Vem kan ingripa mot cookies?
I Sverige har du att göra med två lagar och två myndigheter:
- Lagen (2022:482) om elektronisk kommunikation (LEK), 9 kap. 28 §, ofta kallad cookielagen. Den bestämmer när du får lagra eller hämta uppgifter på besökarens enhet. Post- och telestyrelsen (PTS) har tillsyn över den.
- Dataskyddsförordningen (GDPR). Så snart cookies används för att behandla personuppgifter, vilket spårningscookies nästan alltid gör, måste behandlingen följa GDPR. Integritetsskyddsmyndigheten (IMY) har tillsyn över den.
IMY beskriver själv gränsen så här: PTS är ensam tillsynsmyndighet över kraven på att lagra kakor, medan analys, profilering och annan behandling av personuppgifter som sker efteråt faller under GDPR och IMY.
Hur höga kan sanktionerna bli?
| Lag | Myndighet | Möjliga sanktioner |
|---|---|---|
| GDPR, bland annat artiklarna 5, 6 och 7 (principer, rättslig grund, villkor för samtycke) | IMY | Sanktionsavgift på upp till 20 miljoner euro eller, för ett företag, 4 % av den globala årsomsättningen om det är högre |
| GDPR, andra skyldigheter (till exempel säkerhet enligt artikel 32) | IMY | Upp till 10 miljoner euro eller 2 % av den globala årsomsättningen |
| GDPR, när överträdelsen görs av en myndighet | IMY | Upp till 5 miljoner kronor respektive 10 miljoner kronor, enligt 6 kap. 2 § lagen (2018:218) med kompletterande bestämmelser till GDPR |
| LEK, 9 kap. 28 § | PTS | Ingen sanktionsavgift: paragrafen finns inte med bland överträdelserna i 12 kap. 1 § LEK. PTS kan förelägga dig att rätta till bristerna och förena föreläggandet med vite (11 kap. 6 § LEK) |
| LEK, 13 kap. 2 § | Allmän domstol | Den som med uppsåt eller av oaktsamhet lagrar eller hämtar uppgifter i strid med 9 kap. 28 § kan dömas till böter, utom i ringa fall |
Maxbeloppen säger lite om vad en vanlig webbplats riskerar. IMY bestämmer det faktiska beloppet utifrån kriterierna i artikel 83.2 GDPR, till exempel överträdelsens art, svårighetsgrad och varaktighet, om den var uppsåtlig eller berodde på oaktsamhet, hur många som berördes och vad företaget har gjort för att begränsa skadan. Vid mindre överträdelser kan IMY i stället ge en reprimand.
Vilka beslut finns i Sverige?
Hittills har ingen svensk myndighet tagit ut en sanktionsavgift enbart för en felaktig cookiebanner. De beslut som finns ser ut så här:
| Myndighet | Organisation | Beslut | Sanktion | Vad det gällde |
|---|---|---|---|---|
| PTS | Folkhälsomyndigheten, Konsumentverket, Swedbank och Tele2 | Underrättelser 26 juni 2023, ärendena avslutade 31 oktober 2023 | Ingen, bristerna rättades | Ingen nekaknapp i första lagret, färger som gynnade ”godkänn”, statistikkakor utan samtycke, svårt att återkalla samtycket |
| IMY | Tele2 | 30 juni 2023 | 12 miljoner kronor, fastställt av förvaltningsrätten (2024) och kammarrätten (15 oktober 2025) | Google Analytics: personuppgifter fördes över till USA utan tillräckligt skydd |
| IMY | CDON | 30 juni 2023 | 300 000 kronor och föreläggande att sluta använda Google Analytics | Samma sak som för Tele2 |
| IMY | Coop och Dagens Industri | 30 juni 2023 | Föreläggande att sluta använda Google Analytics, ingen avgift | Samma sak, men bolagen hade vidtagit mer omfattande skyddsåtgärder |
| IMY | Avanza Bank | Juni 2024 | 15 miljoner kronor | Meta-pixeln: nya funktioner aktiverades av misstag och skickade bland annat kontonummer och personnummer till Meta, 2019–2021 |
| IMY | Apoteket och Apohem | 29 augusti 2024 | 37 miljoner respektive 8 miljoner kronor | Meta-pixeln: uppgifter om köp av bland annat självtester och receptfria läkemedel skickades till Meta |
| IMY | ATG, Warner Music och Aller Media | Meddelat 30 april 2025 | Reprimander | Kakbanners: vilseledande färger och kontraster, svårt att återkalla samtycket, berättigat intresse utan stöd |
Två saker är värda att notera. För det första gällde de höga avgifterna inte själva cookiebannern. Google Analytics-besluten handlade om överföringen till USA, som sedan juli 2023 täcks av EU:s och USA:s dataskyddsram (Data Privacy Framework); läs mer i Google Analytics och GDPR. Meta-pixelbesluten handlade om bristande säkerhet: bolagen saknade rutiner för att själva upptäcka vad pixeln skickade. För det andra visar besluten att spårningsverktyg på en webbplats är ett verkligt riskområde, även när bannern ser rätt ut.
