EU’s cookielov forklaret: ePrivacy-direktivet og GDPR

Hvor EU’s cookieregel kommer fra

Den regel, de fleste kalder "EU’s cookielov", er artikel 5, stk. 3, i ePrivacy-direktivet (direktiv 2002/58/EF, på dansk officielt "direktivet om databeskyttelse inden for elektronisk kommunikation"). Efter ændringen ved direktiv 2009/136/EF står der, at det kun er tilladt at gemme oplysninger på en brugers enhed eller at få adgang til oplysninger, der allerede er gemt der, hvis brugeren har givet sit samtykke efter at have fået klar og fyldestgørende information. Medlemslandene skulle anvende den ændrede regel fra 25. maj 2011.

Der er to undtagelser. Der kræves ikke samtykke til lagring eller adgang, der:

• kun bruges til at gennemføre overførslen af en kommunikation via et netværk, eller
• er strengt nødvendig for at levere en tjeneste, som brugeren udtrykkeligt har bedt om, f.eks. en indkøbskurv, et login eller at gemme den besøgendes cookievalg.

Alt andet, som statistik, annoncering, retargeting og pixels fra sociale medier, kræver i princippet samtykke. Nogle nationale tilsynsmyndigheder tillader snævre undtagelser for privatlivsvenlig publikumsmåling; se landevejledningerne nedenfor.

Ikke kun cookies

Reglen er teknologineutral. I sine retningslinjer 2/2023 om det tekniske anvendelsesområde for artikel 5, stk. 3, vedtaget i endelig form i oktober 2024, forklarer Det Europæiske Databeskyttelsesråd (EDPB), at den også dækker sporingspixels, sporingslinks, local storage, visse former for fingerprinting og lignende teknikker. Mere i Hvad er cookies?

Sådan anvender medlemslandene den

Fordi der er tale om et direktiv, har hvert medlemsland skrevet reglen ind i sin egen lovgivning, og hvert land har sin egen tilsynsmyndighed. Et par eksempler:

Forskellene ligger i detaljerne: om cookie walls er tilladt, hvor længe et valg skal huskes, om statistik kan undtages, og hvor høje bøderne er. Danmark har f.eks. ingen undtagelse for statistik, Datatilsynet accepterer en cookie wall med et rimeligt betalingsalternativ, og i Danmark er det domstolene, ikke myndighederne, der fastsætter bøder. Se Bøder for cookies.

Hvad GDPR tilføjer

ePrivacy-direktivet definerer ikke selv samtykke; det henviser til definitionen i databeskyttelsesretten, i dag databeskyttelsesforordningen (GDPR). Samtykke til cookies skal derfor være:

• Frivilligt: et reelt valg uden pres. Adgangen til et website bør som udgangspunkt ikke afhænge af, at man accepterer sporing; se Cookie walls.
• Specifikt: pr. formål, altså ikke ét "accepter" for det hele uden mulighed for at vælge.
• Informeret: den besøgende ved, hvem der sætter hvilke cookies, til hvilket formål og hvor længe.
• Utvetydigt: givet ved en klar, aktiv handling. Tavshed, scrolling eller at fortsætte med at browse er ikke samtykke.

Den besøgende skal også kunne trække samtykket tilbage lige så nemt, som det blev givet.

Når cookies behandler personoplysninger, som sporingscookies næsten altid gør, gælder GDPR også for den behandling: du skal have et retsgrundlag, give information og respektere de registreredes rettigheder.

Planet49: den førende dom

I Planet49 (sag C-673/17, 1. oktober 2019) afgjorde EU-Domstolen, at:

• et forudmarkeret afkrydsningsfelt ikke er et gyldigt samtykke;
• kravet om samtykke gælder, uanset om oplysningerne er personoplysninger;
• informationen til brugerne skal omfatte, hvor længe cookies varer, og om tredjeparter kan få adgang til dem.

Hvad der ændrer sig, og hvad der ikke gør

ePrivacy-forordningen er trukket tilbage

I 2017 foreslog Kommissionen en ePrivacy-forordning, der skulle erstatte direktivet. Efter flere år uden enighed meddelte den tilbagetrækningen i sit arbejdsprogram for 2025, og tilbagetrækningen blev offentliggjort i EU-Tidende den 6. oktober 2025. ePrivacy-direktivet gælder derfor stadig.

