Server side tracking och samtycke

Vad är server side tracking?

Vid vanlig spårning gör webbläsaren allt arbete. Din sida laddar skript från Google, Meta och andra leverantörer, och varje skript skickar uppgifter direkt från besökarens webbläsare till leverantörens servrar.

Vid server side tracking skickar webbläsaren först uppgifterna till ett ställe: en server som du styr över, oftast på en underdomän till din egen webbplats, som metrics.exempel.se. Servern tar emot begäran, gör om den till händelser och bestämmer vad som skickas vidare till vilken leverantör. Det mest kända exemplet är server-side Google Tag Manager: en ”serverbehållare” som körs i Google Cloud eller hos en specialiserad leverantör, bredvid den vanliga webbehållaren i webbläsaren. Vanliga användningar är GA4 via en serverbehållare och Meta Conversions API, där din server skickar konverteringar direkt till Meta.

Det viktiga: i de flesta lösningar kör besökarens webbläsare fortfarande ett skript och skickar fortfarande uppgifterna. Skillnaden är vart de går först.

Kräver server side tracking samtycke?

Två regelverk gäller, precis som för all annan spårning (se EU:s cookieregler förklarade):

1. Cookieregeln, i Sverige 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation, cookielagen, som genomför artikel 5.3 i ePrivacydirektivet: att lagra uppgifter i besökarens enhet, eller hämta uppgifter från den, kräver information och samtycke, om det inte är nödvändigt för en tjänst som besökaren uttryckligen har begärt. Tillsynsmyndighet är Post- och telestyrelsen (PTS).
2. GDPR: behandling av personuppgifter kräver en rättslig grund, öppenhet och skyddsåtgärder. Tillsynsmyndighet är Integritetsskyddsmyndigheten (IMY).

Server side tracking tar dig inte utanför cookieregeln. Regeln handlar om vad som händer på enheten, inte om vart uppgifterna tar vägen. Den gäller all information, oavsett om det är personuppgifter eller inte, vilket EU-domstolen bekräftade i Planet49 (2019). PTS påpekar också att lagen inte bara gäller kakor utan alla tekniker som lagrar eller hämtar uppgifter. I sina riktlinjer 2/2023 om det tekniska tillämpningsområdet för artikel 5.3 förklarar den europeiska dataskyddsstyrelsen (EDPB) att:

• en webbplats som med JavaScript får webbläsaren att skicka information skaffar sig tillgång till den informationen, vilket omfattas av regeln;
• att lägga till identifierare i webbadresser eller spårningspixlar är en instruktion till enheten att skicka tillbaka identifieraren, och räknas också som att skaffa sig tillgång;
• att samla in en unik identifierare, som en hashad e-postadress, via kod i webbläsaren omfattas också;
• även spårning som bara bygger på IP-adressen kan omfattas, om du inte kan säkerställa att adressen inte kommer från besökarens enhet.

En lösning på serversidan gör just de här sakerna: Google-taggen i webbläsaren skickar händelser till din server, och serverbehållaren kan sätta en cookie på din domän för att känna igen besökaren. En förstapartscookie som sätts via en serverbehållare kräver alltså samtycke för statistik eller marknadsföring, precis som en som sätts av ett skript. Undantaget för nödvändig lagring beror på ändamålet, inte på tekniken. I Sverige finns dessutom inget undantag för besöksmätning: PTS skriver att statistik inte räknas som nödvändigt, och krävde 2023 samtycke för kakorna från Folkhälsomyndighetens statistikverktyg Matomo. Det gäller lika mycket när statistiken går via din egen server.

GDPR gäller fortfarande på servern

När uppgifterna når din server gäller GDPR för allt du gör med dem: att skicka dem vidare till Google eller Meta, berika dem med order- eller CRM-uppgifter, bygga målgrupper. Du behöver en rättslig grund för varje ändamål, och enligt EDPB:s riktlinjer om samtycke ska samtycket, när det är grunden, inhämtas innan behandlingen börjar.

För annonsering och profilering är grunden i praktiken samtycke. I Meta Platforms mot Bundeskartellamt (C-252/21, 4 juli 2023) slog EU-domstolen fast att personanpassad annonsering inte kan motivera Metas behandling av användaruppgifter som ett berättigat intresse utan användarens samtycke. En webbplats som skickar besökaruppgifter till en annonsplattform för målgruppsinriktning eller konverteringsmätning får svårt att hävda berättigat intresse när plattformen själv inte kan det. IMY har också visat att man granskar svenska cookiebanners: 2025 fick bland andra Aller Media en reprimand för att ha använt berättigat intresse utan att visa att det höll.

Vad server side tracking faktiskt ändrar

Server side tracking är inget sätt att slippa samtycke, men det kan göra din spårning mer integritetsvänlig och lättare att styra:

• Kontroll över vad leverantörerna får. Google skriver att bara du har tillgång till uppgifterna i serverbehållaren tills du väljer att skicka dem vidare. Du kan ta bort fält, korta webbadresser eller släppa händelser innan de lämnar din server.
• IP-adresser och identifierare. Du kan välja att inte skicka vidare hela IP-adressen, eller att ersätta identifierare innan uppgifterna skickas. Det stöder principen om uppgiftsminimering (artikel 5.1 c i GDPR).
• Färre tredjepartsanrop i webbläsaren. Färre leverantörsskript på sidan betyder färre aktörer som kan läsa uppgifter direkt från besökarens enhet.
• Överföringar utanför EU/EES. Om din server finns i EU och rensar uppgifterna innan de skickas vidare når mindre personuppgifter leverantörer utanför Europa. Det var just överföringen till USA som fick IMY att 2023 besluta att fyra svenska företag måste sluta använda Google Analytics (mer i Google Analytics och GDPR). Den franska dataskyddsmyndigheten CNIL beskriver en sådan ”proxy” för besöksmätning under strikta villkor: ingen IP-adress skickas vidare, identifieraren ersätts, referrer och URL-parametrar tas bort, inga identifierare mellan webbplatser och en driftmiljö som förhindrar överföringar utanför EU. CNIL presenterar det som ett sätt att hantera överföringar, inte som ett skäl att hoppa över samtycket.

