Cookie Confirm

Bøder for cookies: hvad risikerer du efter GDPR og cookiebekendtgørelsen?

Hvem der kan straffe dig for cookies i Danmark, hvordan bøder fastsættes, når det er domstolene og ikke myndighederne, der giver dem, hvad der faktisk er sket i danske sager, og hvilke andre risici du løber, f.eks. krav om erstatning.

Sidst tjekket 16 oktober 2026

Kort fortalt

  • To myndigheder: Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen, Datatilsynet med GDPR.
  • I Danmark kan myndighederne ikke selv udstede bøder. De politianmelder, og det er domstolene, der fastsætter bøden.
  • Vi har ikke fundet nogen bøde for cookies i Danmark. Sagerne er indtil nu endt med høringer, påbud og kritik.
  • Retter du ikke fejlene efter et påbud, kan sagen ende med en politianmeldelse og en bøde.

Hvem kan straffe dig for cookies?

I Danmark har du med to sæt regler og to myndigheder at gøre:

  • Cookiebekendtgørelsen (bekendtgørelse nr. 1148 af 9. december 2011) bestemmer, hvornår du må sætte eller læse cookies og lignende teknologier. Digitaliseringsstyrelsen fører tilsyn med den. Læs mere i Cookiereglerne i Danmark.
  • GDPR og databeskyttelsesloven gælder, så snart du behandler personoplysninger med cookies, og det gør sporings- og marketingcookies næsten altid. Datatilsynet fører tilsyn med dem.

Danmark adskiller sig fra de fleste andre EU-lande på ét vigtigt punkt: myndighederne kan ikke selv udstede bøder. Datatilsynet kan politianmelde en virksomhed og indstille til en bøde, og Digitaliseringsstyrelsen kan politianmelde en overtrædelse af cookiebekendtgørelsen. Derefter er det politiet og anklagemyndigheden, der rejser sagen, og domstolene, der fastsætter bøden. GDPR tillader denne model for Danmark i artikel 83, stk. 9.

Er overtrædelsen så lille, at den ikke vil føre til mere end en bøde, kan Datatilsynet efter databeskyttelseslovens § 42 også give et bødeforelæg. Vedtager virksomheden bøden, slipper den for en retssag.

Hvor høj kan en bøde blive?

Regel Myndighed Straf
Cookiebekendtgørelsens § 3 (information og samtykke) Digitaliseringsstyrelsen Bøde (§ 5). Bekendtgørelsen nævner intet maksimum
GDPR artikel 5-7 (principper og betingelser for samtykke), jf. databeskyttelseslovens § 41, stk. 1, nr. 4 Datatilsynet Bøde eller fængsel indtil 6 måneder. GDPR’s ramme er op til 20 mio. € eller 4 % af den samlede globale årsomsætning, alt efter hvad der er højest
Andre GDPR-forpligtelser, f.eks. artikel 25-39, jf. § 41, stk. 1, nr. 1 Datatilsynet Bøde eller fængsel indtil 6 måneder. GDPR’s ramme er op til 10 mio. € eller 2 %

Et ugyldigt samtykke til cookies hører under det højeste niveau i GDPR. Selskaber kan straffes som juridiske personer, og forældelsesfristen er fem år (databeskyttelseslovens § 41, stk. 6 og 7).

Maksimumsbeløbene siger ikke meget om, hvad et almindeligt website risikerer. Domstolene skal følge kriterierne i artikel 83, stk. 2, i GDPR (databeskyttelseslovens § 41, stk. 3): overtrædelsens karakter, grovhed og varighed, om den var forsætlig eller uagtsom, antallet af berørte personer og virksomhedens størrelse. Datatilsynet har sammen med Rigspolitiet og Rigsadvokaten udarbejdet en bødevejledning for virksomheder, og EDPB har sine egne retningslinjer for beregning af bøder.

Hvor højt de danske domstole lægger niveauet, ses af to domme om andre GDPR-overtrædelser end cookies: Østre Landsret gav den 20. september 2023 hotelkæden Arp-Hansen en bøde på 1 mio. kr. for ikke at slette kundeoplysninger, og Vestre Landsret gav den 2. september 2025 ILVA en bøde på 1,5 mio. kr. I ILVA-sagen blev bøden beregnet ud fra hele koncernens omsætning, efter at EU-Domstolen havde fastslået, at "virksomhed" i artikel 83 skal forstås sådan.

