Server-side tracking og samtykke

Hva er server-side tracking?

Med vanlig sporing gjør nettleseren hele jobben. Siden din laster skript fra Google, Meta og andre leverandører, og hvert skript sender data rett fra nettleseren til den besøkende til leverandørens servere.

Med server-side tracking sender nettleseren dataene til ett sted først: en server du kontrollerer, som regel på et underdomene av nettstedet ditt, for eksempel metrics.eksempel.no. Serveren tar imot forespørselen, gjør den om til hendelser og bestemmer hva som sendes videre til hvilken leverandør. Det mest kjente eksemplet er server-side Google Tag Manager: en «serverbeholder» (server container) som kjører i Google Cloud eller hos en spesialisert leverandør, ved siden av den vanlige webbeholderen i nettleseren. Vanlige bruksområder er GA4 via en serverbeholder og Meta Conversions API, som lar serveren din sende konverteringer direkte til Meta.

Det viktige: i de fleste oppsett kjører nettleseren fortsatt et skript og sender fortsatt dataene. Forskjellen er hvor de havner først.

Krever server-side tracking samtykke?

To regelsett gjelder, akkurat som for annen sporing (se Cookieloven i Norge):

1. Cookieregelen i ekomloven § 3-15, som gjennomfører artikkel 5 nr. 3 i ePrivacy-direktivet: å lagre informasjon på enheten til den besøkende, eller skaffe seg tilgang til informasjon der, krever samtykke etter GDPR-standarden, med mindre det er strengt nødvendig for en tjeneste den besøkende uttrykkelig har bedt om.
2. Personvernforordningen (GDPR), som gjelder som norsk lov gjennom personopplysningsloven: behandling av personopplysninger krever rettslig grunnlag, åpenhet og garantier.

Server-side tracking tar deg ikke utenfor cookieregelen. Regelen handler om det som skjer på enheten, ikke om hvor dataene havner. Den er teknologinøytral og gjelder enten informasjonen er personopplysninger eller ikke, slik EU-domstolen også slo fast i Planet49 (2019). Norge er med i EØS, og Datatilsynet skriver at norsk rett siden 1. januar 2025 er i samsvar med EU-retten, så Personvernrådets (EDPB) tolkning er relevant også her. I retningslinjer 2/2023 om det tekniske virkeområdet til artikkel 5 nr. 3 forklarer EDPB at:

• et nettsted som bruker JavaScript til å få nettleseren til å sende informasjon, skaffer seg tilgang til den informasjonen, og det omfattes av regelen;
• identifikatorer i URL-er eller i sporingspiksler er en instruks til enheten om å sende identifikatoren tilbake, og regnes også som tilgang;
• innsamling av en unik identifikator, for eksempel en hashet e-postadresse, via kode i nettleseren omfattes også;
• selv sporing som bare bygger på IP-adressen, kan omfattes, med mindre du kan sikre at adressen ikke kommer fra enheten til den besøkende.

Et server-side-oppsett gjør nettopp dette: Google-taggen i nettleseren sender hendelser til serveren din, og serverbeholderen kan sette en cookie på domenet ditt for å kjenne igjen den besøkende. En førstepartscookie som settes via en serverbeholder, krever derfor samtykke til analyse eller markedsføring, på samme måte som en som settes av et skript.

I noen EU-land finnes det et unntak for begrenset publikumsmåling. I Norge finnes det ikke. Ekomloven § 3-15 har bare unntakene for overføring av kommunikasjon og for det som er strengt nødvendig for tjenesten brukeren ber om, og Nkom skriver at det siste bare gjelder når cookien er en forutsetning for å levere tjenesten. Det gjelder også når analysen kjører via en server.

Personvernforordningen gjelder også på serveren

Når dataene kommer til serveren din, gjelder personvernforordningen for alt du gjør med dem: sender dem videre til Google eller Meta, beriker dem med ordre- eller CRM-data, bygger målgrupper. Du trenger et rettslig grunnlag for hvert formål, og EDPBs retningslinjer om samtykke sier at når samtykke er grunnlaget, må det innhentes før behandlingen starter.

