Hva er en cookie?
En cookie er en liten tekstfil som et nettsted lagrer i nettleseren til den besøkende. Neste gang nettleseren laster en side fra det nettstedet, sender den cookien tilbake. Slik kan et nettsted huske ting: at du er logget inn, hva som ligger i handlekurven din, hvilket språk du har valgt, eller at du har vært innom før.
Cookies er i seg selv verken gode eller dårlige. Det som teller, er hva de brukes til. En cookie som husker handlekurven din, er noe du trenger; en cookie som følger deg over hundrevis av nettsteder for å bygge en annonseprofil, er noe du først må si ja til.
Cookieregelen i korte trekk
I Norge står regelen i § 3-15 i ekomloven (lov om elektronisk kommunikasjon), som gjelder fra 1. januar 2025. Den gjennomfører artikkel 5 nr. 3 i ePrivacy-direktivet, som Norge er bundet av gjennom EØS-avtalen. Grunnregelen: du kan bare lagre opplysninger på enheten til en besøkende, eller lese dem derfra, hvis den besøkende er informert om blant annet hvilke opplysninger som behandles, formålet og hvem som behandler dem, og har gitt samtykke.
Det finnes to unntak. Det kreves ikke samtykke for teknisk lagring eller tilgang som utelukkende skal overføre kommunikasjon i et elektronisk kommunikasjonsnett, eller som er strengt nødvendig for å levere en tjeneste den besøkende uttrykkelig har bedt om. Der samtykke kreves, skal det etter loven oppfylle kravene i personvernforordningen (GDPR): frivillig, spesifikt, informert, utvetydig og gitt gjennom en aktiv handling. Det holder ikke lenger at nettleseren tillater cookies. EU-domstolen slo fast i Planet49 (2019) at en forhåndsavkrysset boks ikke er gyldig samtykke, enten cookien inneholder personopplysninger eller ikke. Mer om de norske reglene i Cookieloven i Norge.
Typer cookies
Etter hvem som setter dem
- Førstepartscookies settes av nettstedet du besøker, under nettstedets eget domene.
- Tredjepartscookies settes av et annet domene, for eksempel et annonsenettverk, en videoplattform eller en sosiale medier-widget som er bygget inn på siden.
Etter hvor lenge de varer
- Øktcookies forsvinner når du lukker nettleseren.
- Varige cookies blir liggende til en fastsatt utløpsdato, fra minutter til år. Google Analytics-cookien _ga varer for eksempel to år som standard.
Etter formål
Det er denne inndelingen som avgjør om du trenger samtykke.
| Formål | Eksempler | Samtykke nødvendig i Norge? |
|---|---|---|
| Strengt nødvendige | Handlekurv, innloggingsøkt, lastbalansering, sikkerhet, selve cookievalget | Nei |
| Preferanser | Språk, region, mørk modus | Nei hvis de bare husker et valg den besøkende selv har tatt, for eksempel et språkbytte (Artikkel 29-gruppen, uttalelse 04/2012); ellers ofte ja |
| Statistikk / analyse | Antall besøkende, sidevisninger, Google Analytics | Ja |
| Markedsføring / sporing | Meta Pixel, Google Ads, LinkedIn Insight Tag, retargeting | Ja |
| Innebygd innhold | YouTube-videoer, kart, innlegg fra sosiale medier | Som regel ja |
Ekomloven har ikke noe eget unntak for analyse, slik noen EU-land har (franske CNIL og de nederlandske reglene tillater det for eksempel på strenge vilkår). Unntaket for det som er strengt nødvendig, gjelder ifølge Nkom bare når cookien er en forutsetning for å levere tjenesten. Om en bestemt cookie faller inn under unntaket, er det Nkom som vurderer. Mer om analyse i Google Analytics og GDPR.
Ikke bare cookies
Regelen er teknologinøytral. Den omfatter alt som lagrer informasjon på en enhet eller leser den derfra. I retningslinjer 2/2023 lister Personvernrådet (EDPB) blant annet opp:
- Local storage og session storage i nettleseren;
- Sporingspiksler og lenkedekorering (identifikatorer som legges til i URL-er);
- Skript som henter informasjon fra enheten og sender den til en server;
- Fingerprinting, som kjenner igjen en enhet ut fra egenskapene dens;
- identifikatorer i apper og tilkoblede enheter.
Nkom skriver det samme om ekomloven § 3-15: bestemmelsen er teknologinøytral og gjelder ikke bare personopplysninger. Datatilsynet kaller veilederen sin «Samtykke til bruk av informasjonskapsler og andre sporingsteknologier», og i det første tilsynet med sporingsverktøy, publisert i 2025, så Datatilsynet nettopp på piksler. «Vi bruker ikke cookies, bare en piksel» fritar deg altså ikke fra reglene.
Hva dette betyr for nettstedet ditt
- Finn ut hva nettstedet ditt faktisk setter. Plugins, innebygde videoer og markedsføringstagger legger ofte til cookies du ikke vet om. En cookieskanner viser dem.
- Sorter dem etter formål: strengt nødvendige, preferanser, statistikk og markedsføring.
- Blokker alt som krever samtykke til den besøkende sier ja, og gjør det like enkelt å avvise som å godta.
- Forklar det i en cookieerklæring: hver cookie, formålet, hvem som setter den og hvor lenge den varer. Se malen vår for cookieerklæring.
Cookie Confirm skanner nettstedet ditt hver måned (pluss ubegrenset ny skanning), sorterer cookiene den finner, blokkerer skript til samtykke er gitt og holder cookieerklæringen din oppdatert.
Kilder
- ePrivacy-direktivet 2002/58/EF (konsolidert), artikkel 5 nr. 3
- EU-domstolen: sak C-673/17, Planet49
- EDPB: Retningslinjer 2/2023 om det tekniske virkeområdet til artikkel 5 nr. 3 i ePrivacy-direktivet
- Lovdata: Ekomloven § 3-15
- Lovdata: Forskrift om delegering av myndighet etter ekomloven, punkt 12
- Nkom: Informasjonskapsler/cookies
- Datatilsynet: Samtykke til bruk av informasjonskapsler og andre sporingsteknologier
- Datatilsynet: Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder (12. juni 2025)
- Artikkel 29-gruppen: Uttalelse 04/2012 om unntak fra samtykke for cookies
- CNIL: Løsninger for verktøy for publikumsmåling
- Google Analytics-hjelp: Bruk av cookies på nettsteder