GDPR og cookies på hjemmesiden: krav, samtykke og tjekliste

Indhold

Hvad I indsamler, uden at tænke over det
Cookiesamtykket
Privatlivspolitikken
Databehandleraftaler
Overførsler ud af EU
Formularer og mail
Fejl, der oftest giver problemer
Tjekliste
Kilder

En almindelig virksomhedshjemmeside skal overholde to sæt regler: GDPR, der handler om de personoplysninger, I indsamler gennem formularer, statistik og annoncering, og cookiereglerne, der handler om, hvad I må gemme i besøgendes browser, og hvornår I skal spørge først. I praksis koger det ned til fire ting: en privatlivspolitik, der passer til det, I faktisk gør; et cookiesamtykke, hvor nej er lige så let som ja, hvis I tracker eller annoncerer; databehandleraftaler med dem, der behandler data for jer; og at I ikke indsamler mere, end I bruger.

Her er, hvad reglerne betyder for en almindelig side, hvad I konkret skal have på plads, og de fejl, der oftest giver problemer. Det er en praktisk gennemgang, ikke juridisk rådgivning. Er I i tvivl om jeres egen situation, så spørg Datatilsynet (persondata), Digitaliseringsstyrelsen (cookies) eller en advokat, og sælger I online, så læs også om webshops, hvor der er flere krav.

Hvad I indsamler, uden at tænke over det

Kontaktformularer: navn, mail, telefon og det, folk skriver. Det er personoplysninger, så snart de er sendt.
Statistik: Google Analytics og lignende sætter cookies og sender data om besøget, ofte til servere uden for EU.
Annoncering: Google Ads, Meta-pixel, LinkedIn Insight Tag. De sporer besøgende på tværs af sider og er den mest indgribende form.
Indlejret indhold: YouTube-videoer, Google Maps, fonte fra Google, chatwidgets. De sætter ofte cookies og sender IP-adressen, før besøgende har gjort noget.
Serverlogs og sikkerhed: IP-adresser gemmes i logs og af firewall-tjenester. Det er typisk lovligt uden samtykke, men det skal stå i politikken.

Start med at lave listen for jeres egen side. Åbn den i et inkognitovindue med udviklerværktøjets netværksfane åben, og se, hvem der bliver kontaktet, før I har klikket på noget. Det er ofte flere, end nogen i virksomheden vidste.

Cookiesamtykket

Reglen står i cookiebekendtgørelsen: Cookies og lignende teknologier, der ikke er strengt nødvendige for, at siden virker, kræver samtykke, før de sættes. Nødvendige er for eksempel en indkøbskurv, login eller det, der husker selve samtykket; Datatilsynet og Digitaliseringsstyrelsens fælles vejledning fra maj 2025 gennemgår, hvad der er undtaget, og hvad der ikke er. Digitaliseringsstyrelsen fører tilsyn med cookiereglerne, og Datatilsynet med GDPR. Statistik, annoncering og de fleste indlejringer er ikke nødvendige. Samtykket skal være:

Frivilligt: Nej skal være lige så let som ja, i samme lag, med samme synlighed. Et banner med en stor “Accepter alle” og et “Indstillinger”-link, der gemmer afvisningen tre klik væk, lever ikke op til kravet. Vejledningen siger direkte, at muligheden for at afslå skal fremstå lige så tydelig som muligheden for at acceptere, og den advarer også mod at gøre afvis-knappen svagere med farver.
Specifikt og informeret: Besøgende skal kunne vælge formål (statistik, markedsføring) hver for sig og kunne se, hvilke tjenester der er tale om.
Forud for: Intet må sættes, før der er sagt ja. Mange sider loader Analytics ved sidevisning og viser banneret bagefter. Det er en af de mest almindelige fejl.
Til at trække tilbage: Det skal være lige så let at trække samtykket tilbage, som det var at give det. Et link i footeren til at ændre valget, og politikken skal forklare hvordan.

Bruger I Google Ads eller Analytics, skal samtykket desuden sendes videre til Google via Consent Mode; Google kræver, at annoncører indsamler samtykke fra brugere i EØS og sender signalerne med, og version 2 med de to ekstra signaler (ad_user_data og ad_personalization) har været kravet siden marts 2024. Ellers virker konverteringstrackingen ikke, og Google kan begrænse jeres annoncering. Det er en teknisk detalje, der skal være med i opsætningen, ikke noget, et banner klarer alene.

Tracker I ingenting og indlejrer ingenting, behøver I ikke et banner. Det er et reelt valg: En del virksomheder vælger en statistikløsning uden cookies (Plausible, Fathom, Matomo i cookiefri tilstand eller serverlogs) og slipper for banneret helt. Det forudsætter, at værktøjet hverken gemmer noget i browseren eller genkender brugerne via fingerprinting, for det er også omfattet af reglerne. Det koster præcision i tallene og muligheden for at tracke annoncer, men det er en lovlig og simpel vej.

To cookiebannere side om side: et med ja og nej i samme lag og kategorier, og et med kun Tillad alle og et lille indstillingslink. Derunder de fire ting, en almindelig side skal have, og alternativet: cookiefri statistik uden banner. — Banneret, der holder, og det, der ikke gør. Og de fire ting, der dækker det meste for en almindelig side. Illustration i fuld størrelse.