Jämfört med andra länder
I andra EU-länder har tillsynsmyndigheter tagit ut stora avgifter för cookies. Franska CNIL har gått längst, till exempel 150 miljoner euro mot Google (2021) för att det var svårare att neka än att godkänna cookies, och 150 miljoner euro mot Shein (2025) för cookies som sattes innan besökaren hade valt. Eftersom cookieregeln inte ingår i GDPR gäller inte GDPR:s one-stop-shop för den: en tillsynsmyndighet kan agera för cookies som sätts på enheter i sitt eget land, även om företaget har sitt EU-huvudkontor någon annanstans.
Hur tillsynen fungerar i praktiken
- PTS: underrättelse före föreläggande. Enligt 11 kap. 5 § LEK ska PTS först underrätta dig om vad myndigheten misstänker och låta dig yttra dig. Rättar du till bristerna avslutas ärendet, som i tillsynen 2022–2023. Gör du det inte kan PTS besluta om förelägganden, som kan förenas med vite.
- IMY: klagomål och egna granskningar. Många ärenden börjar med ett klagomål. Google Analytics-besluten byggde på klagomål från integritetsorganisationen noyb, och besluten om kakbanners på klagomål som samordnades inom den europeiska dataskyddsstyrelsens arbetsgrupp för cookiebanners.
- Reprimand eller avgift. Vid mindre överträdelser ger IMY ofta en reprimand. Vid allvarligare brister, många berörda eller känsliga uppgifter kan det bli en sanktionsavgift.
Andra risker: skadestånd
Utöver sanktioner kan besökare kräva skadestånd. Enligt artikel 82 GDPR har den som lidit materiell eller ideell skada på grund av en överträdelse rätt till ersättning. I Österreichische Post (C-300/21, 4 maj 2023) slog EU-domstolen fast att en överträdelse i sig inte räcker: det måste finnas en faktisk skada och ett samband med överträdelsen. Däremot får det inte finnas någon nedre gräns för hur allvarlig en ideell skada måste vara.
Så håller du dig borta från problem
- Ta reda på vilka cookies och pixlar din webbplats använder, även de som kommer från plugins och inbäddat innehåll.
- Blockera allt som kräver samtycke tills besökaren har godkänt, och håll det blockerat efter ett nej. Det gäller även statistik.
- Visa ”Godkänn” och ”Neka” lika tydligt i första lagret, och förkryssa ingenting. Det var just de bristerna PTS och IMY tog upp.
- Gör det lika enkelt att återkalla samtycket som att ge det, och skriv i bannern att det går.
- Förklara ändamålen i bannern och i en cookiepolicy.
- Kontrollera vad dina spårningsverktyg skickar, särskilt när leverantören lägger till nya funktioner. Det var så det gick fel med Meta-pixeln.
- Spara bevis på samtycket, så att du kan visa vem som godkände vad och när.
Cookie Confirm hjälper dig med de flesta av stegen, för 7,95 € per webbplats och månad. Skannern kontrollerar din webbplats varje månad och när du vill, bannern blockerar skript tills besökaren har samtyckt och kan anpassas efter din grafiska profil, cookiepolicyn skapas utifrån skanningen och hålls uppdaterad och varje samtycke sparas i 12 månader och kan exporteras. Vill du slippa installera själv? Den kostnadsfria installationstjänsten ordnar det inom 24 timmar efter att du har gett oss åtkomst.
Källor
- Lag (2022:482) om elektronisk kommunikation, 9 kap. 28 §, 11 kap. 5–6 §§, 12 kap. 1–2 §§ och 13 kap. 2 § (riksdagen.se)
- Lag (2018:218) med kompletterande bestämmelser till EU:s dataskyddsförordning, 6 kap. 2 § (riksdagen.se)
- EUR-Lex: Förordning (EU) 2016/679 (GDPR), artiklarna 82 och 83
- PTS: Beslut att avsluta ärendet, Tele2, dnr 22-11378 (31 oktober 2023)
- PTS: Beslut att avsluta ärendet, Swedbank, dnr 22-11374 (31 oktober 2023)
- PTS: Beslut att avsluta ärendet, Folkhälsomyndigheten, dnr 22-11376 (31 oktober 2023)
- PTS: Beslut att avsluta ärendet, Konsumentverket, dnr 22-11377 (31 oktober 2023)
- IMY: Beslut om sanktionsavgift (förteckning)
- IMY: Fyra bolag måste sluta använda Google Analytics (3 juli 2023)
- IMY: Tillsyn Tele2 Sverige AB (domstolarnas avgöranden)
- IMY: Kammarrätten bekräftar sanktionsavgift för Tele2 (16 oktober 2025)
- IMY: Tillsyn CDON AB
- IMY: Sanktionsavgift mot Avanza för överföring av personuppgifter till Meta (25 juni 2024)
- IMY: Sanktionsavgifter mot Apoteket och Apohem för överföring av personuppgifter till Meta (30 augusti 2024)
- IMY: IMY riktar kritik mot företags kakbanners (30 april 2025)
- IMY: Beslut efter tillsyn, Aktiebolaget Trav och Galopp, IMY-2023-16453 (16 december 2024)
- CNIL: The sanctions issued by the CNIL
- CNIL: Shein fined €150 million (september 2025)
- EU-domstolen: mål C-300/21, Österreichische Post (4 maj 2023)