Cookielagen i Sverige

Vad är cookielagen?

Med ”cookielagen” menas 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation, ofta förkortad LEK. Lagen gäller sedan den 1 augusti 2022. Paragrafen är Sveriges genomförande av artikel 5.3 i EU:s ePrivacydirektiv, som du kan läsa mer om i EU:s cookieregler förklarade.

Huvudregeln: uppgifter får lagras i eller hämtas från en användares terminalutrustning, alltså dator, mobil eller surfplatta, bara om användaren får information om ändamålet och samtycker. Det finns två undantag. Inget samtycke krävs för lagring eller åtkomst som

• behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät, eller
• är nödvändig för en tjänst som användaren uttryckligen har begärt, till exempel en varukorg eller en inloggning.

Lagen talar inte om cookies utan om att lagra och hämta uppgifter. PTS påpekar därför att även andra tekniker än kakor omfattas. Enligt den europeiska dataskyddsstyrelsen (EDPB) gäller det till exempel spårningspixlar, local storage och vissa former av fingerprinting. Myndigheterna kallar cookies för kakor; det är samma sak.

Orden ”behandling” och ”samtycke” har enligt 1 kap. 8 § LEK samma innebörd som i EU:s dataskyddsförordning (GDPR). Samtycket till cookies ska alltså uppfylla GDPR:s krav, även när cookien inte innehåller personuppgifter. Används cookien för att behandla personuppgifter, som nästan alla spårnings- och marknadsföringscookies gör, gäller dessutom GDPR fullt ut.

Vilka cookies kräver samtycke?

Undantaget för nödvändiga cookies är snävt. PTS skriver att det handlar om vad användaren har bett om, inte om vilka kakor du själv tycker är nödvändiga, till exempel för att samla in statistik. Sverige har alltså inget undantag för besöksstatistik, till skillnad från vissa andra EU-länder. I tillsynen av Folkhälsomyndigheten konstaterade PTS att statistik om besök och sidvisningar för att förbättra webbplatsen inte omfattas av något av undantagen.

Du ska informera om alla cookies, även de som inte kräver samtycke. Mer om typerna av cookies finns i Vad är cookies? och om vad informationen ska innehålla i vår mall för cookiepolicy.

Vad krävs för ett giltigt samtycke?

PTS sammanfattar kraven på sin webbplats. Samtycket ska vara frivilligt, specifikt, informerat och aktivt. I praktiken betyder det:

• Lika enkelt att säga nej som ja, vid samma tillfälle och i samma vy. Knapparna för att godkänna och neka ska se likvärdiga ut.
• Inget samtycke genom passivitet. Att besökaren fortsätter att använda webbplatsen är inget samtycke, och en knapp med texten ”Jag förstår” räknas inte heller.
• Inga förkryssade rutor. Besökaren ska inte behöva kryssa ur något för att säga nej. EU-domstolen kom fram till samma sak i Planet49-målet 2019.
• Ett val per ändamål, så att besökaren kan säga ja till statistik men nej till marknadsföring.
• Bara nödvändiga cookies innan valet. Om användaren varken tackar ja eller nej får bara nödvändiga kakor lagras.
• Lika enkelt att återkalla som att ge samtycket. PTS rekommenderar en knapp eller ikon på varje sida som öppnar cookiebannern igen, och en länk till cookiesidan i sidfoten.
• Ingen cookie wall. Besökare som inte tackar ja får inte stängas ute från webbplatsen. Läs mer i Cookie walls.

Vem har tillsyn?

I Sverige delar två myndigheter på ansvaret:

• Post- och telestyrelsen (PTS) är tillsynsmyndighet enligt lagen om elektronisk kommunikation och har därmed tillsyn över själva cookieregeln i 9 kap. 28 §.
• Integritetsskyddsmyndigheten (IMY) har tillsyn över GDPR. IMY beskriver gränsen så här: PTS är ensam tillsynsmyndighet för kraven på att lagra kakor, medan den behandling av personuppgifter som sker efteråt, till exempel analys eller profilering, faller under GDPR och IMY.

Lagen ger inte PTS möjlighet att ta ut sanktionsavgift för brott mot cookieregeln: 9 kap. 28 § finns inte med bland överträdelserna i 12 kap. 1 § LEK. PTS kan däremot förelägga en webbplatsägare att rätta till bristerna, med vite. Den som med uppsåt eller av oaktsamhet lagrar eller hämtar uppgifter i strid med 9 kap. 28 § kan dessutom dömas till böter enligt 13 kap. 2 § LEK, utom i ringa fall. IMY kan ta ut sanktionsavgifter enligt GDPR. Mer om beloppen i GDPR-böter för cookies.

