Kort svar: ja, om din webbplats använder cookies eller liknande spårning som inte är strikt nödvändig (till exempel Google Analytics, Meta Pixel, annonstaggar eller inbäddade videor) och har besökare i EU. Du måste be om samtycke innan de cookiesarna sätts, och en cookiebanner är hur du frågar.
Om webbplatsen bara använder strikt nödvändiga cookies, som en varukorg, en inloggning eller en säkerhetscookie, behövs inget samtycke. Men du måste fortfarande informera besökarna om vad du använder.
Vad lagen säger
- Lagen om elektronisk kommunikation (9 kap. 28 §), som bygger på EU:s ePrivacy-direktiv, kräver samtycke innan information lagras eller läses på besökarens enhet, om det inte är strikt nödvändigt för en tjänst som besökaren har bett om. Det gäller cookies, local storage, spårningspixlar och liknande teknik.
- GDPR anger vad ett giltigt samtycke är: frivilligt, specifikt, informerat och otvetydigt, lika lätt att återkalla som att ge, och något du ska kunna visa att du har fått.
Vilka cookies kräver samtycke?
| Kräver samtycke | Kräver oftast inte |
|---|---|
| Analys (Google Analytics, Hotjar) | Varukorg |
| Annonsering och retargeting (Meta Pixel, Google Ads) | Inloggning |
| Inbäddade videor och sociala medier | Säkerhet och lastbalansering |
| A/B-tester och personalisering | Att minnas besökarens cookieval |
Det här måste en giltig cookiebanner göra
- Blockera cookies som inte är nödvändiga tills besökaren säger ja. Att ladda Google Analytics först och fråga sedan är inte samtycke.
- Göra "Neka" lika enkelt som "Acceptera". Europeiska tillsynsmyndigheter förväntar sig ett nekaval redan i bannerns första lager.
- Inga förkryssade rutor. EU-domstolen slog fast i Planet49 (2019) att förkryssade rutor inte är giltigt samtycke.
- Låta besökaren välja per kategori (till exempel statistik eller marknadsföring) och ändra sig senare.
- Spara samtycket: vem som samtyckte till vad, och när.
Vad händer om man struntar i det?
Tillsynsmyndigheterna agerar. IMY gav 2024 apotekskedjan Apoteket en sanktionsavgift på 37 miljoner kronor efter att dess Meta Pixel skickat kunduppgifter till Meta. Enligt GDPR kan böterna uppgå till 20 miljoner euro eller 4 % av den globala årsomsättningen.
Så kontrollerar du din webbplats
Gör en gratis cookieskanning för att se vilka cookies webbplatsen sätter innan besökaren har sagt ja. Om något annat än strikt nödvändiga cookies dyker upp behöver du en banner som blockerar dem tills samtycke finns.
Cookiefy är en cookiebanner som gör det automatiskt, med en gratisplan för 1 webbplats.
Det här är allmän information, inte juridisk rådgivning. Fråga en jurist eller IMY om din specifika situation.