EUs cookieregler forklart: ePrivacy-direktivet og GDPR

Hvor EUs cookieregel kommer fra

Regelen de fleste kaller «EUs cookielov», er artikkel 5 nr. 3 i ePrivacy-direktivet (direktiv 2002/58/EF). Etter endringen ved direktiv 2009/136/EF sier den at det bare er tillatt å lagre informasjon på enheten til en bruker, eller å få tilgang til informasjon som allerede er lagret der, hvis brukeren har gitt samtykke etter å ha fått tydelig og fullstendig informasjon. Medlemslandene måtte anvende den endrede regelen fra 25. mai 2011.

Det finnes to unntak. Samtykke kreves ikke for lagring eller tilgang som:

• bare brukes til å gjennomføre overføringen av en kommunikasjon over et nett, eller
• er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om, for eksempel en handlekurv, en innlogging eller lagring av den besøkendes cookievalg.

Alt annet, som analyse, annonsering, retargeting og piksler fra sosiale medier, krever i prinsippet samtykke. Noen nasjonale tilsynsmyndigheter tillater snevre unntak for personvernvennlig publikumsmåling; se landveiledningene nedenfor. Norsk lov har ikke noe slikt unntak.

Ikke bare cookies

Regelen er teknologinøytral. I retningslinjer 2/2023 om det tekniske virkeområdet til artikkel 5 nr. 3, som ble vedtatt i endelig form i oktober 2024, forklarer Personvernrådet (EDPB) at den også omfatter sporingspiksler, sporingslenker, local storage, visse former for fingerprinting og lignende teknikker. Mer om dette i Hva er cookies?

Slik anvender medlemslandene regelen

Fordi det er et direktiv, har hvert medlemsland skrevet regelen inn i sin egen lov, og hvert land har sin egen tilsynsmyndighet. Noen eksempler:

Norge og EØS

Norge er ikke med i EU, men i EØS. Gjennom EØS-avtalen gjelder personvernforordningen som norsk lov (personopplysningsloven § 1), og cookieregelen i ePrivacy-direktivet er gjennomført i ekomloven § 3-15, som trådte i kraft 1. januar 2025. Den erstattet § 2-7 b i den gamle ekomloven, der det var nok at standardinnstillingene i nettleseren tillot cookies. Nå må samtykket oppfylle kravene i personvernforordningen, og Datatilsynet skriver at norsk rett med dette er i samsvar med EU-retten.

Tilsynet er delt: Nkom vurderer om en teknisk løsning er omfattet og om unntakene gjelder, og Datatilsynet vurderer om samtykket oppfyller personvernforordningen og kan ilegge gebyr. Norsk lov har ikke noe eget unntak for analyse. Datatilsynet deltar i Personvernrådet (EDPB), og var blant tilsynsmyndighetene som ba EDPB om en uttalelse om «consent or pay» i 2024.

Forskjellene ligger i detaljene: om cookie walls er tillatt, hvor lenge et valg bør huskes, om analyse kan unntas, og hvor høye bøtene er. Veiledningen vår om bøter for cookies sammenligner håndhevelsen.

Hva GDPR legger til

ePrivacy-direktivet definerer ikke samtykke selv; det viser til definisjonen i personvernlovgivningen, som i dag er personvernforordningen (GDPR). Samtykke til cookies må derfor være:

• Frivillig: et reelt valg, uten press. Tilgang til et nettsted bør som hovedregel ikke avhenge av at man godtar sporing; se Cookie walls.
• Spesifikt: per formål, altså ikke ett «godta» for alt uten mulighet til å velge.
• Informert: den besøkende vet hvem som setter hvilke cookies, til hvilket formål og hvor lenge.
• Utvetydig: gitt gjennom en tydelig, aktiv handling. Stillhet, scrolling eller å fortsette å surfe er ikke samtykke.

Den besøkende må også kunne trekke tilbake samtykket like enkelt som det ble gitt.

Når cookies behandler personopplysninger, slik sporingscookies nesten alltid gjør, gjelder GDPR også for den behandlingen: du trenger et rettslig grunnlag, må gi informasjon og må respektere de registrertes rettigheter.

Planet49: den viktigste dommen

I Planet49 (sak C-673/17, 1. oktober 2019) slo EU-domstolen fast at:

• en forhåndsavkrysset boks ikke er gyldig samtykke;
• kravet om samtykke gjelder enten informasjonen er en personopplysning eller ikke;
• informasjonen til brukerne må omfatte hvor lenge cookiene varer og om tredjeparter kan få tilgang til dem.

