Hvem kan ilegge gebyr for cookies?
I Norge har du å gjøre med to lover og to tilsynsmyndigheter:
- Ekomloven § 3-15, den norske cookieloven, bestemmer når du kan lagre eller lese informasjon på enheten til en besøkende. Myndigheten er delt: Nkom vurderer om en teknisk løsning er omfattet av regelen og om unntakene gjelder, mens Datatilsynet vurderer om samtykket oppfyller kravene i personvernforordningen, fører tilsyn med samtykkekravet og kan ilegge tvangsmulkt og overtredelsesgebyr. Datatilsynet kan først fatte vedtak etter at Nkoms del er avgjort.
- Personvernforordningen (GDPR) gjelder som norsk lov gjennom EØS-avtalen og personopplysningsloven. Behandler cookiene personopplysninger, slik sporings- og annonsecookies nesten alltid gjør, fører Datatilsynet tilsyn etter forordningen.
Vedtak fra Datatilsynet kan påklages til Personvernnemnda. Avgjørelser fra Nkom etter § 3-15 kan påklages til Klagenemnda for elektronisk kommunikasjon.
Cookieregelen i ekomloven er ikke en del av GDPR, og derfor gjelder ikke GDPRs ettstedsmekanisme (one-stop-shop) for den. I EU har franske CNIL bøtelagt selskaper med europeisk hovedkontor i Irland for cookies satt på enhetene til franske brukere, og det franske Conseil d'État opprettholdt CNILs vedtak fra 2020 mot Google i januar 2022.
Hvor høyt kan gebyret bli?
| Lov | Hvem | Maksimum |
|---|---|---|
| Personvernforordningen artikkel 83 nr. 5, blant annet artikkel 5, 6 og 7 (prinsipper, rettslig grunnlag, vilkår for samtykke) | Datatilsynet | 20 millioner euro eller, for et foretak, 4 % av den samlede globale årsomsetningen i foregående regnskapsår, avhengig av hva som er høyest |
| Personvernforordningen artikkel 83 nr. 4, andre plikter | Datatilsynet | 10 millioner euro eller 2 % av den globale årsomsetningen |
| Ekomloven § 15-12 første ledd bokstav a, brudd på § 3-15 første ledd, jf. ekomforskriften § 11-3 | Datatilsynet (etter delegering) | Inntil 5 % av foretakets omsetning, det vil si samlede salgsinntekter siste regnskapsår |
Dette er maksimumsbeløp. Etter ekomloven § 15-13 legges det særlig vekt på hvor grovt og langvarig bruddet var, skyld og foretakets omsetning. Ekomforskriften § 11-3 nevner i tillegg blant annet gevinsten foretaket hadde, om det kunne ha forebygget bruddet, og om det har bistått myndigheten. Etter personvernforordningen bruker Datatilsynet kriteriene i artikkel 83 nr. 2, som bruddets art, alvor og varighet, hvor mange som er berørt og hva virksomheten gjorde for å begrense skaden.
Et gebyr er ikke den eneste reaksjonen. Datatilsynet kan også gi pålegg om retting, tvangsmulkt for hver dag et pålegg ikke er fulgt, eller en irettesettelse ved mindre alvorlige brudd. Personopplysningsloven § 26 gir Datatilsynet hjemmel til å ilegge også offentlige myndigheter og organer overtredelsesgebyr.
Hvilke saker har Datatilsynet avgjort?
