Regelverk for informasjonskapsler og personvern: En global oversikt

Etterlevelse av regelverk for informasjonskapsler styres ikke av én enkelt lov. Det formes av et lappeteppe av nasjonale og regionale regler som varierer betydelig i omfang, krav og håndheving. For ethvert nettsted med et internasjonalt publikum – som på det åpne internettet nærmest er alle nettsteder – er det avgjørende å forstå hvilke lover som gjelder og hvordan de skiller seg fra hverandre.

Denne veiledningen kartlegger det globale regelverkslandskapet for informasjonskapsler og sporing på nett, fra EUs samtykke-først-modell til USAs varsling-og-valg-tilnærming og fremvoksende rammeverk andre steder.

Det globale lappeteppet

Det finnes ingen enkelt «informasjonskapsellov». I stedet ligger etterlevelse av regelverk for informasjonskapsler i skjæringspunktet mellom personvernregler, direktiver om elektronisk kommunikasjon og forbrukervernlover. Resultatet er et komplekst, til tider selvmotsigende landskap der samme nettsted kan være underlagt ulike regler avhengig av hvor de besøkende befinner seg.

To brede modeller har vokst frem:

• EU-modellen (samtykke først): Ikke-nødvendige informasjonskapsler kan bare settes etter at brukeren har gitt et informert, spesifikt og frivillig samtykke. Standardinnstillingen er ingen sporing. Brukeren må aktivt samtykke.
• USA-modellen (varsling og valg): Virksomheter må opplyse om sin datainnsamlingspraksis og gi brukerne mulighet til å reservere seg mot visse bruksmåter (særlig salg eller deling av personopplysninger). Standardinnstillingen er sporing, med mulighet for brukeren til å reservere seg.

De fleste nye personvernregler rundt om i verden nærmer seg EU-modellen, om enn med lokale variasjoner. Å forstå begge modellene – og de spesifikke lovene innenfor dem – er nødvendig for ethvert nettsted som opererer på tvers av landegrenser.

EUs rammeverk: ePrivacy-direktivet + GDPR

Den europeiske unionens tilnærming til regulering av informasjonskapsler bygger på to juridiske instrumenter som virker sammen:

ePrivacy-direktivet (2002/58/EF)

ePrivacy-direktivet – ofte kalt «informasjonskapseldirektivet» – er EUs primære lov som regulerer bruken av informasjonskapsler og lignende sporingsteknologier. Direktivets sentrale bestemmelse, artikkel 5(3), fastslår:

Medlemsstatene skal sikre at lagring av informasjon, eller tilgang til allerede lagret informasjon, i terminalutstyret til en abonnent eller bruker kun er tillatt på betingelse av at den aktuelle abonnenten eller brukeren har gitt sitt samtykke etter å ha fått klar og fullstendig informasjon.

Det eneste unntaket gjelder informasjonskapsler som er «strengt nødvendige» for å levere en tjeneste som brukeren uttrykkelig har bedt om – for eksempel øktbaserte informasjonskapsler for en handlekurv eller innloggingsstatus.

Viktig: ePrivacy-direktivet er et direktiv, ikke en forordning. Dette betyr at hver EU-medlemsstat har innført det i nasjonal lovgivning med lokale variasjoner. Grunnprinsippet (samtykke kreves for ikke-nødvendige informasjonskapsler) er konsistent, men gjennomføringsdetaljene varierer. For eksempel:

• Frankrike (CNIL): Har utstedt detaljerte retningslinjer for informasjonskapsler, inkludert et begrenset unntak for visse verktøy for publikumsmåling som oppfyller strenge betingelser (anonymisering, ingen sporing på tvers av nettsteder, begrenset lagringstid).
• Tyskland: Gjennomført gjennom TTDSG (Telekommunikation-Telemedien-Datenschutz-Gesetz), som trådte i kraft i desember 2021 og kodifiserte samtykkekravet eksplisitt.
• Italia (Garante): Publiserte detaljerte retningslinjer for informasjonskapsler i 2021 som krever en avvis-knapp på første nivå og forbyr informasjonskapselmurer.
• Nederland (AP): Har inntatt en noe mer tillatende holdning til informasjonskapselmurer, og antydet at de kan være akseptable dersom brukeren har en reell alternativ måte å få tilgang til innholdet på.

