Vad är cookies? Olika typer förklarade

Vad är en cookie?

En cookie är en liten textfil som en webbplats sparar i besökarens webbläsare. Nästa gång webbläsaren laddar en sida från samma webbplats skickas cookien tillbaka. På så sätt kan en webbplats komma ihåg saker: att du är inloggad, vad som ligger i din varukorg, vilket språk du har valt eller att du har varit där förut.

Cookies i sig är varken bra eller dåliga. Det som spelar roll är vad de används till. En cookie som håller koll på din varukorg är något du behöver; en cookie som följer dig över hundratals webbplatser för att bygga en annonsprofil är något du först måste godkänna.

Cookieregeln i korthet

I Sverige finns regeln i 9 kap. 28 § lagen (2022:482) om elektronisk kommunikation, som bygger på artikel 5.3 i EU:s ePrivacydirektiv. Du får bara lagra uppgifter på en besökares enhet, eller hämta dem därifrån, om besökaren har fått information om ändamålet och har samtyckt. Myndigheterna kallar cookies för kakor. Läs mer i Cookielagen i Sverige.

Det finns två undantag: inget samtycke krävs för lagring som behövs för att överföra ett elektroniskt meddelande, eller som är nödvändig för en tjänst som besökaren uttryckligen har begärt. Där samtycke krävs har det samma innebörd som i dataskyddsförordningen (GDPR): frivilligt, specifikt, informerat och genom en tydlig handling. EU-domstolen slog fast i Planet49 (2019) att en förkryssad ruta inte är ett giltigt samtycke, oavsett om cookien innehåller personuppgifter eller inte.

Olika typer av cookies

Efter vem som sätter dem

• Förstapartscookies sätts av webbplatsen du besöker, under dess egen domän.
• Tredjepartscookies sätts av en annan domän, till exempel ett annonsnätverk, en videoplattform eller en inbäddad widget från sociala medier.

Efter hur länge de finns kvar

• Sessionscookies försvinner när du stänger webbläsaren.
• Permanenta cookies finns kvar till ett visst utgångsdatum, från minuter till år. Google Analytics cookie _ga finns till exempel kvar i två år som standard.

Efter ändamål

Det är den här indelningen som avgör om du behöver samtycke.

Att statistik kräver samtycke är ingen teoretisk fråga. När PTS 2023 granskade Folkhälsomyndighetens webbplats krävde myndigheten att kakorna från statistikverktyget Matomo inte skulle sättas innan besökaren hade samtyckt. Vissa andra EU-länder, till exempel Frankrike, tillåter integritetsvänlig besöksmätning utan samtycke under strikta villkor, men ett sådant undantag finns inte i Sverige. Mer om detta i Google Analytics och GDPR.

Inte bara cookies

Regeln är teknikneutral. Den omfattar allt som lagrar information på en enhet eller läser den därifrån. I sina riktlinjer 2/2023 räknar Europeiska dataskyddsstyrelsen (EDPB) bland annat upp:

• Local storage och session storage i webbläsaren;
• Spårningspixlar och länkdekoration (identifierare som läggs till i URL:er);
• Skript som samlar in information från enheten och skickar den till en server;
• Fingerprinting, som känner igen en enhet på dess egenskaper;
• identifierare i appar och uppkopplade enheter.

Den svenska lagen har samma breda synsätt: den talar inte om cookies utan om att lagra och hämta uppgifter, och PTS påpekar att även andra tekniker än kakor omfattas. Så ”vi använder inga cookies, bara en pixel” räcker inte för att slippa reglerna.

Vad det här betyder för din webbplats

1. Ta reda på vad din webbplats faktiskt sätter. Plugins, inbäddade videor och marknadsföringstaggar lägger ofta till cookies som du inte känner till. En cookieskanner visar dem.
2. Sortera dem efter ändamål: nödvändiga, inställningar, statistik och marknadsföring.
3. Blockera allt som kräver samtycke tills besökaren godkänner, och gör det lika enkelt att neka som att godkänna. Det kräver PTS uttryckligen.
4. Förklara det i en cookiepolicy: varje cookie, dess ändamål, vem som sätter den och hur länge den finns kvar. Se vår mall för cookiepolicy.

Cookie Confirm skannar din webbplats varje månad (plus obegränsat antal omskanningar), sorterar de cookies som hittas, blockerar skript tills samtycke ges och håller din cookiepolicy uppdaterad.

Källor

• Lag (2022:482) om elektronisk kommunikation, 1 kap. 8 § och 9 kap. 28 § (riksdagen.se)
• PTS: Kakor (cookies)
• PTS: Underrättelse till Folkhälsomyndigheten om kakor, dnr 22-11376 (26 juni 2023)
• ePrivacydirektivet 2002/58/EG (konsoliderad version), artikel 5.3
• EU-domstolen: mål C-673/17, Planet49
• EDPB: Guidelines 2/2023 on the technical scope of Art. 5(3) ePrivacy Directive
• Artikel 29-gruppen: Opinion 04/2012 on cookie consent exemption
• CNIL: Solutions pour les outils de mesure d'audience
• Google Analytics-hjälpen: Cookies från Google Analytics 4