Cookieloven i Norge: ekomloven § 3-15

Hva er cookieloven?

Når folk i Norge snakker om «cookieloven», mener de § 3-15 i ekomloven (lov 13. desember 2024 nr. 76 om elektronisk kommunikasjon). Bestemmelsen trådte i kraft 1. januar 2025 og erstattet § 2-7 b i den gamle ekomloven fra 2003.

Hovedregelen er at du ikke kan lagre eller skaffe deg tilgang til opplysninger i utstyret til en bruker, for eksempel en mobil eller en datamaskin, uten at brukeren:

1. er informert om blant annet hvilke opplysninger som behandles, formålet med behandlingen og hvem som behandler opplysningene, og
2. har gitt samtykke. Samtykket skal oppfylle kravene til samtykke i personvernforordningen (GDPR).

Regelen er teknologinøytral. Den gjelder ikke bare cookies, men også lignende teknologier som local storage, sporingspiksler og fingerprinting, og den gjelder enten opplysningene er personopplysninger eller ikke.

Norge er ikke med i EU, men reglene er de samme

Norge er med i EØS, ikke i EU. Gjennom EØS-avtalen gjelder personvernforordningen (GDPR) som norsk lov (personopplysningsloven § 1), og ekomloven § 3-15 gjennomfører artikkel 5 nr. 3 i ePrivacy-direktivet, som kalles kommunikasjonsverndirektivet på norsk. Datatilsynet skriver at norsk rett med lovendringen fra 1. januar 2025 er i samsvar med EU-retten. Det betyr at EU-reglene, retningslinjene fra Personvernrådet (EDPB) og dommene fra EU-domstolen er relevante også for norske nettsteder. Mer om bakgrunnen i EUs cookieregler forklart.

Hva endret seg i 2025?

Etter den gamle § 2-7 b var det nok at standardinnstillingene i nettleseren tillot cookies. Nkom skriver at det ikke lenger er tilstrekkelig. Nå trenger du et aktivt samtykke som er gyldig etter GDPR, før du setter cookies som krever samtykke. Mange norske nettsteder som tidligere bare hadde et informasjonsbanner med «OK», må derfor gjøre om løsningen.

Hvilke cookies kan brukes uten samtykke?

§ 3-15 andre ledd har bare to unntak. Det kreves ikke samtykke for teknisk lagring eller tilgang som:

• utelukkende skal overføre kommunikasjon i et elektronisk kommunikasjonsnett (et unntak som ifølge Nkom først og fremst gjelder ekomtilbydere), eller
• er strengt nødvendig for å levere en tjeneste etter brukerens uttrykkelige forespørsel. Nkom understreker at dette bare gjelder når cookien er en forutsetning for å levere tjenesten.

Det finnes ikke noe eget norsk unntak for analyse, slik det for eksempel gjør i Nederland og Frankrike. Departementet kan gi forskrift om unntak, men ekomforskriften har ingen slike regler om informasjonskapsler. Også cookies som ikke krever samtykke, må du informere om, for eksempel i en cookieerklæring. Mer om typene i Hva er cookies?

Hvem fører tilsyn?

Datatilsynet og Nasjonal kommunikasjonsmyndighet (Nkom) har felles tilsynsmyndighet med § 3-15. Fordelingen står i forskriften om delegering av myndighet etter ekomloven:

Datatilsynet kan først fatte enkeltvedtak etter at Nkom har avgjort det som hører under Nkom. Behandler cookiene personopplysninger, slik sporings- og annonsecookies nesten alltid gjør, fører Datatilsynet i tillegg tilsyn etter personvernforordningen.

Hva krever Datatilsynet av samtykket?

I april 2025 publiserte Datatilsynet en veileder om samtykke til informasjonskapsler og andre sporingsteknologier. Datatilsynet skriver at ekomloven i praksis stiller strengere krav enn personvernforordningen. De viktigste punktene:

• Avvis i samme lag som godta. Har du en knapp for å samtykke i første lag, må det også være et alternativ for å avvise i samme lag. Det er ikke tillatt å legge avvisningen bak «Innstillinger» eller «Tilpass».
• Like synlig. Alternativet for å avvise skal ha sammenlignbar plassering og oppmerksomhet, både i størrelse, farge og plassering.
• Ingen forhåndsavkryssede bokser og ingen aksept ved passivitet. Å scrolle eller klikke seg videre er aldri samtykke. Lukker brukeren banneret uten å velge, er samtykke ikke gitt.
• Ingen mas. Har brukeren avvist, kan du ikke spørre om hen «er sikker».
• Velg per formål. Brukeren skal kunne si ja til ett formål og nei til et annet. Datatilsynet anbefaler at én cookie ikke brukes til flere formål.
• Ingen cookie wall. Tilgang til nettsiden skal ikke gjøres betinget av samtykke. Se Cookie walls.
• Viktig informasjon i selve banneret. Formål, hvilke opplysninger som behandles og hvem de deles med, skal stå der brukeren samtykker, ikke bare i en egen erklæring.
• Like lett å trekke tilbake. Datatilsynet anbefaler en tydelig lenke eller et ikon nederst på siden.
• Du har ansvaret. Også når du bruker en samtykkeplattform (CMP), er det du som er ansvarlig for at ekomloven og personvernregelverket følges.

