Shopify cookie banner: guide til Consent Mode v2

En Shopify-butik kan sættes op på få dage, men samtykke er sjældent lige så enkelt. Danske webshops bruger ofte en blanding af Shopifys egne funktioner, Google Analytics, Google Ads, Meta, kundechat, anmeldelser og scripts fra apps. De teknologier kan gemme oplysninger eller sende data, allerede når siden åbnes. Derfor skal banneret ikke kun se rigtigt ud. Det skal styre, hvad der faktisk sker før og efter kundens valg.

I Danmark bør opsætningen vurderes i lyset af databeskyttelsesreglerne og reglerne om lagring af eller adgang til oplysninger på brugerens udstyr. Datatilsynet fører tilsyn med databeskyttelse, mens Digitaliseringsstyrelsen offentliggør information om blandt andet cookieregler. Denne artikel er praktisk vejledning, ikke juridisk rådgivning. Kravene afhænger af butikkens konkrete teknologier, formål, datamodtagere og målgrupper.

Samtykke i Shopify er en kæde, ikke kun et banner

Et banner indsamler et valg. Den tekniske løsning skal derefter omsætte valget til den tilstand, som Shopify, pixels, Google-tags og tredjepartsscripts bruger. Hvis blot ét led ignorerer valget, kan data blive sendt for tidligt.

Shopify stiller en Customer Privacy API til rådighed. Den kan bruges til at læse og opdatere kundens privatlivsvalg i Shopifys miljø. Shopify har også en Web Pixels API, som giver en kontrolleret model for pixels og hændelser. De to grænseflader er relevante, men de betyder ikke automatisk, at alle installerede apps og alle scripts følger samme samtykketilstand.

Shopify ændrer løbende platform, checkout og privatlivsfunktioner. Kontrollér derfor den aktuelle dokumentation, butikkens markedsindstillinger og den konkrete adfærd i en testbutik. Antag ikke, at et app-script er blokeret, blot fordi en indstilling i Shopify er aktiveret.

En nyttig arkitektur har fire lag:

1. Banneret viser reelle valgmuligheder uden at presse kunden unødigt.
2. En samtykketilstand gemmer valget og kan dokumentere, hvornår det blev ændret.
3. Shopify og Google modtager de relevante signaler.
4. Apps, pixels og brugerdefinerede scripts respekterer valget i praksis.

Læs også den generelle guide til et GDPR-cookiebanner, hvis kategorier, knapper og informationstekst endnu ikke er fastlagt.

Nødvendig drift er ikke det samme som måling og markedsføring

En webshop kan have funktioner, der er nødvendige for at levere en tjeneste, kunden udtrykkeligt har bedt om. Det kan eksempelvis være kurv, sikkerhed, belastningsfordeling, checkout, login eller fastholdelse af et valg om cookies. At en cookie er praktisk for virksomheden, gør den dog ikke automatisk nødvendig.

Andre formål kræver normalt en mere forsigtig samtykkehåndtering:

Område	Typiske eksempler	Praktisk udgangspunkt
Butiksdrift	kurv, checkout, sikkerhed, sessionsstyring	vurder snævert, og dokumentér nødvendigheden
Statistik	besøg, konverteringer, produktvisninger	hold tilbage, indtil det relevante valg foreligger
Annoncering	Google Ads, Meta-pixels, målgrupper	aktivér først efter et gyldigt markedsføringsvalg
Remarketing	genkendelse på tværs af besøg og tjenester	kræver særlig opmærksomhed på modtagere og profilering
Personalisering	anbefalinger og tilpasset indhold	vurder teknologien og formålet, ikke kun funktionsnavnet

Kortlæg både browsercookies, local storage, pixels, serverkald og data, som en app sender via Shopifys hændelser. Et script kan behandle oplysninger uden at sætte en traditionel cookie. Omvendt kan en nødvendig cookie være legitim, selv om kunden afviser statistik og markedsføring.

Google Consent Mode v2 i en Shopify-butik

Google Consent Mode lader en hjemmeside sende samtykkesignaler til Google-tags. Version 2 omfatter især disse fire signaler:

• analytics_storage: om lagring til analyseformål er tilladt.
• ad_storage: om lagring til annoncering er tilladt.
• ad_user_data: om brugerdata må sendes til Google til annonceformål.
• ad_personalization: om data må bruges til personaliserede annoncer.

Start normalt med en restriktiv standardtilstand, før Google-tags eller en GTM-container får mulighed for at køre. Opdatér derefter signalerne, når kunden foretager eller ændrer sit valg. Rækkefølgen er vigtig: Hvis standarden først sættes efter tagget, kan det første kald allerede være afsendt.

Consent Mode er et teknisk signallag. Det indhenter ikke i sig selv et gyldigt samtykke, forklarer ikke formålene og erstatter hverken et banner, en konkret juridisk vurdering eller korrekt blokering af andre leverandørers scripts. Se den uddybende guide til Google Consent Mode v2 og opsætning med Google Tag Manager.

Tre praktiske implementeringsveje

1. Shopifys privatlivsindstillinger og egne mekanismer

Begynd med Shopifys indstillinger for kundebeskyttelse, markeder og cookie-banner. Fordelen er tættere sammenhæng med platformens egne grænseflader. Ulempen er, at en app eller et manuelt indsat script stadig kan have sin egen logik. Gennemgå derfor hver integration og ikke kun Shopifys oversigt.

