Hva er cookies?

Cookies er små tekstfiler som nettsteder lagrer i nettleseren din. Når du besøker et nettsted, kan serveren sende en cookie sammen med sideinnholdet. Nettleseren din lagrer denne cookien og sender den tilbake til serveren ved hver etterfølgende forespørsel. Denne enkle mekanismen — lagre en verdi, sende den tilbake — er grunnlaget for nesten all personlig tilpasset nettopplevelse.

Å forstå hva cookies er, hvordan de fungerer og hva de brukes til, er det avgjørende første steget mot cookie-samsvar. Du kan ikke regulere det du ikke forstår.

Hvordan cookies fungerer teknisk

I bunn og grunn er cookies nøkkel-verdi-par. En cookie har et navn, en verdi og et sett med attributter som styrer oppførselen. Når en webserver vil sette en cookie, inkluderer den en Set-Cookie-header i HTTP-svaret sitt:

Set-Cookie: session_id=abc123; Path=/; Expires=Thu, 16 Mar 2027 00:00:00 GMT; Secure; HttpOnly

Dette forteller nettleseren: «Lagre en cookie ved navn session_id med verdien abc123. Send den med hver forespørsel til alle stier på dette domenet. Behold den til mars 2027. Send den kun over HTTPS. Og ikke la JavaScript få tilgang til den.»

Ved hver etterfølgende forespørsel til det domenet inkluderer nettleseren automatisk cookien i Cookie-headeren:

Cookie: session_id=abc123

Serveren leser denne verdien og vet hvem forespørselen kommer fra. Det er hele mekanismen. Cookies er ikke programmer. De kan ikke kjøre kode, få tilgang til filsystemet ditt eller installere noe. De er passive data — tekststrenger som beveger seg frem og tilbake mellom nettleser og server.

Hva cookies brukes til

Cookies tjener fire overordnede formål på det moderne nettet:

Autentisering og øktshåndtering

Når du logger inn på et nettsted, oppretter serveren en økt og lagrer en unik øktidentifikator i en cookie. Uten denne cookien ville serveren ikke ha noen måte å vite at din neste sideforespørsel kommer fra samme innloggede bruker. Hver sideinnlasting ville føles som et førstegangsbesøk. Handlekurver, brukerkontoer, administrasjonspaneler — ingenting av dette fungerer uten øktcookies.

Brukerpreferanser

Cookies husker valgene dine. Språkpreferanser, temainnstillinger (mørk modus vs. lys modus), valutavalg, samtykkevalg for cookies i seg selv — alt dette lagres vanligvis i cookies. Når du kommer tilbake til et nettsted og det allerede vet at du foretrekker tysk, ligger den kunnskapen i en cookie.

Analyse og ytelse

Tjenester som Google Analytics, Matomo og Plausible bruker cookies til å skille mellom unike besøkende og tilbakevendende besøkende, til å spore hvilke sider som vises i én økt, og til å måle hvordan besøkende navigerer gjennom et nettsted. Analysecookien inneholder vanligvis ikke personopplysninger direkte — den inneholder en anonym identifikator som _ga=GA1.2.123456789.1710000000.

Annonsering og sporing

Det er her cookies blir et personvernproblem. Annonsenettverk bruker cookies til å spore brukere på tvers av flere nettsteder og bygger profiler av surfeatferd som muliggjør målrettet annonsering. Når du besøker et nyhetsnettsted og senere ser annonser for et produkt du så på et annet nettsted, er det sporingscookies på tvers av nettsteder som gjorde det mulig. Disse tredjeparts-cookiene er hovedmålet for moderne personvernregulering.

En kort historie om cookies

Cookies ble oppfunnet i 1994 av Lou Montulli, en programmerer hos Netscape Communications. Det opprinnelige formålet var beskjedent: Netscape trengte en måte å implementere en handlekurv for en e-handelskunde uten å lagre hver brukers handlekurvinnhold på serveren. Montulli tilpasset konseptet «magic cookies» fra Unix-databehandling — små tokens som overføres mellom programmer for å opprettholde tilstand.

De første cookiene var en praktisk teknisk løsning. Men potensialet deres for sporing ble raskt anerkjent. I 1996 publiserte Financial Times den første artikkelen i mainstream-media som reiste personvernbekymringer om cookies. I 2002 hadde EU vedtatt ePrivacy-direktivet som spesifikt tok for seg dem.

I løpet av de neste to tiårene utviklet cookies seg fra et enkelt verktøy for øktshåndtering til ryggraden i den digitale annonsebransjen — og hovedmålet for personvernlovgivning over hele verden.