GDPR (forordning (EU) 2016/679)

Personvernforordningen nevner ikke informasjonskapsler spesifikt, men den regulerer behandlingen av personopplysninger – og informasjonskapsler involverer ofte personopplysninger. GDPR er relevant for etterlevelse av regelverk for informasjonskapsler på flere måter:

• Samtykkestandard (artikkel 4(11), artikkel 7): GDPR definerer hva som utgjør gyldig samtykke: frivillig, spesifikt, informert, utvetydig og gitt gjennom en klar bekreftende handling. Denne standarden gjelder for samtykke til informasjonskapsler innhentet under ePrivacy-direktivet.
• Åpenhet (artikkel 12–14): Når informasjonskapsler behandler personopplysninger, gjelder GDPRs krav til åpenhet. Dette betyr at din informasjonskapselerklæring må gi spesifikk informasjon om databehandlingen som er involvert.
• Rettslig grunnlag (artikkel 6): Behandling av personopplysninger gjennom informasjonskapsler krever et rettslig grunnlag. For ikke-nødvendige informasjonskapsler er dette grunnlaget samtykke. Enkelte behandlingsansvarlige forsøker å basere seg på berettiget interesse (artikkel 6(1)(f)), men personvernmyndighetene har i økende grad avvist berettiget interesse som grunnlag for sporing knyttet til reklame og analyse.
• De registrertes rettigheter (artikkel 15–22): Brukere har rett til innsyn, retting, sletting og dataportabilitet – inkludert data samlet inn gjennom informasjonskapsler.
• Ekstraterritoriell rekkevidde (artikkel 3): GDPR gjelder for enhver organisasjon som behandler personopplysningene til personer i EU, uavhengig av hvor organisasjonen er etablert. Et amerikansk selskap som retter seg mot EU-kunder må etterleve regelverket.

Den kommende ePrivacy-forordningen

Europakommisjonen foreslo en ePrivacy-forordning i 2017 for å erstatte ePrivacy-direktivet, harmonisere reglene på tvers av medlemsstater og oppdatere dem for moderne teknologier. Per tidlig 2026 er forordningen ennå ikke ferdigstilt. Forhandlingene har vært langvarige, med uenigheter om unntak for berettiget interesse, bestemmelser om informasjonskapselmurer og samtykkemekanismer på nettlesernivå.

Når den etter hvert vedtas, vil ePrivacy-forordningen gjelde direkte i alle medlemsstater (i motsetning til dagens direktiv, som krever nasjonal gjennomføring). Frem til da forblir det eksisterende ePrivacy-direktivet og dets nasjonale gjennomføringer gjeldende lov.

USAs rammeverk: Personvernlover på delstatsnivå

USA har ingen føderal informasjonskapsellov og ingen føderal helhetlig personvernlov (per tidlig 2026). I stedet har personvernreguleringen vokst frem på delstatsnivå, noe som har skapt et lappeteppe av krav.

California: CCPA og CPRA

California Consumer Privacy Act (CCPA), som endret av California Privacy Rights Act (CPRA), er den mest omfattende personvernloven på delstatsnivå i USA. Sentrale bestemmelser relevante for informasjonskapsler:

• Rett til å reservere seg mot salg/deling. Forbrukere har rett til å reservere seg mot «salg» eller «deling» av sine personopplysninger. Under CPRA omfatter «deling» det å dele data med tredjeparter for atferdsbasert reklame på tvers av kontekster – noe som er nøyaktig det de fleste reklameinformasjonskapsler gjør.
• Ingen forhåndssamtykke kreves. I motsetning til EU-modellen krever ikke CCPA/CPRA forhåndssamtykke for informasjonskapsler. Standardinnstillingen er at sporing er tillatt, og brukere må aktivt reservere seg.
• «Do Not Sell or Share»-lenke. Virksomheter må ha en tydelig «Do Not Sell or Share My Personal Information»-lenke på nettstedet sitt.
• Global Privacy Control (GPC). Virksomheter må respektere GPC-nettlesersignalet som en gyldig reservasjonsforespørsel. Dersom en brukers nettleser sender et GPC-signal, må virksomheten behandle det som om brukeren klikket «Do Not Sell or Share».
• Varsling ved innsamling. Virksomheter må opplyse, ved eller før innsamlingstidspunktet, om kategoriene av personopplysninger som samles inn og formålene de skal brukes til.

