Cookies og personvern på nettsider: Dette må norske bedrifter ha på plass i 2026

Fra 1. januar 2025 krever ekomloven at samtykke til cookies og lignende teknologier oppfyller kravene til gyldig samtykke etter GDPR. Det betyr blant annet at samtykket skal være frivillig, spesifikt, informert, utvetydig, dokumenterbart og mulig å trekke tilbake like enkelt som det ble gitt.

Oppdatert 4. oktober 2026. Artikkelen gir generell veiledning og er ikke individuell juridisk rådgivning.

Kortversjonen: Hva må en norsk nettside ha på plass?

For en vanlig bedriftsnettside bør du kunne svare på disse spørsmålene:

Det siste punktet er viktig. Du kan kjøpe den mest avanserte samtykkeløsningen på markedet og fortsatt ha en løsning som ikke fungerer riktig dersom Meta Pixel, Google Ads, analyseverktøy eller andre skript lastes før valget er tatt.

Datatilsynet understreker også at bruk av en Consent Management Platform (CMP) ikke flytter ansvaret bort fra virksomheten som driver nettsiden.

Cookies er egentlig bare halve historien

Mange snakker om «cookie-regler». Det er litt misvisende. Ekomloven § 3-15 er teknologinøytral. Den gjelder ikke bare klassiske cookie-filer, men lagring av eller tilgang til informasjon på brukerens utstyr, for eksempel PC, mobil eller nettbrett. Reglene gjelder dessuten selv om informasjonen som lagres eller leses ikke nødvendigvis er en personopplysning.

Deretter kommer GDPR inn dersom informasjonen som behandles kan knyttes til en person. Forenklet kan du derfor tenke på det som to kontroller:

Kontroll 1, ekomloven: Lagrer eller leser løsningen informasjon fra brukerens enhet?

Kontroll 2, GDPR: Behandles personopplysninger i forbindelse med eller etter dette?

En analyse- eller markedsføringsløsning kan derfor måtte vurderes etter begge regelverkene.

Må alle nettsider ha et cookie-banner?

Nei. Dersom nettsiden kun bruker teknologi som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om, finnes det unntak fra samtykkekravet, for eksempel for teknisk funksjonalitet som er nødvendig for innlogging eller en handlekurv.

Datatilsynet går lenger enn å si at samtykke ikke kreves: Hvis nettstedet kun bruker teknologi som omfattes av unntakene, trenger det ikke, og bør heller ikke, ha et samtykkebanner.

Problemet oppstår når man blander nødvendige funksjoner med analyse, annonsering og andre valgfrie tjenester.

Det viktige spørsmålet er altså ikke «Bruker vi cookies?» Det riktige spørsmålet er «Hva skjer teknisk når noen besøker nettsiden?»

Slik ser forskjellen mellom et dårlig og et godt cookie-banner ut

Fem cookie-løsninger du bør være skeptisk til

Analyse og markedsføring er ikke det samme

Dette er en detalj mange nettsider overser. En bedrift kan for eksempel ønske å bruke analyse for å forstå hvilke sider som besøkes, konverteringsmåling for Google Ads, remarketing og personalisert annonsering. Dette er ikke nødvendigvis ett og samme formål.

Dersom cookies eller lignende teknologi brukes til forskjellige formål, skal brukeren normalt kunne velge hvilke formål vedkommende vil samtykke til. En praktisk samtykkeløsning bør derfor skille mellom kategorier som:

Analyse: brukes for å forstå hvordan nettsiden brukes.
Markedsføring: brukes for å måle annonsering eller bygge målgrupper.

Strengt nødvendige teknologier trenger derimot ikke presenteres som et samtykkevalg dersom de virkelig omfattes av lovens unntak.