Hvorfor cookies er et personvernproblem

Personvernproblemet med cookies handler ikke om selve teknologien. En cookie som husker språkpreferansen din er harmløs. Bekymringen oppstår fra tre spesifikke bruksområder:

1. Sporing på tvers av nettsteder. Tredjeparts-cookies lar annonsenettverk følge brukere over hele nettet og bygge detaljerte profiler av surfeatferd. En bruker som besøker et nettsted med medisinsk informasjon, en politisk organisasjons nettsted og et datingnettsted har avslørt sensitiv informasjon — og alt kan kobles sammen via cookies.
2. Mangel på åpenhet. De fleste brukere aner ikke hvor mange cookies som settes når de besøker et typisk nettsted. Et enkelt nyhetsnettsted kan sette 50–100 cookies fra dusinvis av ulike domener. Brukeren ser ett nettsted; bak kulissene observerer dusinvis av selskaper besøket deres.
3. Varighet. Cookies kan vare i årevis. En sporingscookie satt i 2024 kan fortsatt identifisere den samme brukeren i 2026. Denne evnen til langsiktig sporing, kombinert med rekkevidde på tvers av nettsteder, skaper en overvåkingsinfrastruktur som opererer uten de fleste brukeres kunnskap eller meningsfulle samtykke.

Disse bekymringene er grunnen til at ePrivacy-direktivet (artikkel 5(3)) krever informert samtykke før ikke-nødvendige cookies plasseres, og hvorfor GDPR (artikkel 4(11) og 7) setter strenge betingelser for hvordan gyldig samtykke skal se ut.

Utover cookies: Andre sporingsteknologier

Moderne personvernregulering dekker ikke bare cookies. ePrivacy-direktivet viser til «lagring av informasjon, eller tilgang til informasjon som allerede er lagret, i terminalutstyret til en abonnent eller bruker». Denne formuleringen dekker bevisst enhver lagringsmekanisme på klientsiden, inkludert:

• localStorage og sessionStorage — Web Storage API-er som lar nettsteder lagre større mengder data i nettleseren. I motsetning til cookies sendes ikke disse dataene automatisk til serveren, men de kan fortsatt brukes til sporing og krever samtykke etter de samme reglene.
• IndexedDB — En kraftigere database på klientsiden. Samme samtykkeregler gjelder.
• Nettleser-fingeravtrykk — Innsamling av enhetsegenskaper (skjermoppløsning, installerte fonter, nettleser-plugins, tidssone) for å opprette en unik identifikator uten å lagre noe på enheten. Selv om fingeravtrykk ikke bruker cookies, anerkjennes det i økende grad som en sporingsteknologi som krever samtykke. Franske CNIL og flere andre datatilsyn har utgitt veiledning som bekrefter dette.
• Sporingspiksler — Bittesmå usynlige bilder som lastes fra en tredjepartsserver. Selve forespørselen avslører brukerens IP-adresse, nettleser og siden de er på. Sporingspiksler fungerer ofte i samspill med cookies, men kan også fungere uavhengig.
• ETags og cache-basert sporing — Teknikker som utnytter nettleserens hurtigbuffer til å lagre og hente identifikatorer. Disse er mindre vanlige, men viser hvorfor reguleringen fokuserer på utfallet (sporing) fremfor den spesifikke teknologien.

Det praktiske poenget: Hvis nettstedet ditt lagrer eller får tilgang til informasjon på en brukers enhet for ikke-nødvendige formål, eller hvis det bruker teknikker for å spore brukere på tvers av økter, kreves det nesten helt sikkert samtykke — uavhengig av om mekanismen teknisk sett er en «cookie».

Passiros cookie-skanner oppdager alle cookies og sporingsteknologier på nettstedet ditt, inkludert bruk av localStorage, tredjepartsskript og sporingspiksler — og gir deg et fullstendig bilde av hva nettstedet ditt samler inn.

Viktige punkter

• Cookies er små tekstfiler som lagres av nettleseren og sendes tilbake til serveren ved hver forespørsel.
• De tjener legitime formål (autentisering, preferanser) og personvernssensitive formål (analyse, annonsering).
• Tredjeparts sporingscookies er hovedbekymringen i personvernregulering.
• Andre teknologier (localStorage, fingeravtrykk, piksler) er underlagt de samme samtykkekravene.
• Å forstå hvilke cookies nettstedet ditt bruker er det første steget mot samsvar.

La oss deretter se på de ulike typene cookies i detalj — for typen avgjør samtykkekravene.