For annonsering og profilering er grunnlaget i praksis samtykke. I Meta Platforms mot Bundeskartellamt (C-252/21, 4. juli 2023) slo EU-domstolen fast at personlig tilpasset annonsering ikke kan begrunne Metas behandling av brukerdata som berettiget interesse uten brukerens samtykke. Et nettsted som sender data om besøkende til en annonseplattform for målretting eller konverteringsmåling, vil ha vanskelig for å bygge på berettiget interesse når plattformen selv ikke kan.

Datatilsynet har vist at dette får følger i Norge. I tilsynet med seks nettsteder som ble publisert i juni 2025, delte alle personopplysninger om de besøkende med tredjeparter uten rettslig grunnlag, og Kristiansand kommune fikk et overtredelsesgebyr på 250 000 kroner for bruk av Meta Pixel og Snap Pixel på 116111.no. Mer i Bøter for cookies. Datatilsynet anbefaler å være særlig oppmerksom på verktøy som deler opplysningene videre eller bruker dem til egne formål, og det gjelder enten dataene går via nettleseren eller via serveren din.

Hva server-side tracking faktisk endrer

Server-side tracking er ikke en vei rundt samtykket, men det kan gjøre sporingen mer personvernvennlig og lettere å styre:

• Kontroll over hva leverandørene får. Google skriver at bare du har tilgang til dataene i serverbeholderen til du velger å sende dem videre. Du kan fjerne felt, korte ned URL-er eller droppe hendelser før de forlater serveren din.
• IP-adresser og identifikatorer. Du kan velge å ikke sende hele IP-adressen videre, eller erstatte identifikatorer før data sendes. Det støtter dataminimering (artikkel 5 nr. 1 bokstav c i GDPR).
• Færre tredjepartsforespørsler i nettleseren. Færre leverandørskript på siden betyr færre parter som kan lese data direkte fra enheten til den besøkende.
• Overføringer ut av EØS. Kjører serveren din i EØS og fjerner data før de sendes videre, når mindre personopplysninger frem til leverandører utenfor Europa. Det franske tilsynet CNIL beskriver en slik «proxy» for publikumsmåling på strenge vilkår: ingen IP-adresse sendes videre, identifikatoren erstattes, referrer og URL-parametre fjernes, ingen identifikatorer på tvers av nettsteder, og hosting som hindrer overføringer ut av EU. CNIL presenterer dette som en måte å håndtere overføringer på, ikke som en grunn til å hoppe over samtykke.

Server-side tracking med cookiebanner og Consent Mode

Oppsettet som fungerer, er det samme som uten serverbeholder, med ett ekstra steg:

1. Cookiebanneret samler inn valget og blokkerer analyse- og markedsføringstagger til den besøkende samtykker, med «Avvis» like synlig som «Godta», slik Datatilsynet krever.
2. Google Consent Mode v2 sender valget videre (se Google Consent Mode v2 forklart). Ifølge Googles dokumentasjon trenger du bare å sette opp Consent Mode i webbeholderen: Google-taggen legger samtykkestatusen til hver forespørsel den sender til serverbeholderen.
3. Googles tagger i serverbeholderen følger den statusen. I basic mode blokkeres Analytics-tagger helt, og ingen Analytics-cookies settes eller leses, verken i nettleseren eller på serveren. I advanced mode sender Analytics-tagger anonyme målinger i stedet. Uten samtykke leser eller skriver ikke Google Ads-konverteringstagger cookies, og forespørsler for Google Ads-remarketing og Floodlight blokkeres.
4. Tagger fra andre leverandører krever din oppmerksomhet. Google lover dette bare for sine egne tagger. En Meta Conversions API-tag eller en annen tag i serverbeholderen skal bare utløses når samtykkestatusen tillater det; det setter du opp selv med utløsere eller vilkår.

