Hva er en cookieerklæring?
En cookieerklæring, også kalt cookiepolicy eller cookievarsel, er siden på nettstedet ditt som forklarer hvilke cookies og lignende teknologier du bruker. I cookiebanneret ber du om samtykke; i cookieerklæringen gir du hele forklaringen.
I Norge kommer plikten fra ekomloven § 3-15, som bygger på artikkel 5 nr. 3 i ePrivacy-direktivet: før du lagrer eller leser informasjon på enheten til en besøkende, skal den besøkende være informert om blant annet hvilke opplysninger som behandles, formålet med behandlingen og hvem som behandler opplysningene. Behandler cookiene personopplysninger, gjelder i tillegg informasjonsplikten i personvernforordningen (GDPR artikkel 12 og 13). Mer om reglene i Cookieloven i Norge.
Hva Datatilsynet anbefaler
Datatilsynet fører tilsyn med om samtykket og informasjonen oppfyller personvernforordningen, og har publisert en veileder om samtykke til informasjonskapsler (april 2025). Der står det blant annet:
- Det er normalt ikke praktisk å gi fullstendig informasjon i selve banneret. Du bør ha en egen erklæring med fullstendig informasjon, og den skal være lett å finne via en tydelig lenke i banneret og for eksempel nederst på nettsiden.
- Datatilsynet anbefaler at erklæringen inneholder en kort oversikt med navn og bruksområde for hver informasjonskapsel.
- Den viktigste informasjonen skal likevel alltid stå i selve banneret der den besøkende samtykker, ikke bare i erklæringen.
- Deler du opplysninger med andre, må du si det. Har du mange mottakere, kan du ha den komplette listen i erklæringen og oppgi antall og kategorier i første lag av banneret.
- Bruk et klart og enkelt språk, og unngå vage formuleringer som «vi kan bruke opplysningene til …».
Hva må den inneholde?
- Hvilke teknologier du bruker: cookies, men også piksler, local storage og lignende teknikker.
- Formålet med hver av dem, gruppert etter kategori: strengt nødvendige, preferanser, analyse og markedsføring.
- Hvem som setter dem og hvem som får opplysningene: ditt eget nettsted eller en tredjepart som Google eller Meta. Ekomloven krever at den besøkende er informert om hvem som behandler opplysningene.
- Hvor lenge de varer. EU-domstolen slo fast i Planet49 (2019) at informasjonen må omfatte hvor lenge cookiene varer, og om tredjeparter kan få tilgang til dem.
- Hvilke cookies som krever samtykke og hvilke som ikke gjør det.
- Hvordan de besøkende endrer eller trekker tilbake valget sitt, for eksempel via en lenke nederst på hver side.
- En lenke til personvernerklæringen din hvis personopplysninger behandles, inkludert eventuelle overføringer ut av Europa. Har du ingen ennå, kan du bruke vår mal for personvernerklæring.
- Kontaktopplysninger for spørsmål.
Vanlige feil
- En utdatert liste. Hver nye plugin, piksel eller innebygde video kan legge til cookies. Står de ikke i erklæringen din, er informasjonen ufullstendig.
- En kopiert tekst som ikke passer. En erklæring fra et annet nettsted lister opp andre cookies enn dine.
- Ingen varighet eller vage formål, som «for å forbedre opplevelsen din», uten å si hva cookien gjør.
- Ingen mulighet til å endre valget. De besøkende må kunne trekke tilbake samtykket like enkelt som de ga det. Datatilsynet anbefaler en tydelig lenke eller et ikon nederst på siden.
- Analyse oppført som «nødvendig». Ekomloven har ikke noe unntak for statistikk, så analysecookies hører hjemme i en kategori som krever samtykke.
- Gjemt i vilkårene. Legg cookieerklæringen på en egen side som er lett å finne.
Malen
Nedenfor finner du en mal du kan kopiere. Fyll ut alt mellom [hakeparenteser] for ditt eget nettsted, og sjekk med en cookieskanner hvilke cookies nettstedet ditt faktisk setter. Usikker på om teksten passer til din situasjon? La en advokat se over den.
Vil du helst slippe å vedlikeholde den selv? Cookie Confirm lager cookieerklæringen din automatisk ut fra det skanneren finner på nettstedet ditt, og oppdaterer den når cookiene endres.
Kilder
- ePrivacy-direktivet 2002/58/EF (konsolidert), artikkel 5 nr. 3
- EU-domstolen: sak C-673/17, Planet49
- GDPR, artikkel 7 og 13
- Lovdata: Ekomloven § 3-15
- Datatilsynet: Gi klar og forståelig informasjon i samtykkeboksen
- Datatilsynet: Suppler samtykkebanneret med fullstendig informasjon
- Datatilsynet: Gjør det enkelt å trekke tilbake samtykke og informer om dette