2. En CMP som scriptbaseret løsning

En consent management platform kan samle banner, kategorier, samtykkelagring og signaler. CookiePilot kan anvendes som en praktisk CMP- og scriptbaseret mulighed, hvis den konfigureres til den konkrete Shopify-butik. Det er ikke en påstand om en særlig native CookiePilot Shopify-app eller en installation med ét klik. Apps, checkout-begrænsninger og pixels skal stadig kortlægges og testes.

Se CookiePilots funktioner, og sammenlign eventuelt tilgangen med Cookiebot-alternativet. Vælg ud fra dokumenterede behov frem for blot antallet af cookies, en scanner finder.

3. GTM og brugerdefinerede scripts

GTM giver fleksibilitet, men øger risikoen for forkert rækkefølge og overlappende styring. Definér standardtilstanden før containeren, brug samtykkekrav på tags, og sørg for, at opdateringen sker ved både accept, delvist valg og tilbagetrækning. Undgå at lade både temaet, en Shopify-app og GTM indlæse samme Google-tag.

Brugerdefinerede scripts i temaet bør have en tydelig ejer og versionshistorik. Kontrollér også scripts, der injiceres af apps, samt pixels, som ikke fremgår direkte af temakoden. En CMP kan ikke blokere en integration, den ikke kan se eller styre.

Testmatrix: bevis adfærden, før løsningen går i drift

Test i en ren browserprofil uden eksisterende samtykke. Udviklerværktøjernes faner for Application/Storage og Network er vigtigere end bannerets visuelle udtryk. Notér forventet og faktisk resultat.

Scenarie	Det skal kontrolleres
Før valg	restriktive standardsignaler, ingen unødvendig lagring eller markedsføringskald
Afvis alle	kurv og checkout virker; analyse- og annoncekald forbliver begrænsede
Kun statistik, hvis valget findes	analyse aktiveres, mens annonce- og personaliseringssignaler forbliver afvist
Acceptér alle	relevante tags starter én gang og modtager opdaterede signaler
Ændr eller træk samtykke tilbage	nye kald følger det nye valg uden at ødelægge butikken
Checkout og betaling	valg og nødvendig funktion fungerer gennem checkout og efter retur fra betaling
Web Pixels	pixelabonnementer og hændelser følger den forventede privatlivstilstand
Mobil	banner, præferencer, kurv og betaling fungerer på små skærme

Supplér tabellen med denne tjekliste:

• Ryd cookies, local storage og cache mellem scenarierne.
• Test både direkte besøg og landing fra en annonce med kampagneparametre.
• Filtrér netværksloggen efter Google, Meta og øvrige leverandørdomæner.
• Kontrollér de fire Consent Mode-signaler før og efter hvert valg.
• Gennemfør produktvisning, læg i kurv, checkout, testbetaling og retur til ordrebekræftelsen.
• Kontrollér, om temaændringer eller appopdateringer genindsætter scripts.
• Gentag på mindst én rigtig mobilbrowser, ikke kun responsiv visning på desktop.
• Gem dato, testmiljø, skærmbilleder og kendte undtagelser som dokumentation.

Implementering og løbende drift

Lav først en liste over alle tags, apps, pixels og lagringsteknologier. Angiv formål, leverandør, kategori, udløbstid, indlæsningssted og ejer. Fjern gamle integrationer, før du forsøger at styre dem. Konfigurér derefter bannertekst, kategorier og Google-signaler, og gennemfør hele testmatrixen.

Sæt en fast kontrol efter ændringer i tema, checkout, marketingopsætning eller Shopify-apps. En løsning, der virkede ved lancering, kan ændre adfærd, når en app får nye funktioner. Genbesøg også den juridiske vurdering, når formål eller datamodtagere ændres.

CookiePilot kan være relevant, hvis du ønsker ét sted til at administrere samtykke og den scriptbaserede opsætning. Gennemgå priser og kravene til din butik, eller kontakt CookiePilot for at drøfte en forsigtig implementering. Ingen CMP kan love efterlevelse alene; resultatet afhænger også af konfiguration, tekster, databehandling og løbende test.

Ofte stillede spørgsmål

Skal en dansk Shopify-butik altid have et cookiebanner?

Det afhænger af de teknologier, butikken bruger. Hvis der lagres eller tilgås oplysninger ud over det, som er strengt nødvendigt, vil et forudgående valg ofte være relevant. Få konkret rådgivning ved tvivl.

Blokerer Shopifys privatlivsindstillinger automatisk alle apps?

Det bør ikke antages. Apps kan bruge forskellige indlæsningsmetoder, pixels og eksterne tjenester. Kontrollér den aktuelle Shopify-dokumentation og test hvert netværkskald i den konkrete butik.

Er Google Consent Mode v2 det samme som samtykke?

Nej. Det er signaler til Google-tags. Banneret, informationen, valgets gyldighed og styringen af øvrige scripts skal håndteres særskilt.

Kan statistik aktiveres, mens markedsføring afvises?

Ja, hvis banneret tilbyder et sådant valg, og implementeringen holder kategorierne teknisk adskilt. Test, at analytics_storage og annoncesignalerne faktisk får forskellige værdier.

Virker samtykke automatisk gennem Shopify Checkout?

Ikke nødvendigvis i alle opsætninger. Checkout, betalingsudbyder og retur til ordrebekræftelsen skal testes. Mulighederne kan også afhænge af Shopifys aktuelle platform og butikkens plan.

Har CookiePilot en native Shopify-app med installation med ét klik?

Denne artikel lover ikke en sådan app. CookiePilot beskrives her som en CMP- og scriptbaseret mulighed, der kræver konfiguration, kortlægning og test i den enkelte butik.