Et banner som Cookie Confirm setter standardverdiene for Consent Mode før noen Google-tag lastes, og oppdaterer dem etter at den besøkende har valgt, slik at samtykkestatusen når serverbeholderen med hver forespørsel. Bruker du GA4, se også Google Analytics og GDPR.

Meta Conversions API og samtykke

Meta Conversions API kobler serveren din til Meta, slik at du kan sende hendelser fra nettstedet, som kjøp og leads, uten å være avhengig av bare Meta Pixel i nettleseren. Meta bruker hendelsene til annonsemåling og optimalisering.

Det gjør det til behandling for annonsering. Metas vilkår for forretningsverktøy (Business Tools Terms) krever at du har alle nødvendige rettigheter og et lovlig grunnlag for dataene du deler, og at du i land som krever samtykke for å lagre eller lese informasjon på enheter (vilkårene nevner EU), innhenter verifiserbart samtykke fra de besøkende. Norge har samme regel gjennom ekomloven § 3-15. I praksis:

• send Conversions API-hendelser bare for besøkende som har godtatt markedsføring i banneret ditt;
• ikke bruk Conversions API til å «hente tilbake» konverteringer fra besøkende som har avvist;
• nevn Meta og Conversions API i cookieerklæringen og personvernerklæringen din.

Metas valg «Limited Data Use» er laget for visse amerikanske delstatslover om personvern. Det er ikke en samtykkeordning for Norge eller EU.

Vanlige feil

• «Det er cookieless, så samtykke trengs ikke.» Cookieregelen dekker mer enn cookies: skript som får nettleseren til å sende data, sporingspiksler, identifikatorer i URL-er og unike identifikatorer omfattes alle, ifølge EDPB.
• «Det er førstepart nå.» Ekomloven skiller ikke mellom førstepart og tredjepart, eller mellom cookies satt av et skript og av en server. Formålet avgjør.
• «Det er bare statistikk.» Norsk lov har ikke noe eget unntak for analyse, heller ikke når den går via en server.
• Data sendes før valget. Sender serverbeholderen sidevisninger eller konverteringer videre til leverandører før den besøkende har klikket i banneret, behandler du data uten rettslig grunnlag.
• «Hashet e-post er anonymt.» En hashet e-postadresse er pseudonymiserte opplysninger, som personvernforordningen fortsatt regner som personopplysninger (fortalepunkt 26).
• Tagger fra andre enn Google glemmes. Consent Mode styrer bare Googles tagger. Alle andre tagger i serverbeholderen trenger sin egen samtykkesjekk.
• Cookieerklæringen oppdateres ikke. De besøkende skal få vite hvilke leverandører som får dataene deres, også når dataene går via serveren din først. Se Mal for cookieerklæring.

Kilder

• Lovdata: Ekomloven § 3-15
• Lovdata: Personopplysningsloven § 1
• Nkom: Informasjonskapsler/cookies
• Datatilsynet: Samtykke til bruk av informasjonskapsler og andre sporingsteknologier
• Datatilsynet: Bruk av sporingsverktøy på nettsteder og i apper
• Datatilsynet: Ulovlig deling av personopplysninger gjennom sporingspiksler hos seks nettsteder (12. juni 2025)
• ePrivacy-direktivet 2002/58/EF (konsolidert), artikkel 5 nr. 3
• Personvernforordningen (EU) 2016/679
• EDPB: Retningslinjer 2/2023 om det tekniske virkeområdet til artikkel 5 nr. 3 i ePrivacy-direktivet
• EDPB: Retningslinjer 05/2020 om samtykke
• EU-domstolen: sak C-673/17, Planet49 (1. oktober 2019)
• EU-domstolen: pressemelding 113/23 om sak C-252/21, Meta Platforms mot Bundeskartellamt (4. juli 2023)
• Google: An introduction to server-side tagging
• Google: Implement consent mode with server-side Tag Manager
• Google: Custom domain for server-side tagging
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options for US users
• Meta: Business Tools Terms
• CNIL: Publikumsmåling og dataoverføringer (på fransk)