
Centrale undtagelser	Den Europæiske UnionOverføring af en kommunikation samt lagring eller adgang, der er strengt nødvendig for en tjeneste, som brugeren har anmodet om.	StorbritannienDe samme to, med eksempler som sikkerhed, forebyggelse af svindel og at huske brugerens valg.
Statistik og præferencer	Den Europæiske UnionIngen særskilt undtagelse i direktivet; tilgangen varierer fra land til land.	StorbritannienBetingede undtagelser for statistik og for udseende eller funktionalitet, i kraft siden 5. februar 2026.
Tilsynsmyndighed	Den Europæiske UnionNationale databeskyttelsesmyndigheder for GDPR; cookiereglerne kan høre under en anden national myndighed.	StorbritannienInformation Commissioner’s Office (ICO) for begge.
Maksimale bøder	Den Europæiske UnionGDPR: op til 20 mio. € eller 4 % af den samlede globale årlige omsætning. Sanktioner efter cookiereglerne fastsættes nationalt.	StorbritannienOp til 17,5 mio. £ eller 4 % af den globale omsætning efter UK GDPR og nu også efter PECR.

I EU overlader EDPB rækkevidden af undtagelserne til national lovgivning og nationale myndigheder. Webanalyse viser forskellen: de danske myndigheder siger, at statistik på hjemmesider kræver samtykke, mens nogle tilsynsmyndigheder, fx den franske CNIL, accepterer en snæver undtagelse for begrænset publikumsmåling.

I Storbritannien tilføjede Data (Use and Access) Act 2025 undtagelser for statistik, for udseende eller funktionalitet og for lokalisering af en enhed i en nødsituation. ICO’s vejledning fastsætter grænserne: formålet skal være det eneste, de besøgende skal have tydelig information og en gratis, enkel måde at gøre indsigelse på, og en indsigelse stopper lagringen eller adgangen. Profilering, sporing på tværs af tjenester og alt, der vedrører onlineannoncering, kræver stadig samtykke.

Oktober 2026: Europa-Kommissionens forslag om en digital omnibus (Digital Omnibus) lægger op til at ændre EU’s cookieregler, herunder undtagelserne fra kravet om samtykke. Forslaget er stadig i lovgivningsprocessen, så de nuværende nationale regler gælder.

Det skal din hjemmeside gøre

Kortlæg formålene, før du vælger bannerkategorier

Notér hvert værktøj, og hvad det faktisk gør: levering af den tjeneste, der er anmodet om, statistik, annoncemåling eller opbygning af målgrupper. Registrér data, modtagere, opbevaringsperiode og behandlingsgrundlag for hvert formål. Fjern værktøjer uden et klart formål.

Bruger du Googles annoncerings- eller måleprodukter med besøgende i EØS eller Storbritannien? Googles egen politik stiller yderligere krav til samtykke, oplysninger og dokumentation: se vores guide til Googles EU User Consent Policy.

Gør samtykket til et reelt valg

Hvor der kræves samtykke, skal du spørge, før aktiviteten starter, forklare hvert formål og lade valgfrie indstillinger være slået fra. Scrolling, tavshed eller fortsat browsing er ikke samtykke, som EDPB’s retningslinjer om samtykke forklarer. Tilbyd en mulighed for at afvise, der er lige så tydelig som muligheden for at acceptere, og et permanent link til indstillingerne: GDPR kræver, at det skal være lige så let at trække et samtykke tilbage som at give det.

Forbind valget med det, der faktisk kører

En gemt præference hjælper kun, hvis hjemmesiden følger den. Tjek scripts i tag manageren, plugins, indlejrede videoer og andre widgets, ikke kun om banneret forsvinder. At flytte indsamlingen over på en server bringer ikke dataene uden for GDPR.

Forklar dataenes vej, og håndtér rettigheder

Din information om privatliv bør dække, hvem der er dataansvarlig, formål og behandlingsgrundlag, modtagere, opbevaring, rettigheder og internationale overførsler, med de samme navne og formål som i banneret og cookiedeklarationen. Indfør en proces for anmodninger om rettigheder. Ikke alle rettigheder er absolutte, så vurder hver anmodning i stedet for at love automatisk sletning.

Det betyder det for din rapportering

Hvis færre besøgende accepterer valgfri statistik, kan den registrerede trafik falde, uden at de reelle besøg falder. Notér ændringer i samtykket i kampagnerapporter, og sammenlign resultaterne med ordrer og henvendelser. Hold også formålene adskilt: en webshops kurvcookie bør ikke i det stille blive til et marketing-id, når en besøgende afviser annoncering.

Tjekliste til din hjemmeside

Omfang: notér, hvilke regelsæt der gælder: EU’s GDPR, UK GDPR og enhedsreglerne i hvert land, du henvender dig til.
Nyt besøg: før der er truffet et valg, forekommer ingen cookies, lagring eller forespørgsler, der kræver samtykke.
Afvis: efter genindlæsning og videre browsing forbliver valgfri lagring og forespørgsler slået fra, også destinationer på serversiden.
Delvist valg: accept af ét formål starter kun de tilsvarende værktøjer.
Træk tilbage: når indstillingerne åbnes igen og samtykket trækkes tilbage, stopper de berørte værktøjer.
Undtagelser i Storbritannien: hvis du baserer dig på en af dem, er informationen og den gratis mulighed for indsigelse synlige, og en indsigelse stopper lagringen eller adgangen.
Efter ændringer: gentag tjekkene, når du tilføjer et værktøj, ændrer et formål eller går ind på et nyt marked.

Ofte stillede spørgsmål

Er en privatlivspolitik nok?

Nej. En politik beskriver behandlingen. Den indhenter ikke samtykke, hvor der kræves samtykke, og den styrer ikke, hvad scripts faktisk gør.

Skal besøgende acceptere statistik for at kunne købe noget?

Gør ikke valgfri statistik til en fast betingelse for at gennemføre et køb. Vurder nødvendigheden ud fra den tjeneste, kunden anmoder om, ikke ud fra dine ønsker til rapportering.

Kan ét banner dække både EU og Storbritannien?

Ét system kan understøtte begge, men indstillingerne skal passe til hvert regelsæt. En opsætning, der baserer sig på den britiske undtagelse for statistik, kan stadig kræve samtykke fra besøgende i EU-lande, hvor der ikke gælder en tilsvarende undtagelse.

Kræver strengt nødvendige cookies samtykke?

Nej, hvis lagringen eller adgangen er strengt nødvendig for en tjeneste, som den besøgende har anmodet om. Det er stadig god praksis at angive dem i din cookieinformation, og GDPR’s regler om gennemsigtighed gælder, hvor der indgår personoplysninger.

Skal vi gemme dokumentation for samtykke?

Når du baserer dig på samtykke efter GDPR, kræver artikel 7, stk. 1, i GDPR, at du kan påvise det. Gem dokumentation for de viste oplysninger og det trufne valg uden at indsamle flere personoplysninger, end formålet kræver.