Andre delstatslover i USA

Etter Californias eksempel har en rekke amerikanske delstater vedtatt helhetlige personvernlover. Per tidlig 2026 inkluderer delstater med aktive personvernlover:

Flere delstater har vedtatt lover med ikrafttredelsesdatoer i 2025 og 2026. Trenden er tydelig: personvernregulering på delstatsnivå er i vekst, og de fleste nye lovene inkluderer reservasjonsrettigheter for målrettet reklame som direkte påvirker praksisen rundt informasjonskapsler.

Andre viktige regelverk

Storbritannia: UK GDPR og PECR

Etter Brexit beholdt Storbritannia GDPR som «UK GDPR» og fortsetter å håndheve Privacy and Electronic Communications Regulations (PECR), som gjennomfører ePrivacy-direktivet. Kravene til informasjonskapsler er i hovedsak identiske med EU: forhåndssamtykke kreves for ikke-nødvendige informasjonskapsler, med et snevert unntak for strengt nødvendige informasjonskapsler. Information Commissioner's Office (ICO) håndhever disse reglene og har publisert detaljert veiledning om informasjonskapsler.

Brasil: LGPD

Brasils Lei Geral de Proteção de Dados (LGPD), i kraft siden 2020, er sterkt inspirert av GDPR. Den krever et rettslig grunnlag for behandling av personopplysninger, inkludert data samlet inn gjennom informasjonskapsler. Selv om LGPD ikke har en direkte parallell til ePrivacy-direktivets spesifikke bestemmelse om informasjonskapsler, må samtykke eller berettiget interesse etableres for databehandling basert på informasjonskapsler. ANPD (den nasjonale personvernmyndigheten) utsteder gradvis veiledning om informasjonskapsler og samtykke.

Canada: PIPEDA og Bill C-27

Canadas Personal Information Protection and Electronic Documents Act (PIPEDA) krever «meningsfullt samtykke» for innsamling, bruk og utlevering av personopplysninger. For informasjonskapsler som samler inn personopplysninger, må organisasjoner innhente samtykke og gi klar informasjon om sin praksis. Bill C-27, den foreslåtte Consumer Privacy Protection Act, ville modernisere Canadas rammeverk med strengere samtykkekrav, men vedtakelsen er blitt forsinket.

Japan: APPI

Japans Act on the Protection of Personal Information (APPI), endret i 2022, introduserte begrepet «personlig henførbar informasjon», som i visse sammenhenger kan omfatte informasjonskapselidentifikatorer. Når data fra informasjonskapsler kombineres med annen informasjon for å identifisere en person, gjelder samtykkekrav.

Sør-Korea: PIPA

Sør-Koreas Personal Information Protection Act (PIPA), endret i 2023, krever samtykke for innsamling og bruk av personopplysninger, noe som kan omfatte data fra informasjonskapsler når disse identifiserer eller kan identifisere en person.

Konvergenstrend

Til tross for dagens lappeteppe vokser det frem en tydelig trend: de fleste nye personvernlover følger EU-modellen med samtykke først og brukerstyrende regulering. Selv amerikanske delstatslover, som teknisk sett er basert på reservasjon fremfor aktivt samtykke, beveger seg mot strengere krav med universelle reservasjonssignaler (GPC), prinsipper om dataminimering og utvidede definisjoner av «personopplysninger» som fanger opp informasjonskapselidentifikatorer.

I praksis betyr denne konvergensen at nettsteder som implementerer etterlevelse på EU-nivå (forhåndssamtykke, tydelig godta/avvis, granulære kategorier, transparente retningslinjer) er godt posisjonert for å etterleve regelverket i de fleste andre jurisdiksjoner. EU-standarden er den høyeste felles nevneren.

Risikovurdering: Hvilke lover gjelder for ditt nettsted?

Det sentrale spørsmålet for enhver nettstedsdriver er: hvilke lover gjelder for meg? Svaret avhenger av to faktorer:

1. Hvor organisasjonen din er etablert. Du er underlagt personvernlovene i de jurisdiksjonene der organisasjonen din har en virksomhet (kontor, datterselskap, filial).
2. Hvor brukerne dine befinner seg. Under GDPRs ekstraterritorielle rekkevidde (artikkel 3(2)) er du underlagt EUs personvernlovgivning dersom du tilbyr varer eller tjenester til personer i EU, eller dersom du overvåker atferden til personer i EU. Tilsvarende ekstraterritorielle bestemmelser finnes i UK GDPR, Brasils LGPD og andre lover.