Ordentlige cookiebøter er det få av i Norge så langt. Vi har ikke funnet noe vedtak om overtredelsesgebyr etter den nye ekomloven § 3-15, som gjelder fra 1. januar 2025. Sakene nedenfor er avgjort etter personvernforordningen.
| Vedtak | Virksomhet | Reaksjon | Hva som gikk galt |
|---|---|---|---|
| 26. juli 2023 | Telenor ASA (telenor.com) | Irettesettelse | Bruk av Google Analytics overførte personopplysninger til USA uten gyldig grunnlag (før Data Privacy Framework) |
| 10. juni 2025 | Kristiansand kommune (Alarmtelefonen for barn og unge, 116111.no) | Overtredelsesgebyr på 250 000 kroner | Meta Pixel og Snap Pixel delte opplysninger om barn med tredjeparter uten rettslig grunnlag, og informasjonsplikten ble brutt |
| Juni 2025 | Apotekfordeg AS, Det Norske Bibelselskap, Dr.Dropin AS, Kirkens Bymisjon (ifengsel.no), Norsk Helseinformatikk AS | Irettesettelse | Personopplysninger om besøkende ble delt med tredjeparter gjennom sporingspiksler uten rettslig grunnlag |
Sporingspikslene. Dette var Datatilsynets første tilsyn av denne typen. Nettstedene ble valgt fordi de behandler opplysninger som kan avsløre noe om de besøkende, som helse, tro og hjelp til barn. Alle seks delte personopplysninger med tredjeparter uten rettslig grunnlag. Datatilsynet fant også at besøkende ble «dultet» til å samtykke, fikk villedende eller vanskelig informasjon, og i noen tilfeller feilaktig ble fortalt at de var anonyme. Gebyret til Kristiansand kommune ble lavere enn varslet fordi kommunen samarbeidet godt og satte i verk tiltak.
Grindr. En sak som ikke gjelder cookies, men samtykke til deling med annonsepartnere: Etter en klage fra Forbrukerrådet ila Datatilsynet i desember 2021 Grindr et gebyr på 65 millioner kroner for å ha delt personopplysninger med annonsepartnere uten gyldig samtykke. Personvernnemnda, Oslo tingrett og 21. oktober 2025 også Borgarting lagmannsrett opprettholdt gebyret (dommen kunne ankes til Høyesterett). Saken viser hvordan Datatilsynet vurderer samtykke til atferdsbasert annonsering.
De største cookiebøtene i Europa
Franske CNIL har vært den klart mest aktive tilsynsmyndigheten når det gjelder cookies. Et utvalg, alle hentet fra tilsynsmyndighetenes egne publikasjoner:
| Vedtaksdato | Tilsynsmyndighet | Selskap | Bot | Hva som gikk galt |
|---|---|---|---|---|
| 31. desember 2021 | CNIL (Frankrike) | Google LLC og Google Ireland | 150 millioner euro | Å avvise cookies på google.fr og youtube.com krevde flere klikk enn å godta |
| 31. desember 2021 | CNIL (Frankrike) | Facebook Ireland (nå Meta Platforms Ireland) | 60 millioner euro | Å avvise cookies på facebook.com var ikke like enkelt som å godta |
| Juli 2024 | AP (Nederland) | AS Watson, selskapet bak Kruidvat.nl | 600 000 euro, redusert til 50 000 euro etter klage (mai 2025) | Sporingscookies uten gyldig samtykke, med forhåndsavkryssede bokser |
| 1. september 2025 | CNIL (Frankrike) | Google LLC og Google Ireland | 325 millioner euro | Annonser i Gmail uten samtykke, og cookies satt ved opprettelse av konto uten gyldig samtykke |
| 1. september 2025 | CNIL (Frankrike) | Infinite Styles Services (Shein) | 150 millioner euro | Annonsecookies satt før noe valg var tatt, ufullstendige bannere, «Avvis alle» ble ikke respektert |
CNILs liste over sanksjoner viser også mange mindre bøter, på mellom 2 000 og 20 000 euro, mot nettbutikker, utgivere og til og med en kommune. Feilene går igjen: cookies før samtykke, en avvisning som er vanskeligere enn å godta, og et nei som ikke blir respektert. Det er de samme punktene som står i Datatilsynets veileder.
