Måste jag ha en cookiebanner?.
Måste min hemsida ha en cookiebanner?
Bara om sajten lagrar eller läser något i besökarens webbläsare som inte är nödvändigt. Regeln finns i 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation: uppgifter får lagras i eller hämtas från en användares utrustning bara om användaren fått information om ändamålet och samtyckt — med två undantag, för det som behövs för själva överföringen och det som är nödvändigt för en tjänst användaren uttryckligen begärt. En sajt utan analysverktyg, inbäddade videor eller annonspixlar behöver därför i regel ingen banner alls.
Frågan ställs nästan alltid baklänges: vilken cookiebanner ska jag ha? Den rätta frågan kommer före: lagrar min sajt något som kräver samtycke? För många småföretagssajter är svaret nej, och då är bannern inte bara onödig — den är en konverteringskostnad utan motprestation.
Regeln är kort nog att citera i sin helhet:
28 § Uppgifter får lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Trots att samtycke inte har lämnats är sådan lagring eller åtkomst tillåten som
- behövs för överföring av ett elektroniskt meddelande via ett elektroniskt kommunikationsnät, eller
- är nödvändig för tillhandahållande av en tjänst på uttrycklig begäran av användaren eller abonnenten.
Tre saker följer direkt av texten. Den gäller allt som lagras eller läses i besökarens utrustning, inte bara det som heter cookie — localStorage, sessionStorage och fingeravtryck räknas lika. Den bryr sig inte om ifall uppgifterna är personuppgifter. Och undantagen är två, inte fyra.
“Nödvändig” betyder nödvändig för besökaren
Den vanligaste feltolkningen är att läsa nödvändig som nödvändig för dig. Undantag två gäller tjänster på uttrycklig begäran av användaren. Besökaren har bett om varukorgen. Besökaren har inte bett om din besöksstatistik.
Därför gäller: Google Analytics kräver samtycke. Det gör även Meta-pixeln, inbäddade YouTube-videor i standardläge, Google Fonts som laddas från Googles servrar, och de flesta chattwidgetar. Att analysen är anonymiserad ändrar ingenting — 28 § handlar om lagring i utrustningen, inte om personuppgifter.
Bannern är inte kravet — den är ett sätt att uppfylla det
Lagen nämner varken banner eller knappar. Den kräver information om ändamålet och ett samtycke. Att samtycket ska vara giltigt följer av att GDPR:s samtyckesdefinition används, och Europeiska dataskyddsstyrelsen har i sina riktlinjer om samtycke varit tydlig med grunderna:
- Frivilligt. Att neka ska vara lika lätt som att godkänna — en “Godkänn alla”-knapp utan en likvärdig “Neka alla” i samma steg håller inte.
- Informerat. Vad som lagras, av vem och varför, innan valet görs.
- Aktivt. Förkryssade rutor, “genom att fortsätta surfa godkänner du” och en banner som redan satt kakorna vid sidladdning är inte samtycken.
- Återkalleligt. Det ska gå att ändra sig lika enkelt senare.
Den fjärde punkten är den som oftast fallerar i praktiken: sajten har en banner, men mätskriptet ligger i <head> och har redan skickat sitt anrop innan besökaren hunnit läsa frågan. Då är bannern dekoration.
Två lagar, två tillsynsmyndigheter
| Kakregeln | Dataskydd | |
|---|---|---|
| Lag | 9 kap. 28 § LEK (2022:482) | Dataskyddsförordningen (GDPR) |
| Gäller | All lagring/läsning i besökarens utrustning | Behandling av personuppgifter |
| Fråga den svarar på | Får jag lagra något? | Får jag behandla uppgiften — och hur länge? |
| Tillsyn | Post- och telestyrelsen | Integritetsskyddsmyndigheten (IMY) |
De är oberoende. Du kan bryta mot den ena och följa den andra. Ett kontaktformulär utan en enda kaka rör inte 28 § — men de personuppgifter formuläret skickar omfattas fortfarande fullt ut av GDPR, och behöver en integritetspolicy och en rättslig grund. IMY beskriver de rättsliga grunderna i sin genomgång av vad som gäller enligt GDPR; själva artikeltexten finns fritt på gdpr-info.eu.
Vad ett litet företag rimligen gör
- Inventera först. Öppna sajten i ett privat fönster, gå till webbläsarens utvecklarverktyg → Application → Storage. Allt som ligger där innan du klickat på något är det du behöver kunna motivera.
- Ta bort det du inte använder. Den vanligaste vinsten. Chattwidgeten ingen svarar i, mätverktyget ingen loggar in i, den inbäddade kartan som kunde varit en länk. Färre skript ger snabbare sajt och enklare juridik i ett drag.
- Behöver du statistik — välj ett verktyg utan kakor. Serverbaserad eller kakfri analys ger dig trafiksiffror utan att röra besökarens utrustning. Search Console är gratis, ligger utanför frågan helt och svarar på det de flesta faktiskt vill veta.
- Har du kvar något som kräver samtycke — då ska bannern blockera skripten tills valet är gjort, ha likvärdiga ja- och nej-knappar i första steget, och gå att ändra i efterhand.
Var det här slutar
Det här är en beskrivning av regelverket, inte juridisk rådgivning, och gränsdragningen kring vad som är “nödvändigt” har tolkats olika av olika tillsynsmyndigheter i EU. Har du en webbutik med annonsspårning, delade målgrupper eller överföring av data utanför EU/EES är det ett större ämne än en sida — och då är det en jurist du ska prata med, inte din webbyrå.
Vill du läsa källan är den kort: SFS 2022:482, 9 kap. 28 §, fritt tillgänglig på riksdagen.se.
Sidan är fri att läsa, citera och länka till. Hittar du ett fel eller en siffra som hunnit bli gammal — mejla hej@webraketen.se, så rättar vi och skriver ut ändringsdatumet.