Hvad er cookies?

Cookies er små tekstfiler, som websteder gemmer i din browser. Når du besøger et websted, kan serveren sende en cookie med sammen med sidens indhold. Din browser gemmer denne cookie og sender den tilbage til serveren ved hver efterfølgende forespørgsel. Denne enkle mekanisme — gem en værdi, send den tilbage — er fundamentet for næsten enhver personaliseret weboplevelse.

At forstå, hvad cookies er, hvordan de fungerer, og hvad de bruges til, er det afgørende første skridt mod cookie-compliance. Du kan ikke regulere det, du ikke forstår.

Sådan fungerer cookies teknisk

I bund og grund er cookies nøgle-værdi-par. En cookie har et navn, en værdi og et sæt attributter, der styrer dens adfærd. Når en webserver vil sætte en cookie, inkluderer den et Set-Cookie-header i sit HTTP-svar:

Set-Cookie: session_id=abc123; Path=/; Expires=Thu, 16 Mar 2027 00:00:00 GMT; Secure; HttpOnly

Dette fortæller browseren: "Gem en cookie ved navn session_id med værdien abc123. Send den med hver forespørgsel til enhver sti på dette domæne. Behold den indtil marts 2027. Send den kun over HTTPS. Og lad ikke JavaScript få adgang til den."

Ved hver efterfølgende forespørgsel til dette domæne inkluderer browseren automatisk cookien i Cookie-headeren:

Cookie: session_id=abc123

Serveren læser denne værdi og ved, hvem forespørgslen kommer fra. Det er hele mekanismen. Cookies er ikke programmer. De kan ikke udføre kode, tilgå dit filsystem eller installere noget. De er passive data — tekststrenge, der rejser frem og tilbage mellem browser og server.

Hvad cookies bruges til

Cookies tjener fire overordnede formål på det moderne web:

Godkendelse og sessionhåndtering

Når du logger ind på et websted, opretter serveren en session og gemmer en unik session-identifikator i en cookie. Uden denne cookie ville serveren ikke have nogen mulighed for at vide, at din næste sideforespørgsel kommer fra den samme indloggede bruger. Hver sideindlæsning ville føles som et førstegangsbesøg. Indkøbskurve, brugerkonti, admin-dashboards — ingen af dem fungerer uden session-cookies.

Brugerpræferencer

Cookies husker dine valg. Sprogpræferencer, temaindstillinger (mørk tilstand vs. lys tilstand), valuta-valg, selve cookie-samtykkevalgene — alt dette gemmes typisk i cookies. Når du vender tilbage til et websted, og det allerede ved, at du foretrækker tysk, lever den viden i en cookie.

Analyse og ydeevne

Tjenester som Google Analytics, Matomo og Plausible bruger cookies til at skelne mellem unikke besøgende og tilbagevendende besøgende, til at spore, hvilke sider der ses i en enkelt session, og til at måle, hvordan besøgende navigerer gennem et websted. Analyse-cookien indeholder normalt ikke personoplysninger direkte — den indeholder en anonym identifikator som _ga=GA1.2.123456789.1710000000.

Annoncering og sporing

Det er her, cookies bliver et privatlivsproblem. Annoncenetværk bruger cookies til at spore brugere på tværs af flere websteder og opbygger profiler af browsingadfærd, der muliggør målrettet annoncering. Når du besøger et nyhedswebsted og senere ser annoncer for et produkt, du har set på et andet websted, blev det muliggjort af cookies til sporing på tværs af websteder. Disse tredjeparts-cookies er det primære mål for moderne privatlivsregulering.

En kort historie om cookies

Cookies blev opfundet i 1994 af Lou Montulli, en programmør hos Netscape Communications. Det oprindelige formål var beskedent: Netscape havde brug for en måde at implementere en indkøbskurv til en e-handelskunde uden at gemme hver brugers kurvindhold på serveren. Montulli tilpassede konceptet "magic cookies" fra Unix-databehandling — små tokens, der sendes mellem programmer for at bevare tilstand.

De første cookies var en praktisk teknisk løsning. Men deres potentiale for sporing blev hurtigt anerkendt. I 1996 udgav Financial Times den første mainstream-artikel, der rejste privatlivsbekymringer om cookies. I 2002 havde EU vedtaget ePrivacy-direktivet, der specifikt adresserede dem.

I løbet af de følgende to årtier udviklede cookies sig fra et enkelt værktøj til sessionhåndtering til rygraden i den digitale annonceringsindustri — og det primære mål for privatlivslovgivning verden over.