Server side tracking med cookiebanner och Consent Mode

Lösningen som fungerar är densamma som utan serverbehållare, med ett extra steg:

1. Din cookiebanner samlar in valet och blockerar statistik- och marknadsföringstaggar tills besökaren har samtyckt.
2. Google Consent Mode v2 skickar valet vidare (se Google Consent Mode v2 förklarat). Enligt Googles dokumentation räcker det att ställa in Consent Mode i webbehållaren: Google-taggen lägger till samtyckesstatusen i varje begäran som skickas till serverbehållaren.
3. Googles taggar i serverbehållaren följer den statusen. I basic mode blockeras Analytics-taggar helt och inga Analytics-cookies sätts eller läses, varken i webbläsaren eller på servern. I advanced mode skickar Analytics-taggar i stället anonyma mätningar. Utan samtycke läser eller skriver Google Ads-konverteringstaggar inga cookies, och anrop för remarketing i Google Ads och Floodlight blockeras.
4. Taggar från andra leverantörer kräver din uppmärksamhet. Google lovar det här bara för sina egna taggar. En Meta Conversions API-tagg eller någon annan tagg i serverbehållaren ska bara köras när samtyckesstatusen tillåter det; det ställer du in själv med utlösare eller villkor.

En banner som Cookie Confirm ställer in standardlägena för Consent Mode innan någon Google-tagg laddas och uppdaterar dem när besökaren har valt, så att samtyckesstatusen följer med varje begäran till serverbehållaren.

Meta Conversions API och samtycke

Meta Conversions API kopplar din server till Meta, så att du kan skicka händelser från webbplatsen, som köp och leads, utan att bara förlita dig på Meta-pixeln i webbläsaren. Meta använder händelserna för att mäta och optimera annonser.

Det gör det till behandling för annonsering. Metas Business Tools Terms kräver att du har alla nödvändiga rättigheter och en rättslig grund för uppgifterna du delar och, i länder som kräver samtycke för att lagra eller komma åt information på enheter (villkoren nämner EU), att du inhämtar verifierbart samtycke från besökarna. Enligt villkoren är du personuppgiftsansvarig för de uppgifterna i EU. I praktiken:

• skicka bara Conversions API-händelser för besökare som har godkänt marknadsföring i din banner;
• använd inte Conversions API för att ”återvinna” konverteringar från besökare som har tackat nej;
• nämn Meta och Conversions API i din cookiepolicy och din integritetspolicy.

Metas alternativ ”Limited Data Use” är avsett för vissa delstatliga integritetslagar i USA. Det är ingen samtyckesmekanism för EU.

Vanliga misstag

• ”Det är cookiefritt, så inget samtycke behövs.” Cookieregeln omfattar mer än cookies: skript som får webbläsaren att skicka uppgifter, spårningspixlar, identifierare i webbadresser och unika identifierare omfattas alla, enligt EDPB.
• ”Det är förstapart nu.” Regeln skiljer inte mellan förstapart och tredjepart, eller mellan cookies som sätts av ett skript och av en server. Ändamålet avgör.
• Uppgifter skickas innan valet. Om din serverbehållare skickar sidvisningar eller konverteringar till leverantörer innan besökaren har klickat i bannern behandlar du uppgifter utan rättslig grund.
• ”Hashade e-postadresser är anonyma.” En hashad e-postadress är en pseudonymiserad uppgift, som GDPR fortfarande behandlar som en personuppgift (skäl 26). Den hashas just för att en plattform som Meta ska kunna matcha den mot en person.
• Taggar som inte är Googles glöms bort. Consent Mode styr bara Googles taggar. Varje annan tagg i serverbehållaren behöver en egen samtyckeskontroll.
• Cookiepolicyn uppdateras inte. Besökarna ska få veta vilka leverantörer som får deras uppgifter, även när uppgifterna först går via din server.

Källor

• Lag (2022:482) om elektronisk kommunikation, 9 kap. 28 § (riksdagen.se)
• PTS: Kakor (cookies)
• PTS: Underrättelse till Folkhälsomyndigheten om kakor, dnr 22-11376 (26 juni 2023)
• IMY: IMY riktar kritik mot företags kakbanners (30 april 2025)
• IMY: Fyra bolag måste sluta använda Google Analytics (3 juli 2023)
• ePrivacydirektivet 2002/58/EG (konsoliderad), artikel 5.3
• Dataskyddsförordningen (EU) 2016/679
• EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
• EDPB: Riktlinjer 05/2020 om samtycke enligt förordning 2016/679
• EU-domstolen: mål C-673/17, Planet49 (1 oktober 2019)
• EU-domstolen: pressmeddelande 113/23 om mål C-252/21, Meta Platforms mot Bundeskartellamt (4 juli 2023)
• Google: An introduction to server-side tagging
• Google: Implement consent mode with server-side Tag Manager
• Google: Custom domain for server-side tagging
• Meta for Developers: Conversions API
• Meta for Developers: Data Processing Options for US users
• Meta: Business Tools Terms
• CNIL: Mesure d’audience et transferts de données (på franska)