Er der givet bøder for cookies i Danmark?

Nej, ikke så vidt vi har kunnet finde. Ingen af sagerne på Datatilsynets oversigt over bødeindstillinger siden 2018 handler om cookies, og Digitaliseringsstyrelsen har ikke offentliggjort nogen politianmeldelse for overtrædelse af cookiebekendtgørelsen. Sagerne er indtil nu endt med høringer, påbud og kritik:

Myndighed Sag Dato Resultat Hvad gik galt
Datatilsynet DMI (dmi.dk) 11. februar 2020 Alvorlig kritik Personoplysninger videregivet til Google til annoncer uden gyldigt samtykke
Datatilsynet DGU Erhverv (golf.dk) 13. november 2020 Alvorlig kritik Ingen mulighed for at afvise; fortsat brug blev regnet som samtykke
Datatilsynet Den Blå Avis (dba.dk) 26. januar 2022 Alvorlig kritik Ugyldigt samtykke; statistik med Google Analytics kunne ikke bygge på legitim interesse
Datatilsynet JP/Politiken (eb.dk) 27. oktober 2022 Alvorlig kritik Samtykket var ikke informeret, fordi et formål først stod i andet lag
Datatilsynet Leadwise (letfinans.dk) 23. december 2022 Alvorlig kritik Cookies fra bl.a. Google og Facebook sat før samtykke
Digitaliseringsstyrelsen Google (google.dk) og Meta (Facebook) 30. oktober 2023 Påbud Intet samtykke pr. formål, svært at trække samtykket tilbage, mangelfuld information om cookies
Datatilsynet Berlingske (berlingske.dk) 14. februar 2024 Påbud, efterlevet januar 2025 Indlejret indhold kun tilgængeligt mod samtykke, uden rimeligt alternativ

Datatilsynet har også givet påbud til Jysk Fynske Medier og GulogGratis i sager om cookie walls (februar 2023). Se Cookie walls.

Hvordan håndhæves reglerne i praksis?

Digitaliseringsstyrelsen fører tilsyn i temaer, der vælges ud fra en risikovurdering, og på baggrund af klager. Processen er fast:

  1. Høringsbrev med en liste over manglerne og som udgangspunkt 14 dages frist til bemærkninger.
  2. Påbud, hvis manglerne ikke er rettet, med fire ugers frist.
  3. Rykker, hvis styrelsen ved et nyt besøg ser, at manglerne er der endnu.
  4. Politianmeldelse med henblik på bøde, afhængigt af overtrædelsens karakter.

I 2023 endte 67 af 200 høringer i tilsynet med websites’ brug af pixels med et påbud. I 2025 førte styrelsen tilsyn med 146 tjenester; 11,6 % endte med et påbud, og efter tilsynet overholdt alle tjenester reglerne.

Datatilsynet behandler klager og tager sager op af egen drift. "Danske hjemmesiders sporing af borgere" er et af tilsynets fokusområder i 2026. Et påbud fra Datatilsynet er ikke bare en henstilling: undlader du at efterkomme det, er det i sig selv strafbart efter databeskyttelseslovens § 41, stk. 2, nr. 5.

Andre risici: erstatning

Ud over en bøde kan besøgende kræve erstatning. Efter artikel 82 i GDPR har enhver, der har lidt materiel eller immateriel skade som følge af en overtrædelse, ret til erstatning. I Österreichische Post (C-300/21, 4. maj 2023) fastslog EU-Domstolen, at en overtrædelse alene ikke er nok: der skal være en faktisk skade og en forbindelse til overtrædelsen, men der må ikke stilles krav om en vis grovhed.

I Danmark er det domstolene, der behandler krav om erstatning efter GDPR. Højesteret tilkendte den 24. august 2026 en kvinde 30.000 kr. i godtgørelse for immateriel skade i en sag om videregivelse af helbredsoplysninger. Sagen handlede ikke om cookies, men viser, at danske domstole tilkender godtgørelse, når skaden er påvist.