I praksis, hvis nettstedet ditt er tilgjengelig for brukere i EU – og du har noen som helst EU-trafikk, noe nærmest alle nettsteder har – bør du etterleve ePrivacy-direktivet og GDPR. Hvis du har amerikansk trafikk, bør du forholde deg til CCPA/CPRA (California) og andre gjeldende delstatslover.

En pragmatisk tilnærming:

• Implementer samtykke etter EU-standard for alle besøkende fra EU/EØS/Storbritannia (forhåndssamtykke for ikke-nødvendige informasjonskapsler).
• Implementer reservasjonsmekanismer for amerikanske besøkende (Do Not Sell/Share-lenke, GPC-støtte).
• Bruk den høyeste standarden som standardinnstilling dersom geografisk deteksjon er upraktisk. Samtykke på EU-nivå tilfredsstiller nærmest alle jurisdiksjoner.

Ekstraterritoriell rekkevidde

Ett av de mest betydningsfulle aspektene ved moderne personvernregulering er dens ekstraterritorielle rekkevidde. GDPR (artikkel 3(2)) gjelder for organisasjoner utenfor EU som:

• Tilbyr varer eller tjenester til personer i EU (selv om de er gratis – et nettsted som er tilgjengelig i EU og retter seg mot EU-brukere kvalifiserer), eller
• Overvåker atferden til personer i EU (analyse- og reklamesporing utgjør overvåking).

Dette betyr at et amerikansk selskap som kjører Google Analytics på et nettsted som mottar EU-trafikk, teknisk sett er underlagt GDPR og ePrivacy-direktivets krav til informasjonskapsler. Håndheving overfor organisasjoner utenfor EU har historisk vært begrenset, men øker, særlig for store selskaper. Den praktiske risikoen for mindre organisasjoner avhenger av synlighet og klagevolum, men den juridiske forpliktelsen eksisterer uavhengig av størrelse.

Håndhevingslandskapet

Håndhevingen av etterlevelse av regelverk for informasjonskapsler har blitt kraftig intensivert siden 2020. Sentrale trender:

Hvem som håndhever

I EU håndhever de nasjonale personvernmyndighetene (DPA-ene) både ePrivacy-direktivet og GDPR. Blant de mest aktive håndheverne er CNIL (Frankrike), Garante (Italia), Datatilsynet (Danmark og Norge), BfDI (Tyskland på føderalt nivå) og APD (Belgia). EDPB koordinerer grenseoverskridende håndheving.

I USA håndhever California Attorney General og California Privacy Protection Agency CCPA/CPRA. Delstatlige justisministre håndhever andre delstatslover.

Hvordan de håndhever

• Klagedrevne undersøkelser. Mesteparten av håndhevingen begynner med en brukerklage til en personvernmyndighet. Klagen utløser en undersøkelse av nettstedets praksis rundt informasjonskapsler.
• Sveipeundersøkelser. Personvernmyndighetene gjennomfører med jevne mellomrom bransjeomfattende sveip der de skanner hundrevis av nettsteder for etterlevelse av regelverk for informasjonskapsler. CNIL, italienske Garante og danske Datatilsynet har alle gjennomført offentliggjorte sveip.
• Klager fra frivillige organisasjoner. Personvernorganisasjoner som noyb (ledet av Max Schrems) har inngitt masseklager mot hundrevis av nettsteder, noe som har skapt betydelig håndhevingsvolum. Noybs klager på informasjonskapselbannere alene har ført til dusinvis av håndhevingssaker på tvers av EU.

Sanksjoner

GDPR-bøter for brudd knyttet til informasjonskapsler kan nå opptil 20 millioner euro eller 4 % av årlig global omsetning, avhengig av hva som er høyest. I praksis har bøter for brudd knyttet til informasjonskapsler variert fra advarsler (for små organisasjoner med mindre brudd) til 150 millioner euro (Google, CNIL, 2022). Trenden går mot høyere bøter og hyppigere håndheving.

Utover bøter medfører manglende etterlevelse omdømmerisiko, svekket forbrukertillit og driftskostnadene ved akutt utbedring under et myndighetspålegg.

Passiro hjelper deg med å navigere denne regelverksmessige kompleksiteten med automatisert etterlevelse som tilpasser seg lovene som gjelder for dine besøkende. Lær hvordan Passiro forenkler etterlevelse av regelverk for informasjonskapsler på tvers av jurisdiksjoner.