Hva som endres, og hva som ikke gjør det

ePrivacy-forordningen er trukket tilbake

I 2017 foreslo Kommisjonen en ePrivacy-forordning som skulle erstatte direktivet. Etter mange år uten enighet varslet den tilbaketrekkingen i arbeidsprogrammet for 2025, og tilbaketrekkingen ble kunngjort i EU-tidende 6. oktober 2025. ePrivacy-direktivet gjelder derfor fortsatt.

Digital Omnibus er et forslag, ikke lov

19. november 2025 la Kommisjonen frem Digital Omnibus (prosedyre 2025/0360(COD)). Forslaget går blant annet ut på å flytte reglene om tilgang til enheter som involverer personopplysninger, fra ePrivacy-direktivet inn i GDPR, å kreve et valg om å avvise med ett klikk, å la nettsteder respektere et valg i minst seks måneder, å la brukere angi valgene sine sentralt (for eksempel i nettleseren) og å unnta visse bruksområder med lav risiko, som telling av besøk, fra samtykke.

Per oktober 2026 er dette fortsatt et forslag: komiteene i Europaparlamentet arbeider med rapporten sin, og Rådet har ikke vedtatt noe standpunkt. Medlemsland og parlamentsmedlemmer har foreslått endringer, så den endelige teksten kan se annerledes ut. Til forslaget er vedtatt og trer i kraft, gjelder de nasjonale cookielovene ovenfor. For Norge kommer et ekstra steg: nye EU-regler må tas inn i EØS-avtalen ved en beslutning i EØS-komiteen før de gjelder her.

Storbritannia står for seg selv

Siden brexit har Storbritannia hatt egne regler: regel 6 i PECR sammen med UK GDPR, håndhevet av ICO. Data (Use and Access) Act 2025 innførte nye unntak, for eksempel for noe analyse, som ikke finnes i EU. Se cookieregler i Storbritannia (på engelsk).

Slik følger du reglene i hele EU

1. Skann nettstedet ditt for hver cookie, piksel og hvert skript, også de som kommer fra plugins og innebygd innhold.
2. Blokker alt som krever samtykke, til den besøkende sier ja.
3. Gi et reelt valg: «Godta» og «Avvis» like synlige i første lag, og innstillinger per formål.
4. Informer tydelig i banneret og i en cookieerklæring.
5. Gjør det enkelt å trekke tilbake samtykket, for eksempel med en lenke på hver side.
6. Ta vare på bevis for hvert samtykke.
7. Følg de strengeste reglene der du har besøkende, eller bruk geografiske regler per land.
8. Bruk Google Consent Mode v2 hvis du bruker Google Ads eller Analytics; se Google Consent Mode v2 forklart.

Cookie Confirm dekker disse stegene: månedlig skanning med ubegrenset ny skanning, skript som blokkeres til samtykke er gitt, geografiske regler per land, et banner i din egen profil som vises på den besøkendes språk (over 29 språk), en cookieerklæring som lages ut fra skanningen, og en samtykkelogg som lagres i 12 måneder. For €7,95 per nettsted per måned, med 7 dagers gratis prøveperiode.

Kilder

• EUR-Lex: Direktiv 2002/58/EF (ePrivacy-direktivet)
• EUR-Lex: Direktiv 2009/136/EF
• EUR-Lex: Forordning (EU) 2016/679 (GDPR)
• EU-domstolen: sak C-673/17, Planet49 (1. oktober 2019)
• EDPB: Retningslinjer 2/2023 om det tekniske virkeområdet til artikkel 5 nr. 3 i ePrivacy-direktivet
• EDPB: Retningslinjer 05/2020 om samtykke
• Rådet for Den europeiske union: informasjonsnotat om tilbaketrukne kommisjonsforslag, EUT C/2025/5423 (oktober 2025)
• EUR-Lex: prosedyre 2017/0003(COD), ePrivacy-forordningen
• EU-kommisjonen: spørsmål og svar om Digital Package (Digital Omnibus)
• Europaparlamentets Legislative Observatory: prosedyre 2025/0360(COD)
• Wetten.nl: Telecommunicatiewet, artikkel 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (artikkel 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)
• Lovdata: Ekomloven § 3-15
• Lovdata: Forskrift om delegering av myndighet etter ekomloven, punkt 12
• Lovdata: Personopplysningsloven § 1
• Nkom: Informasjonskapsler/cookies
• Datatilsynet: Samtykke til bruk av informasjonskapsler og andre sporingsteknologier
• Datatilsynet: Request for an EDPB opinion on «consent or pay» (26. januar 2024)
• Regjeringen: Slik blir EØS-regelverk til