Vad PTS och IMY har slagit ned på

PTS stickprov 2022–2023. Den 7 oktober 2022 inledde PTS tillsyn över ett urval webbplatser som många behöver använda i vardagen, bland dem Folkhälsomyndigheten, Konsumentverket, Swedbank och Tele2. Den 26 juni 2023 underrättade PTS dem om misstänkta brister mot 9 kap. 28 §. Bland det PTS krävde:

• en knapp för att neka i första lagret av bannern, inte bara ”Acceptera kakor” och ”Hantera kakor”;
• färger och kontraster som inte lyfter fram ”godkänn” framför ”neka”;
• att statistikkakor (Matomo hos Folkhälsomyndigheten) och en enskild kaka hos Tele2 inte sätts innan besökaren har samtyckt;
• att kategorierna, till exempel statistik och marknadsföring, nämns redan i första lagret;
• information i själva bannern om att samtycket när som helst kan återkallas;
• att det är lika lätt att återkalla som att ge samtycket.

De fyra rättade till bristerna och PTS avslutade ärendena den 31 oktober 2023 utan ytterligare åtgärder. PTS har publicerat besluten som vägledning.

IMY:s beslut om kakbanners 2024–2025. Efter klagomål som samordnades inom den europeiska dataskyddsstyrelsens arbetsgrupp för cookiebanners granskade IMY tre svenska företag. I april 2025 meddelade IMY att Warner Music, ATG och Aller Media fått reprimander. ATG:s banner hade en grön knapp för att godkänna men bara en grå textlänk för att välja själv, och att återkalla samtycket krävde flera klick via cookiepolicyn. IMY ansåg att designen var vilseledande och att samtycket därför inte var giltigt. Aller Media hade använt berättigat intresse som rättslig grund utan att visa att det höll.

Så följer du cookielagen

1. Ta reda på vilka cookies din webbplats sätter, även de som kommer från plugins och inbäddat innehåll. En cookieskanner hittar dem.
2. Fundera på om du behöver allt. Utan cookies som kräver samtycke behöver du ingen cookiebanner.
3. Dela in resten efter ändamål: nödvändiga, statistik och marknadsföring.
4. Visa en cookiebanner med ”Godkänn” och ”Neka” sida vid sida i första lagret, lika tydliga.
5. Blockera allt som kräver samtycke tills besökaren har godkänt, och håll det blockerat efter ett nej.
6. Skriv i bannern att samtycket kan återkallas, och gör det enkelt, till exempel med en ikon på varje sida.
7. Använder du Google Ads eller Google Analytics? Skicka valet vidare med Google Consent Mode v2. Om Google Analytics i Sverige kan du läsa i Google Analytics och GDPR.
8. Publicera en cookiepolicy och spara bevis på varje samtycke.

Cookie Confirm hjälper dig med steg 1 och 3 till 8: skannern hittar dina cookies varje månad (och när du vill), bannern blockerar skript tills besökaren har samtyckt och skickar valet vidare till Google Consent Mode v2, cookiepolicyn skapas och hålls uppdaterad automatiskt och varje samtycke sparas i 12 månader. Vill du slippa installera själv? Den kostnadsfria installationstjänsten ordnar det inom 24 timmar efter att du har gett oss åtkomst.

Källor

• Lag (2022:482) om elektronisk kommunikation, 1 kap. 8 §, 9 kap. 28 §, 11 kap. och 13 kap. 2 § (riksdagen.se)
• Förordning (2022:511) om elektronisk kommunikation, PTS som tillsynsmyndighet (riksdagen.se)
• PTS: Kakor (cookies)
• PTS: Vägledande beslut gällande kakor
• PTS: Underrättelse till Folkhälsomyndigheten, dnr 22-11376 (26 juni 2023)
• PTS: Beslut att avsluta ärendet, Folkhälsomyndigheten, dnr 22-11376 (31 oktober 2023)
• PTS: Beslut att avsluta ärendet, Konsumentverket, dnr 22-11377 (31 oktober 2023)
• PTS: Beslut att avsluta ärendet, Tele2, dnr 22-11378 (31 oktober 2023)
• PTS: Beslut att avsluta ärendet, Swedbank, dnr 22-11374 (31 oktober 2023)
• EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
• IMY: IMY riktar kritik mot företags kakbanners (30 april 2025)
• IMY: Beslut efter tillsyn, Aktiebolaget Trav och Galopp, IMY-2023-16453 (16 december 2024)
• EU-domstolen: mål C-673/17, Planet49 (1 oktober 2019)
• Europaparlamentets lagstiftningsobservatorium: förfarande 2025/0360(COD), Digital Omnibus