Den fejl tilsynet oftest finder, er ikke et manglende banner. Det er et banner, der ser rigtigt ud, men hvor sporingen kører alligevel. I en stikprøve fra august 2024 undersøgte Digitaliseringsstyrelsen 200 tilfældigt udvalgte danske hjemmesider — samtlige indsamlede data, før brugeren havde givet samtykke. Her er hvorfor det sker, og hvordan du retter det.
Hvad loven kræver
Cookiebekendtgørelsens § 3, stk. 1 siger, at du ikke må lagre eller tilgå oplysninger i brugerens udstyr uden samtykke. Vejledningen fra maj 2025 præciserer rækkefølgen: samtykke skal indhentes, inden du indsamler og behandler oplysninger — altså inden du placerer cookies i brugerens browser.
Digitaliseringsstyrelsen formulerer det direkte: det er alene teknisk nødvendige sporingsteknologier, der må anvendes inden samtykke. Alt andet må først sættes, efter der er givet et gyldigt samtykke.
Mange løsninger viser et banner og gemmer brugerens valg i en cookie — men gør ikke noget for at holde de øvrige scripts tilbage. Resultatet er, at du ser compliant ud og stadig overtræder § 3. Det er den mest udbredte fejl på danske sites.
Sådan finder tilsynet fejlen
Digitaliseringsstyrelsen bruger et program, der åbner hjemmesiden i en browser og scanner den i 30 sekunder for at registrere, hvilke teknologier der sættes, før brugeren har givet samtykke. Derefter filtreres de teknisk nødvendige teknologier fra, som styrelsen kender.
Det, der er tilbage, ender i et bilag til høringsbrevet. Du skal derefter redegøre for hver enkelt teknologi — opdelt efter formål og funktion — og forklare, hvorfor den var der.
De to måder at blokere
Automatisk blokering
Samtykkeløsningen genkender kendte tredjepartsscripts og holder dem tilbage, indtil brugeren har taget stilling. Du behøver ikke at ændre din kode.
Fordelen er robusthed: når en kollega installerer et nyt plugin eller marketingafdelingen tilføjer en pixel, bliver det også fanget. Ulempen er, at genkendelsen sker mod en liste over kendte teknologier — hjemmelavede eller sjældne scripts kan slippe igennem.
Manuel blokering
Du markerer selv hvert script, typisk ved at ændre type="text/javascript" til en blokeringstype eller tilføje et data-attribut, som samtykkeløsningen genkender.
Fordelen er præcis kontrol. Ulempen er, at det kræver disciplin i al fremtid — hvert nyt script skal markeres manuelt, og glemmer nogen det, er sitet ulovligt uden at nogen bemærker det.
I praksis er kombinationen bedst: automatisk blokering som sikkerhedsnet, plus manuel markering af det, du selv har bygget.
Tjek dit eget site på to minutter
- Åbn et privat vindue — ellers har du allerede givet samtykke
- Har du et cache-plugin, ryd cachen først
- Gå ind på forsiden, men klik ikke i banneret
- Åbn udviklerværktøjerne med F12 og gå til fanen Application eller Lagring
- Se listen over cookies under dit domæne
- Gå til fanen Netværk og filtrér på eksterne domæner
Er der andet end WordPress' eller CMS'ets egne sessionscookies og samtykkeløsningens egen cookie, sættes der teknologier for tidligt.
Sporing sniger sig oftest ind på undersider: en indlejret video i et blogindlæg, et kort på kontaktsiden, en anmeldelseswidget på et produkt, eller et chatværktøj der først indlæses efter nogle sekunder. Test forsiden, en produktside, et blogindlæg, kontaktsiden og gerne en checkout.
De fem steder sporingen typisk slipper igennem
- Scripts i temaet. Analytics eller Tag Manager hardkodet i headeren, uden betingelse
- Indlejret indhold. YouTube, Vimeo, Google Maps og opslag fra sociale medier sætter cookies ved sideindlæsning
- Skrifttyper fra tredjeparter. Google Fonts hentet fra Googles servere. Vejledningen accepterer levering af skrifttyper som teknisk nødvendig, men kun hvis tredjeparten udelukkende bruger oplysningerne til at levere skrifttyperne og ikke sporer på tværs af sites
- Tag Manager der fyrer for tidligt. Containeren er blokeret korrekt, men et tag har en trigger, der ikke tager hensyn til samtykke
- Rækkefølgen i
head. Samtykkeløsningen indlæses efter de scripts, den skal blokere — så kommer den for sent
Når det går galt: hvad tilsynet gør
Processen er dialogbaseret. Du får et høringsbrev med som udgangspunkt 14 dages frist og et skema, der skal udfyldes teknologi for teknologi. Retter du ikke op, følger et påbud med fire ugers frist, derefter en rykker, og først derefter en mulig politianmeldelse.
I 2025 førte Digitaliseringsstyrelsen tilsyn med 146 tjenester. 11,6 % endte i påbud — og 100 % overholdt lovgivningen efter afsluttet tilsyn. Systemet er indrettet til at få folk til at rette ind.
Alstrøm-sagen fra oktober 2021 er værd at kende: her fik virksomheden alvorlig kritik af Datatilsynet for at have sat 18 cookies før samtykke. At det skyldtes en teknisk fejl i kort tid kunne ikke føre til et andet resultat. Det er altså ikke en gyldig undskyldning, at det var utilsigtet.
Kort opsummeret
- Kun teknisk nødvendige teknologier må sættes før samtykke — alt andet skal holdes tilbage
- Et banner uden reel blokering er en overtrædelse af § 3, uanset hvor pænt det ser ud
- Tilsynet scanner sitet i 30 sekunder og dokumenterer hvad der sættes før samtykke
- Automatisk blokering er mere robust end manuel markering, fordi nye scripts fanges automatisk
- Samtykkescriptet skal indlæses før alt det, det skal blokere
- Test i privat vindue med ryddet cache — og test flere sidetyper end forsiden
- En kortvarig teknisk fejl fritager dig ikke for ansvar
Automatisk blokering er det parameter, udbyderne skiller sig mest på. Se udbyderne side om side.
Kilder
- Bekendtgørelse nr. 1148 af 9. december 2011, § 3 og § 4 — retsinformation.dk
- Cookievejledningen, maj 2025 — digst.dk
- Mangler — sporingsteknologier der anvendes inden samtykke — digst.dk
- Danske hjemmesider indsamler data uden samtykke, august 2024 — digst.dk
- Vores tilsyn — tilsynstal for 2025 — digst.dk
- Alvorlig kritik af Alstrøm – Din Isenkræmmer ApS, oktober 2021 — datatilsynet.dk