Hvorfor cookies er et privatlivsproblem

Privatlivsproblemet med cookies handler ikke om selve teknologien. En cookie, der husker din sprogpræference, er harmløs. Bekymringen opstår fra tre specifikke anvendelser:

1. Sporing på tværs af websteder. Tredjeparts-cookies giver annoncenetværk mulighed for at følge brugere på tværs af nettet og opbygge detaljerede profiler af browsingadfærd. En bruger, der besøger et websted med medicinsk information, en politisk organisations websted og et datingwebsted, har afsløret følsomme oplysninger — og alt sammen kan forbindes via cookies.
2. Manglende gennemsigtighed. De fleste brugere aner ikke, hvor mange cookies der sættes, når de besøger et typisk websted. Et enkelt nyhedswebsted kan sætte 50-100 cookies fra snesevis af forskellige domæner. Brugeren ser ét websted; bag kulisserne observerer snesevis af virksomheder deres besøg.
3. Vedholdenhed. Cookies kan vare i årevis. En sporings-cookie, der blev sat i 2024, kan stadig identificere den samme bruger i 2026. Denne langsigtede sporingsevne, kombineret med rækkevidde på tværs af websteder, skaber en overvågningsinfrastruktur, der opererer uden de fleste brugeres viden eller meningsfulde samtykke.

Disse bekymringer er grunden til, at ePrivacy-direktivet (artikel 5, stk. 3) kræver informeret samtykke, før der placeres ikke-nødvendige cookies, og hvorfor GDPR (artikel 4, stk. 11, og artikel 7) fastsætter strenge betingelser for, hvordan gyldigt samtykke ser ud.

Ud over cookies: andre sporingsteknologier

Moderne privatlivsregulering dækker ikke kun cookies. ePrivacy-direktivet henviser til "lagring af oplysninger eller opnåelse af adgang til oplysninger, der allerede er lagret, i en abonnents eller brugers terminaludstyr". Denne formulering dækker bevidst enhver mekanisme til lagring på klientsiden, herunder:

• localStorage og sessionStorage — Web Storage-API'er, der lader websteder gemme større mængder data i browseren. I modsætning til cookies sendes disse data ikke automatisk til serveren, men de kan stadig bruges til sporing og kræver samtykke efter de samme regler.
• IndexedDB — En mere kraftfuld database på klientsiden. Samme samtykkeregler gælder.
• Browser-fingerprinting — Indsamling af enhedskarakteristika (skærmopløsning, installerede skrifttyper, browser-plugins, tidszone) for at skabe en unik identifikator uden at gemme noget på enheden. Selvom fingerprinting ikke bruger cookies, anerkendes det i stigende grad som en sporingsteknologi, der kræver samtykke. Den franske CNIL og flere andre datatilsyn har udstedt vejledning, der bekræfter dette.
• Sporingspixels — Bittesmå usynlige billeder indlæst fra en tredjepartsserver. Selve forespørgslen afslører brugerens IP-adresse, browser og den side, de befinder sig på. Sporingspixels arbejder ofte sammen med cookies, men kan fungere uafhængigt.
• ETags og cache-baseret sporing — Teknikker, der udnytter browser-caching til at gemme og hente identifikatorer. Disse er mindre almindelige, men viser, hvorfor reguleringen fokuserer på resultatet (sporing) frem for den specifikke teknologi.

Den praktiske pointe: hvis dit websted gemmer eller tilgår oplysninger på en brugers enhed til ikke-nødvendige formål, eller hvis det anvender teknikker til at spore brugere på tværs af sessioner, er samtykke næsten helt sikkert påkrævet — uanset om mekanismen teknisk set er en "cookie".

Passiros cookie-scanner registrerer alle cookies og sporingsteknologier på dit websted, herunder brug af localStorage, tredjepartsscripts og sporingspixels — og giver dig et komplet billede af, hvad dit websted indsamler.

Vigtigste pointer

• Cookies er små tekstfiler, der gemmes af browseren og sendes tilbage til serveren ved hver forespørgsel.
• De tjener legitime formål (godkendelse, præferencer) og privatlivsfølsomme formål (analyse, annoncering).
• Tredjeparts-cookies til sporing er den primære bekymring for privatlivsregulering.
• Andre teknologier (localStorage, fingerprinting, pixels) er underlagt de samme samtykkekrav.
• At forstå, hvilke cookies dit websted bruger, er det første skridt mod compliance.

Lad os herefter se nærmere på de forskellige typer cookies — for typen afgør samtykkekravene.