Digital Omnibus er et forslag, ikke lov

Den 19. november 2025 fremlagde Kommissionen Digital Omnibus (procedure 2025/0360(COD)). Den foreslår blandt andet at flytte reglerne om adgang til enheder, der involverer personoplysninger, fra ePrivacy-direktivet ind i GDPR, at kræve en mulighed for at afvise med ét klik, at websites skal respektere et valg i mindst seks måneder, at brugere skal kunne indstille deres valg centralt (f.eks. i browseren) og at undtage visse anvendelser med lav risiko, f.eks. optælling af besøg, fra kravet om samtykke.

I oktober 2026 er det stadig et forslag: Europa-Parlamentets udvalg arbejder på deres betænkning, og Rådet har ikke vedtaget en holdning. Medlemslande og MEP’er har foreslået ændringer, så den endelige tekst kan se anderledes ud. Indtil den er vedtaget og finder anvendelse, gælder de nationale cookielove ovenfor.

Storbritannien står for sig selv

Siden brexit har Storbritannien sine egne regler: regulation 6 i PECR sammen med UK GDPR, håndhævet af ICO. Data (Use and Access) Act 2025 tilføjede nye undtagelser, f.eks. for visse former for statistik, som ikke findes i EU. Se UK cookie law (engelsk).

Sådan overholder du reglerne i hele EU

1. Scan dit website for alle cookies, pixels og scripts, også dem fra plugins og indlejret indhold.
2. Bloker alt, der kræver samtykke, indtil den besøgende siger ja.
3. Giv et reelt valg: "Accepter" og "Afvis" lige synlige på første lag og indstillinger pr. formål.
4. Informer tydeligt i banneret og i en cookiepolitik.
5. Gør det nemt at trække samtykket tilbage, f.eks. via et link på hver side.
6. Gem dokumentation for hvert samtykke.
7. Følg de strengeste regler, hvor du har besøgende, eller brug geografiske regler pr. land.
8. Brug Google Consent Mode v2, hvis du bruger Google Ads eller Analytics; se Google Consent Mode v2 forklaret.

Cookie Confirm dækker disse trin: en månedlig scanning med ubegrænsede genscanninger, scripts blokeret indtil samtykke, geografiske regler pr. land, et banner i din egen brandstil vist på den besøgendes sprog (over 29 sprog), en cookieerklæring genereret ud fra scanningen og en samtykkelog, der gemmes i 12 måneder. For 7,95 € pr. website pr. måned, med 7 dages gratis prøveperiode.

Kilder

• EUR-Lex: Direktiv 2002/58/EF (ePrivacy-direktivet)
• EUR-Lex: Direktiv 2009/136/EF
• EUR-Lex: Forordning (EU) 2016/679 (GDPR)
• EU-Domstolen: sag C-673/17, Planet49 (1. oktober 2019)
• EDPB: Retningslinjer 2/2023 om det tekniske anvendelsesområde for artikel 5, stk. 3, i ePrivacy-direktivet
• EDPB: Retningslinjer 05/2020 om samtykke
• Rådet for Den Europæiske Union: informationsnote om tilbagetrukne kommissionsforslag, EUT C/2025/5423 (oktober 2025)
• EUR-Lex: procedure 2017/0003(COD), ePrivacy-forordningen
• Europa-Kommissionen: FAQ om Digital Package (Digital Omnibus)
• Europa-Parlamentets lovgivningsobservatorium: procedure 2025/0360(COD)
• Retsinformation: Bekendtgørelse nr. 1148 af 9. december 2011 (cookiebekendtgørelsen)
• Retsinformation: Lov om elektroniske kommunikationsnet og -tjenester, LBK nr. 681 af 16. juni 2025, §§ 9 og 20
• Digitaliseringsstyrelsen: Sporingsteknologiområdet
• Datatilsynet: Cookies og lignende teknologier
• Wetten.nl: Telecommunicatiewet, artikel 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (artikel 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)