Andre risikoer
Gebyr er ikke den eneste risikoen. Etter artikkel 82 i personvernforordningen kan folk kreve erstatning for materiell eller immateriell skade, og personopplysningsloven § 30 åpner for oppreisning for skade av ikke-økonomisk art. I Österreichische Post (C-300/21, 4. mai 2023) slo EU-domstolen fast at et brudd alene ikke automatisk betyr at det foreligger skade, men at det ikke finnes noen terskel for hvor alvorlig skaden må være.
Klager er også en reell risiko. Grindr-saken startet med en klage fra Forbrukerrådet, og i 2026 har Forbrukerrådet og noyb klaget inn Schibsteds løsning for samtykke eller betaling. Mer om det i Cookie walls.
Slik holder du deg unna problemer
- Kartlegg hva nettstedet ditt setter, også fra plugins, piksler og innebygd innhold.
- Ingen cookies før samtykke. Blokker hvert skript som krever samtykke, til den besøkende sier ja, og hold det blokkert etter et nei.
- Like enkelt å avvise som å godta. Plasser «Avvis» i første lag, like synlig som «Godta». Det var feilen i flere av de store sakene i Europa.
- Tydelig informasjon. Forklar formålene og navngi tredjepartene, i banneret og i en cookieerklæring. Ikke si at besøkende er anonyme hvis de ikke er det.
- Vær ekstra forsiktig med sensitive tema. Handler nettstedet om helse, tro eller barn, anbefaler Datatilsynet sterkt å stanse verktøy som deler data med tredjeparter.
- Ikke tving frem samtykke. Se Cookie walls.
- Ta vare på bevis for hva hver besøkende valgte, og når.
Bruker du Google Analytics eller Google Ads, les også Google Analytics og GDPR og Google Consent Mode v2 forklart.
Cookie Confirm tar seg av de fleste av disse stegene: skanneren sjekker nettstedet ditt hver måned (pluss ubegrenset ny skanning), skript forblir blokkert til samtykke er gitt, godta og avvis står side om side, cookieerklæringen lages ut fra skanningen, og hvert samtykke logges i 12 måneder. For €7,95 per nettsted per måned, med 7 dagers gratis prøveperiode.
Kilder
- Lovdata: Ekomloven §§ 3-15, 15-11, 15-12 og 15-13
- Lovdata: Ekomforskriften § 11-3 (utmåling av overtredelsesgebyret)
- Lovdata: Forskrift om delegering av myndighet etter ekomloven, punkt 12
- Lovdata: Personopplysningsloven §§ 1, 26, 29 og 30
- EUR-Lex: Forordning (EU) 2016/679 (GDPR), artikkel 82 og 83
- Datatilsynet: Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder (12. juni 2025)
- Datatilsynet: Vedtak om overtredelsesgebyr, Alarmtelefonen for barn og unge (116111.no), 10. juni 2025
- Datatilsynet: Vedtak i Google Analytics-saken (27. juli 2023)
- Datatilsynet: Oslo tingrett opprettholder boten mot Grindr (1. juli 2024)
- Datatilsynet: The Court of Appeal upholds the fine against Grindr (21. oktober 2025)
- Datatilsynet: Bruk av sporingsverktøy på nettsteder og i apper
- Datatilsynet: Datatilsynet har mottatt klage mot Schibsted (juni 2026)
- CNIL: Sanksjonene CNIL har ilagt
- CNIL: Conseil d'État bekrefter sanksjonen mot Google fra 2020
- CNIL: Avslutning av pålegget mot Facebook
- CNIL: Google får bot på 325 millioner euro (september 2025)
- CNIL: Shein får bot på 150 millioner euro (september 2025)
- CNIL: Sanksjoner og korrigerende tiltak i 2025
- Autoriteit Persoonsgegevens: Bot på 600 000 euro for sporingscookies på Kruidvat.nl (16. juli 2024, på nederlandsk)
- Autoriteit Persoonsgegevens: Vedtak i klagesaken fra AS Watson (Kruidvat), 27. mai 2025, på nederlandsk
- EU-domstolen: sak C-300/21, Österreichische Post (4. mai 2023)