EU:s cookieregler förklarade: ePrivacydirektivet och GDPR

Var EU:s cookieregel kommer ifrån

Den regel som de flesta kallar ”EU:s cookielag” är artikel 5.3 i ePrivacydirektivet (direktiv 2002/58/EG, på svenska direktivet om integritet och elektronisk kommunikation). Sedan ändringen genom direktiv 2009/136/EG säger den att det bara är tillåtet att lagra information på en användares enhet, eller att skaffa åtkomst till information som redan finns lagrad där, om användaren har gett sitt samtycke efter att ha fått tydlig och fullständig information. Medlemsstaterna skulle tillämpa den ändrade regeln från den 25 maj 2011.

Det finns två undantag. Inget samtycke krävs för lagring eller åtkomst som

• används enbart för att överföra en kommunikation via ett nät, eller
• är nödvändig för att tillhandahålla en tjänst som användaren uttryckligen har begärt, till exempel en varukorg, en inloggning eller att spara besökarens cookieval.

Allt annat, som analys, annonsering, retargeting och pixlar från sociala medier, kräver i princip samtycke. Vissa nationella tillsynsmyndigheter tillåter snäva undantag för integritetsvänlig besöksmätning; se landsguiderna nedan. I Sverige finns inget sådant undantag: PTS skriver att statistik inte räknas som nödvändigt.

Inte bara cookies

Regeln är teknikneutral. I sina riktlinjer 2/2023 om det tekniska tillämpningsområdet för artikel 5.3, som antogs i slutlig form i oktober 2024, förklarar Europeiska dataskyddsstyrelsen (EDPB) att den även omfattar spårningspixlar, spårningslänkar, local storage, vissa former av fingerprinting och liknande tekniker. Mer om detta i Vad är cookies?

Hur medlemsstaterna tillämpar den

Eftersom det är ett direktiv har varje medlemsstat skrivit in regeln i sin egen lag, och alla har en egen tillsynsmyndighet. Några exempel:

Skillnaderna ligger i detaljerna: om cookie walls är tillåtna, hur länge ett val ska kommas ihåg, om analys kan undantas och hur höga sanktionsavgifterna är. I Sverige delar PTS och IMY på tillsynen, och PTS kan inte ta ut sanktionsavgift för brott mot själva cookieregeln. Vad det innebär beskriver vi i Böter för cookies.

Vad GDPR tillför

ePrivacydirektivet definierar inte själv samtycke; det hänvisar till definitionen i dataskyddslagstiftningen, i dag dataskyddsförordningen (GDPR). Samtycke till cookies måste därför vara:

• Frivilligt: ett verkligt val, utan påtryckningar. Åtkomst till en webbplats bör i regel inte kräva att man godkänner spårning; se Cookie walls.
• Specifikt: per ändamål, alltså inte ett enda ”godkänn” för allt utan möjlighet att välja.
• Informerat: besökaren vet vem som placerar vilka cookies, i vilket syfte och hur länge.
• Otvetydigt: genom en tydlig, aktiv handling. Tystnad, scrollning eller att fortsätta surfa är inget samtycke.

Besökaren måste också kunna återkalla samtycket lika enkelt som det gavs.

När cookies behandlar personuppgifter, vilket spårningscookies nästan alltid gör, gäller GDPR även för den behandlingen: du behöver en rättslig grund, måste lämna information och måste respektera de registrerades rättigheter.

Planet49: det vägledande rättsfallet

I Planet49 (mål C-673/17, 1 oktober 2019) slog EU-domstolen fast att

• en förkryssad ruta inte är ett giltigt samtycke;
• kravet på samtycke gäller oavsett om informationen är en personuppgift eller inte;
• informationen till användarna måste omfatta hur länge cookies finns kvar och om tredje parter kan få tillgång till dem.

