GDPR och cookie-banner: praktisk guide för svenska webbplatser

En cookie-banner är mer än ett visuellt meddelande. Den behöver spegla vilka tekniker webbplatsen använder, respektera besökarens val och styra när valfria skript aktiveras. Fel i kopplingen mellan banner, taggar och tredjepartstjänster kan annars leda till att spårning startar trots att besökaren har avvisat den.

Den här guiden ger en praktisk arbetsgång för svenska webbplatser. Den ersätter inte juridisk rådgivning, och varken en banner eller en plattform för samtyckeshantering kan ensam garantera efterlevnad.

När behövs en cookie-banner?

Bedömningen bör utgå från vilka cookies och liknande tekniker webbplatsen faktiskt använder. Nödvändiga tekniker behöver skiljas från exempelvis analys, annonsering, personalisering och inbäddat innehåll. Läs den separata checklistan om när en cookie-banner behövs för en introduktion till frågan.

I Sverige är Integritetsskyddsmyndigheten (IMY) och Post- och telestyrelsen (PTS) relevanta myndigheter, men vilka regler och rättsliga grunder som gäller måste bedömas utifrån den aktuella behandlingen och tekniken. Låt en jurist eller annan sakkunnig granska formuleringar och upplägg vid osäkerhet.

Vad en cookie-banner behöver hantera

En välfungerande lösning bör göra det möjligt att:

• förklara varför besökaren ombeds göra ett val
• skilja nödvändiga tekniker från valfria kategorier
• erbjuda tydliga alternativ för att acceptera, avvisa och anpassa
• hindra valfria skript från att aktiveras innan rätt val har gjorts
• låta besökaren ändra sina inställningar i efterhand
• dokumentera bannerversioner, kategorier och registrerade val på ett begripligt sätt

Undvik otydliga kategorier och design som gör det märkbart svårare att avvisa än att acceptera. Knappar och beskrivningar bör vara skrivna på naturlig svenska och förstås utan juridiska eller tekniska förkunskaper.

Kontrollera mer än bannerns utseende

En snygg banner säger inget om vad som sker i bakgrunden. GA4, Google Ads, Meta Pixel, chattverktyg och inbäddade medier kan fortfarande skicka förfrågningar innan besökaren har gjort sitt val. Kontrollera därför både gränssnittet och nätverkstrafiken.

Praktisk arbetsgång för implementering

1. Inventera webbplatsens teknik

Lista cookies, skript, taggar, insticksprogram, inbäddningar och tredjepartsleverantörer. Kontrollera särskilt kassa, betalningsflöden, produktrekommendationer, analys och remarketing på e-handelssajter.

2. Definiera kategorier och texter

Bestäm vilka tekniker som är nödvändiga och vilka som ska omfattas av besökarens val. Skriv korta och konkreta beskrivningar av varje kategori. Flerspråkiga webbplatser bör använda granskade texter för respektive språk i stället för ordagranna maskinöversättningar.

3. Konfigurera skript och taggar

Koppla varje valfri tjänst till rätt kategori och kontrollera att den inte aktiveras för tidigt. Om Google Tag Manager används kan den praktiska guiden till Consent Mode v2 i Google Tag Manager hjälpa vid konfiguration och felsökning.

Consent Mode v2 är ett tekniskt signallager för Google-taggar. Det bör återspegla besökarens faktiska val och ska inte behandlas som en ersättning för samtyckesdialogen eller en juridisk bedömning.

4. Testa alla viktiga val

Använd en ren webbläsarprofil och testa minst:

• första besöket
• avvisande av valfria kategorier
• partiellt samtycke
• godkännande av samtliga kategorier
• ändring eller återkallande av ett tidigare val
• mobil visning och tangentbordsnavigering

Inspektera nätverksförfrågningar och lagrad webbläsardata i varje scenario. Den synliga bannern kan fungera samtidigt som en tagg laddas felaktigt.

5. Dokumentera ansvar och ändringar

Utse en ansvarig för samtyckeshanteringen. Dokumentera kategorier, leverantörer, GTM-utlösare, bannerversioner och datum för granskning. Om en byrå sköter webbplatsen bör samma information ingå i överlämningen.

Vanliga misstag

• Analys- eller marknadsföringsskript aktiveras före besökarens val.
• Kategorier och knappar har otydliga namn.
• Bannern fungerar på dator men täcker innehåll eller blir svår att använda på mobil.
• Nya insticksprogram och kampanjtaggar läggs till utan att samtyckesinställningarna uppdateras.
• Consent Mode v2 behandlas som en ersättning för samtycke.
• Det saknas ett enkelt sätt att ändra ett tidigare val.

Löpande kontroll

Granska lösningen efter större webbplatssläpp och när nya leverantörer, annonskanaler, insticksprogram eller språkversioner införs. En återkommande kontroll av skript, taggar och texter minskar risken för att webbplatsens beteende gradvis avviker från bannerns beskrivning.

Vanliga frågor

Garanterar en GDPR-cookiebanner att webbplatsen följer reglerna?

Nej. Bannern är bara en del av arbetet. Teknik, leverantörsval, information till besökare, rättsliga grunder och den faktiska implementeringen behöver också bedömas.

Ska det vara enkelt att avvisa?

Besökaren bör få tydliga och begripliga val utan ett gränssnitt som i onödan försvårar ett avvisande. Det exakta upplägget bör granskas mot aktuella krav och vägledningar.

Hur används samtyckesloggar?

Loggar kan bidra till intern uppföljning om de tydligt kan kopplas till bannerversion, kategorier, tidpunkt och registrerat val. Vilka uppgifter som ska sparas och hur länge kräver en separat bedömning.

Nästa steg

Börja med inventeringen och testa sedan webbplatsens faktiska beteende för varje samtyckesval. För teknisk vägledning finns CookiePilots dokumentation. Om du därefter vill bedöma om plattformen passar arbetsflödet kan du gå igenom CookiePilots funktioner.