Google Consent Mode er ikke selve samtykket

Dette er spesielt relevant for bedrifter som bruker Google Analytics eller Google Ads. Google Consent Mode brukes til å fortelle Google-tagger hvilken samtykkestatus brukeren har. Google beskriver selv tre separate steg:

1. Innhent brukerens valg
2. Kommuniser valget til Google
3. Sørg for at taggene oppfører seg i tråd med valget

Google skiller også mellom «basic» og «advanced» Consent Mode. I advanced-oppsett kan Google-tagger sende målinger uten cookies mens samtykkestatus er satt til avvist. At noe omtales som «cookieless» betyr imidlertid ikke at norske virksomheter kan hoppe over sin egen vurdering etter ekomloven og GDPR.

Kyts eget nettsted er bygget etter dette prinsippet: Google-taggen lastes ikke før du har sagt ja til statistikk i cookiebanneret vårt. Du kan teste det selv på cookie-oversikten vår, eller lese mer om hvordan vi setter opp sporing og synlighet.

Personvernerklæringen er ikke en juridisk søppelskuff

En annen klassiker er personvernerklæringen på 3 000 ord som egentlig ikke forteller leseren noe. For eksempel:

Det høres juridisk ut. Men hva betyr det? En bedre forklaring kan være:

Plutselig vet brukeren hva som skjer. Datatilsynet krever at informasjon om behandling av personopplysninger skal være kortfattet, forståelig og lett tilgjengelig. Virksomheten skal blant annet beskrive formål, behandlingsgrunnlag, lagringstid, mottakere og relevante rettigheter.

«Vi lagrer opplysninger så lenge det er nødvendig» er heller ikke nødvendigvis konkret nok. Datatilsynet sier uttrykkelig at informasjonen om lagringstid må være tilstrekkelig til at personen kan forstå hva som gjelder i sin situasjon. Vår egen personvernerklæring er et eksempel du kan sammenligne mot din egen.

Kontaktskjemaer har også personvernregler

Et skjema med feltene navn, e-post, telefonnummer og melding behandler personopplysninger. Det betyr ikke at du automatisk trenger en avkrysningsboks med teksten «Jeg samtykker til personvernerklæringen».

Det første spørsmålet bør heller være: Hvorfor trenger vi disse opplysningene, og hvilket behandlingsgrunnlag bruker vi? Hvis en person selv ber om informasjon om en tjeneste før en eventuell avtale, kan behandling som er nødvendig for å svare i enkelte tilfeller være omfattet av grunnlaget «nødvendig for avtale» eller tiltak før avtaleinngåelse. Andre situasjoner kan kreve en annen vurdering.

Deretter kommer et minst like viktig spørsmål: Trenger vi egentlig alle feltene? GDPR bygger blant annet på prinsippet om dataminimering: du skal begrense innsamlingen til det som er nødvendig for formålet. Hvis bedriften aldri bruker postnummer, fødselsdato eller stillingstittel for å svare på henvendelsen, er det verdt å spørre hvorfor feltet finnes.

Markedsføringscookies og markedsføringsmail er to forskjellige samtykker

Si at en bruker godtar kategorien «Markedsføring» i cookie-banneret. Kan du nå legge e-postadressen deres inn i et nyhetsbrev? Nei, ikke på grunnlag av cookie-samtykket alene.

Samtykker skal være knyttet til konkrete formål, og elektronisk direktemarkedsføring til fysiske personer har egne regler etter markedsføringsloven § 15. Hovedregelen er forhåndssamtykke, med blant annet et særskilt unntak for visse henvendelser i eksisterende kundeforhold.

Det betyr at du bør skille mellom «Jeg tillater markedsføringsteknologi på nettsiden» og «Jeg ønsker å motta nyhetsbrev på e-post». Samme person. To forskjellige formål.

Hva med verktøy som ikke bruker cookies?

Et analyseverktøy markedsføres kanskje som «cookie-free, privacy-friendly, GDPR compliant». Det er fristende å konkludere at man da ikke trenger å tenke mer på personvern. Men «cookie-free» beskriver én teknisk egenskap.