I andre EU-lande

Har du besøgende fra andre lande, gælder deres cookieregler også. Fordi cookiereglen ikke er en del af GDPR, gælder GDPR’s one-stop-shop ikke for den: hver national myndighed kan gribe ind for sit eget land. Den franske CNIL er langt den mest aktive og har bl.a. givet Google 325 mio. € og Shein 150 mio. € i bøder (september 2025), bl.a. for cookies sat uden gyldigt samtykke. I Holland gav Autoriteit Persoonsgegevens Kruidvat en bøde på 600.000 €, der efter indsigelse blev nedsat til 50.000 €. Mere om reglerne i de enkelte lande i EU’s cookielov forklaret.

Sådan undgår du problemer

  1. Find ud af, hvilke cookies dit website sætter, også dem fra plugins og indlejret indhold som videoer og kort.
  2. Bloker alt, der ikke er teknisk nødvendigt, indtil den besøgende har sagt ja. Det gælder også statistik.
  3. Placer "Accepter" og "Afvis" lige synligt på forsiden af banneret, og forudafkryds ingenting.
  4. Giv samtykke pr. formål og en fuld oversigt med formål, udbyder og udløbsdato på dansk, f.eks. i en cookiepolitik.
  5. Gør det let at trække samtykket tilbage fra alle sider.
  6. Gem dokumentation for, hvem der gav samtykke til hvad og hvornår.
  7. Svar hurtigt på et høringsbrev. De fleste sager hos Digitaliseringsstyrelsen lukkes, når fejlene er rettet.

Bruger du Google Analytics eller Google Ads, så læs også Google Analytics og GDPR og Google Consent Mode v2 forklaret.

Cookie Confirm klarer de fleste af disse trin: scanneren tjekker dit website hver måned (plus ubegrænsede genscanninger), scripts forbliver blokeret indtil samtykke, accepter og afvis står side om side i din egen brandstil, cookiepolitikken genereres ud fra scanningen, og hvert samtykke logges i 12 måneder og kan eksporteres. For 7,95 € pr. website pr. måned, med 7 dages gratis prøveperiode.

Kilder

Ofte stillede spørgsmål

Hvor stor er bøden for et ulovligt cookiebanner?

Der er ikke noget fast beløb. Cookiebekendtgørelsen siger blot, at en overtrædelse af § 3 straffes med bøde. Behandler du personoplysninger uden gyldigt samtykke, er det også en overtrædelse af GDPR, hvor rammen er op til 20 mio. € eller 4 % af den samlede globale årsomsætning. I Danmark fastsættes bøden af domstolene. Vi har ikke fundet nogen dansk bøde for cookies indtil nu.

Får jeg en bøde med det samme?

Normalt ikke. Digitaliseringsstyrelsen sender først et høringsbrev, derefter et påbud med fire ugers frist og en rykker. Først hvis fejlene stadig ikke er rettet, kan styrelsen politianmelde virksomheden med henblik på bøde. Datatilsynet starter som regel også med kritik eller et påbud.

Hvem fører tilsyn med cookies i Danmark?

Digitaliseringsstyrelsen fører tilsyn med cookiebekendtgørelsen, altså selve kravet om information og samtykke. Datatilsynet fører tilsyn med GDPR, som gælder, når du behandler personoplysninger med cookies. Indtil 15. december 2022 lå cookietilsynet hos Erhvervsstyrelsen.

Kan besøgende kræve erstatning?

Ja, efter artikel 82 i GDPR, men kun hvis de har lidt en skade. EU-Domstolen har fastslået, at en overtrædelse alene ikke er nok. Det er domstolene, ikke Datatilsynet, der behandler krav om erstatning i Danmark.

Hvordan undgår jeg en sag?

Sæt ingen cookies, der kræver samtykke, før den besøgende har sagt ja, gør "Afvis" lige så synlig som "Accepter", og forudafkryds ingenting. Svar hurtigt, hvis du får et høringsbrev. Cookie Confirm blokerer scripts indtil samtykke, scanner dit website hver måned og gemmer hvert samtykke i 12 måneder, så du kan dokumentere, hvad du gør.

Denne vejledning er generel information, ikke juridisk rådgivning. Vi tjekker den jævnligt, men love og vejledninger ændrer sig. I tvivl om din situation? Spørg en advokat.

Læs videre

Flere vejledninger

Alle vejledninger →

De første 7 dage helt gratis

Opret en gratis konto, og se, om Cookie Confirm passer til dig. Live på 5 minutter.

  • Intet betalingskort nødvendigt
  • Derefter 7,95 € pr. måned
  • Plug & play-installation
Start min gratis prøveperiode

4,9/5 5.000+ websites