Hva Datatilsynet har funnet så langt

I juni 2025 publiserte Datatilsynet resultatet av sitt første tilsyn med sporingsverktøy på seks norske nettsteder, blant dem nettsteder om helse, tro og hjelp til barn. Alle seks delte personopplysninger om de besøkende med tredjeparter uten rettslig grunnlag. Besøkende ble «dultet» til å samtykke, fikk villedende eller vanskelig informasjon, og noen fikk feilaktig beskjed om at de var anonyme.

Kristiansand kommune fikk et overtredelsesgebyr på 250 000 kroner for bruk av Meta Pixel og Snap Pixel på 116111.no, nettstedet til Alarmtelefonen for barn og unge. De fem andre fikk irettesettelse. Nettstedene ble undersøkt i 2024, før den nye § 3-15 trådte i kraft, og vedtakene bygger på personvernforordningen. Mer om bøtene i Bøter for cookies.

I mars 2026 holdt Nkom og Datatilsynet et felles webinar om reglene. Nkom skrev i forbindelse med webinaret at mange nettstedseiere fortsatt har et stykke å gå for å etterleve regelverket.

Slik følger du reglene

1. Kartlegg hva nettstedet ditt setter, også fra plugins og innebygd innhold. En cookieskanner finner det du ikke ser.
2. Fjern det du ikke trenger. Datatilsynet anbefaler å fjerne sporingsverktøy du ikke har kontroll over.
3. Del resten inn etter formål: strengt nødvendige, statistikk og markedsføring.
4. Vis et cookiebanner med «Godta» og «Avvis» side om side i første lag, like synlige.
5. Blokker alt som krever samtykke til den besøkende har sagt ja, og hold det blokkert etter et nei.
6. Bruker du Google Ads eller Google Analytics? Send valget videre med Google Consent Mode v2. Google krever samtykkesignaler for brukere i EØS, og Norge er med i EØS.
7. Publiser en cookieerklæring med navn, formål, varighet og hvem som står bak hver cookie.
8. Ta vare på bevis for samtykket, så du kan vise hvem som samtykket til hva, og når.
9. Gå gjennom oppsettet jevnlig. Datatilsynet minner om at tredjeparter kan endre hva de samler inn.

Cookie Confirm hjelper med steg 1 og 3 til 9: skanneren sjekker nettstedet ditt hver måned (og ellers når du vil), banneret blokkerer skript til samtykke er gitt og sender valget videre til Google Consent Mode v2, cookieerklæringen lages og holdes oppdatert automatisk, og hvert samtykke lagres i 12 måneder. Vil du helst slippe å installere selv? Den gratis Setup Service ordner det innen 24 timer etter at du har gitt tilgang.

Kilder

• Lovdata: Lov om elektronisk kommunikasjon (ekomloven), § 3-15
• Lovdata: Forskrift om delegering av myndighet etter ekomloven (FOR-2024-12-20-3413), punkt 12
• Lovdata: Ekomforskriften (FOR-2024-12-20-3410)
• Lovdata: Ekomloven 2003 (opphevet), § 2-7 b
• Lovdata: Personopplysningsloven § 1
• Nkom: Informasjonskapsler/cookies
• Nkom: Webinar om bruk av informasjonskapsler (cookies)
• Datatilsynet: Samtykke til bruk av informasjonskapsler og andre sporingsteknologier (veileder, april 2025)
• Datatilsynet: Bruk av sporingsverktøy på nettsteder og i apper
• Datatilsynet: Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder (12. juni 2025)
• Datatilsynet: Vedtak om overtredelsesgebyr, Alarmtelefonen for barn og unge (116111.no), 10. juni 2025
• Datatilsynet: Webinar om reglene for bruk av informasjonskapsler (februar 2026)
• EUR-Lex: Direktiv 2002/58/EF (ePrivacy-direktivet), artikkel 5 nr. 3
• EDPB: Retningslinjer 05/2020 om samtykke
• Google: EU-retningslinjene for brukersamtykke