Vad som ändras, och vad som inte gör det

ePrivacyförordningen har dragits tillbaka

2017 föreslog kommissionen en ePrivacyförordning som skulle ersätta direktivet. Efter flera år utan enighet aviserade kommissionen i sitt arbetsprogram för 2025 att förslaget dras tillbaka, och återkallelsen publicerades i Europeiska unionens officiella tidning den 6 oktober 2025. ePrivacydirektivet gäller alltså fortfarande.

Digital Omnibus är ett förslag, inte lag

Den 19 november 2025 presenterade kommissionen Digital Omnibus (förfarande 2025/0360(COD)). Förslaget innebär bland annat att reglerna om åtkomst till enheter som rör personuppgifter flyttas från ePrivacydirektivet till GDPR, att det ska finnas ett alternativ för att tacka nej med ett enda klick, att webbplatser ska respektera ett val i minst sex månader, att användare ska kunna ställa in sina val centralt (till exempel i webbläsaren) och att vissa användningar med låg risk, som att räkna besök, undantas från samtycke.

I oktober 2026 är detta fortfarande ett förslag: Europaparlamentets utskott arbetar med sitt betänkande och rådet har inte antagit någon ståndpunkt. Medlemsstater och Europaparlamentariker har föreslagit ändringar, så den slutliga texten kan se annorlunda ut. Tills det har antagits och börjat gälla förblir de nationella cookielagarna ovan i kraft.

Storbritannien är separat

Sedan brexit har Storbritannien egna regler: regulation 6 i PECR tillsammans med UK GDPR, med ICO som tillsynsmyndighet. Data (Use and Access) Act 2025 lade till nya undantag, till exempel för viss analys, som inte finns i EU. Se UK cookie law (på engelska).

Så följer du reglerna i hela EU

1. Skanna din webbplats efter varje cookie, pixel och skript, även de som kommer från plugins och inbäddat innehåll.
2. Blockera allt som kräver samtycke tills besökaren godkänner.
3. Erbjud ett verkligt val: ”Godkänn” och ”Avvisa” lika synliga i första lagret, och inställningar per ändamål.
4. Informera tydligt i bannern och i en cookiepolicy.
5. Gör det enkelt att återkalla samtycket, till exempel med en länk på varje sida.
6. Spara bevis på varje samtycke.
7. Följ de strängaste reglerna där du har besökare, eller använd geografiska regler per land.
8. Använd Google Consent Mode v2 om du använder Google Ads eller Analytics; se Google Consent Mode v2 förklarat.

Cookie Confirm täcker de här stegen: en skanning varje månad med obegränsat antal omskanningar, skript som blockeras tills samtycke ges, geografiska regler per land, en banner i ditt eget varumärke som visas på besökarens språk (29+ språk), en cookiedeklaration som skapas utifrån skanningen och en samtyckeslogg som sparas i 12 månader. För 7,95 € per webbplats och månad, med 7 dagars gratis provperiod.

Källor

• EUR-Lex: Direktiv 2002/58/EG (ePrivacydirektivet)
• EUR-Lex: Direktiv 2009/136/EG
• EUR-Lex: Förordning (EU) 2016/679 (GDPR)
• EU-domstolen: mål C-673/17, Planet49 (1 oktober 2019)
• EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
• EDPB: Riktlinjer 05/2020 om samtycke
• Europeiska unionens råd: informationsmeddelande om återkallade kommissionsförslag, EUT C/2025/5423 (oktober 2025)
• EUR-Lex: förfarande 2017/0003(COD), ePrivacyförordningen
• Europeiska kommissionen: Digital Package (Digital Omnibus) FAQ
• Europaparlamentets lagstiftningsobservatorium: förfarande 2025/0360(COD)
• Riksdagen: Lag (2022:482) om elektronisk kommunikation, 9 kap. 28 §
• PTS: Kakor (cookies)
• IMY: IMY riktar kritik mot företags kakbanners (30 april 2025)
• Wetten.nl: Telecommunicatiewet, artikel 11.7a
• Gesetze im Internet: § 25 TDDDG
• CNIL: Loi Informatique et Libertés (artikel 82)
• Garante privacy: Codice in materia di protezione dei dati personali
• BOE: Ley 34/2002 (LSSI)