Ekomloven gjelder også andre teknologier som lagrer eller henter informasjon fra brukerens enhet. Og dersom tjenesten behandler IP-adresser eller andre opplysninger som kan være personopplysninger, må GDPR vurderes separat.

Det riktige spørsmålet til leverandøren er derfor ikke bare «Bruker dere cookies?» Spør heller:

• Lagres noe i localStorage eller sessionStorage?
• Leses identifikatorer eller informasjon fra enheten?
• Hvilke data sendes til serveren?
• Lagres IP-adressen?
• Hvor behandles dataene?
• Finnes databehandleravtale?
• Brukes dataene til leverandørens egne formål?
• Finnes underleverandører?
• Overføres personopplysninger utenfor EØS?

Dette gir et langt bedre beslutningsgrunnlag enn ett enkelt salgsargument på leverandørens nettside.

Amerikansk leverandør betyr ikke automatisk ulovlig

Google, Meta og mange andre digitale tjenester har amerikanske selskaper i verdikjeden. Det betyr ikke i seg selv at tjenesten er ulovlig. Men virksomheten må vite hvor personopplysninger behandles og hvilket grunnlag som eventuelt brukes ved overføring utenfor EØS.

Datatilsynet presiserer at overføring av personopplysninger ut av EØS krever et særskilt overføringsgrunnlag. USA har en adekvansordning gjennom EU-U.S. Data Privacy Framework, men den gjelder bare amerikanske virksomheter som er omfattet av og sertifisert under ordningen.

Bruker du en leverandør som behandler personopplysninger på virksomhetens vegne, må forholdet dessuten reguleres med en databehandleravtale når vilkårene for dette er oppfylt.

Den enkleste testen av nettsiden din

Her er en kontroll vi liker bedre enn å bare lese personvernerklæringen.

Hvis du ikke finner noen måte å endre valget på, har du allerede funnet noe som bør undersøkes. Du kan prøve testen på kyt.no selv. Åpne cookie-oversikten vår i et privat vindu og se hva som faktisk lastes før og etter du velger.

En praktisk sjekkliste for norske bedriftsnettsider

Før du erklærer nettsiden «GDPR-klar», kontroller dette:

Det siste punktet blir stadig viktigere. Datatilsynet anbefaler regelmessig gjennomgang og peker spesielt på at tredjepartsleverandører kan endre hvilke opplysninger de samler inn eller hvilke formål de bruker dem til.

Personvern bør bygges inn i nettsiden fra starten

Det er kanskje det viktigste å ta med seg. Personvernarbeid blir fort tungvint når prosessen ser slik ut: design nettsiden → installer Analytics → installer annonsering → koble CRM → legg inn skjemaer → legg inn videoer → legg på cookie-banner til slutt.

En bedre rekkefølge er: velg hva vi trenger → kartlegg dataflyten → velg personvernvennlige løsninger → definer samtykke → implementer → test → dokumenter.

Da blir ikke cookie-banneret en juridisk lapp over en teknisk løsning ingen helt har oversikt over. Det blir en del av arkitekturen. Og ofte fører denne måten å tenke på til en enklere nettside også: færre scripts, mindre unødvendig sporing, færre tredjepartsavhengigheter og bedre kontroll på hva som faktisk lastes.

Når vi vurderer en nettside hos Kyt, er derfor ikke spørsmålet bare om den har et cookie-banner. Vi er langt mer interessert i hva som skjer når noen trykker på knappene.

Kilder

• Nkom — Informasjonskapsler/cookies
• Lovdata — ekomloven § 3-15, bruk av informasjonskapsler mv.
• Datatilsynet — Samtykke til bruk av informasjonskapsler og andre sporingsteknologier
• Datatilsynet — Informasjon og åpenhet
• Datatilsynet — Behandlingsgrunnlag etter GDPR
• Datatilsynet — Hvordan lage en databehandleravtale
• Datatilsynet — Overføring av personopplysninger ut av EØS
• Lovdata — markedsføringsloven kap. 3 (§ 15, elektronisk markedsføring)
• Google — Consent Mode overview