Med Google Consent Mode v2 er nej udgangspunktet. Koden skal stå før Google Tag Manager eller gtag.js:

<!-- Skal stå før Google Tag Manager eller gtag.js -->
<script>
  window.dataLayer = window.dataLayer || [];
  function gtag(){ dataLayer.push(arguments); }
  gtag('consent', 'default', {
    ad_storage: 'denied',
    ad_user_data: 'denied',
    ad_personalization: 'denied',
    analytics_storage: 'denied',
    wait_for_update: 500
  });
</script>

Når den besøgende siger ja, sender cookiebanneret dette. De fleste bannere (Cookiebot, CookieYes, Complianz) gør det selv, når integrationen er slået til:

gtag('consent', 'update', {
  ad_storage: 'granted',
  ad_user_data: 'granted',
  ad_personalization: 'granted',
  analytics_storage: 'granted'
});

Privatlivspolitikken

Den skal, som databeskyttelsesforordningens artikel 13 kræver, beskrive, hvad I indsamler, hvorfor, med hvilket retsgrundlag, hvor længe I gemmer det, hvem I deler det med (inklusive Google, Meta, jeres hostingudbyder og nyhedsbrevstjeneste), om det sendes ud af EU, og hvilke rettigheder besøgende har. Den skal passe til jeres side, ikke være kopieret fra en anden. En politik, der nævner Meta-pixel, I ikke har, eller mangler Analytics, I har, er værre end ingen, fordi den viser, at ingen har set efter. Datatilsynets skabeloner til oplysningspligten er et fint udgangspunkt, og en advokats gennemgang koster typisk 3.000–8.000 kr.

Gennemgå den, hver gang I tilføjer et værktøj på siden. Det er der, de fleste politikker bliver forkerte: Siden fik en chatbot i marts, og politikken er fra 2022. Bruger chatbotten AI, gælder der også krav efter AI Act.

Databehandleraftaler

Hver leverandør, der behandler personoplysninger på jeres vegne, skal I efter forordningens artikel 28 have en databehandleraftale med: hosting, nyhedsbrevstjeneste, formularværktøj, CRM, Google (Analytics og Ads har standardvilkår, I skal acceptere i kontoen), chatwidget. De fleste leverandører har en standardaftale, der accepteres med et klik eller allerede er en del af vilkårene; har de ikke, findes Datatilsynets egen skabelon. Opgaven er at vide, hvem de er, og at kunne finde aftalerne, hvis Datatilsynet spørger. Lav listen samtidig med listen over, hvem siden kontakter. Det er de samme navne.

En skabelon til listen:

Leverandør	Hvad de behandler	Placering	Aftale på plads
Hostingudbyder	Alt på siden, logfiler	Danmark	Ja
Google Analytics	Besøgsdata	USA (DPF)	Ja, i kontoindstillingerne
Formularplugin / mail	Navn, mail, besked
Bookingsystem	Navn, telefon, tider

Overførsler ud af EU

Mange af de værktøjer, en hjemmeside bruger, er amerikanske. Siden juli 2023 har EU og USA en aftale, Data Privacy Framework, der gør overførsler til certificerede amerikanske virksomheder lovlige, og Google, Microsoft og Meta er certificerede. Det har gjort hverdagen enklere, men ikke betingelsesløs. EU-Retten afviste i september 2025 et søgsmål mod aftalen, men sagen er anket til EU-Domstolen, og det var netop EU-Domstolen, der underkendte de to tidligere aftaler. Praktisk betyder det, at I skal vide, hvilke af jeres leverandører der ligger uden for EU, skrive det i politikken og vælge EU-baserede alternativer, hvor de er lige så gode. Hosting i EU er et let valg. Se hosting.

Formularer og mail

Indsaml kun det, I bruger. En kontaktformular behøver navn, en kontaktvej og en besked; ikke adresse, fødselsdato og virksomhedsstørrelse. Fortæl ved formularen, hvad I bruger oplysningerne til, med et link til politikken. Sender formularen en mail, så vær opmærksom på, at beskeden nu ligger i en indbakke, og at den også skal slettes derfra, når den ikke længere skal bruges. Og brug aldrig en kontaktformular til at tilmelde folk et nyhedsbrev, de ikke har bedt om; det kræver efter markedsføringslovens § 10 et separat, aktivt ja, og et forhåndsafkrydset felt tæller ikke.

Fejl, der oftest giver problemer

Banneret har “Accepter alle” som eneste tydelige valg.
Analytics eller pixels loader, før der er sagt ja.
Politikken beskriver ikke de værktøjer, siden faktisk bruger.
YouTube, Maps og Google Fonts indlejret uden samtykke eller uden privatlivsvenlig indlejring.
Ingen ved, hvilke leverandører der har data, og hvor aftalerne ligger.
Formularbeskeder med personoplysninger gemmes i årevis i WordPress og i mailen.
Nyhedsbrevstilmelding forhåndsafkrydset eller gemt i en anden formular.

Tjekliste

Listen over alt, siden kontakter, og alle leverandører, der behandler data.
Cookiebanner med ja og nej lige synlige, kategorier, og intet sat før samtykke. Consent Mode, hvis I bruger Google.
Eller: cookiefri statistik og intet banner.
Privatlivspolitik, der passer til listen, med link fra footer og formularer.
Databehandleraftaler på plads og til at finde.
Formularer med kun de felter, I bruger, og en slettefrist.
Gennemgang, hver gang et nyt værktøj kommer på siden.

Bygges det ind fra starten, er det en times arbejde og et par beslutninger. Rettes det bagefter, er det en gennemgang af hele siden. Det er derfor, det står på listen under forberedelse til en ny hjemmeside. Cookiebanner og Consent Mode sætter vi op som en del af Google Tag Manager-opsætning.