Vejledninger fortæller dig, hvad reglerne siger. Afgørelser fortæller dig, hvor grænsen faktisk ligger. Datatilsynet har siden 2020 truffet en række afgørelser om cookiebannere og samtykke, og de tegner et ret præcist billede af, hvad der ikke holder. Her er sagerne, hvad de handlede om, og hvad de betyder for din hjemmeside.
Datatilsynet tager stilling til, om samtykket var gyldigt efter databeskyttelsesreglerne. Digitaliseringsstyrelsen tager stilling til, om cookiebekendtgørelsen blev overtrådt — altså om der blev sat teknologier før samtykke. Begge myndigheder kan behandle samme hjemmeside ud fra hver sin vinkel.
De tidlige sager: bannere uden afvis-knap
DMI, februar 2020 — alvorlig kritik
Danmarks Meteorologiske Institut viste bannerannoncer på dmi.dk gennem blandt andet Googles annonceplatform. Det betød, at oplysninger om de besøgende — IP-adresse, cookieidentifikatorer, hvilken side der blev anmodet om og hvornår — blev indsamlet og videregivet til Google.
Datatilsynet fandt, at ingen af betingelserne for lovlig behandling var opfyldt, og udtalte alvorlig kritik. Afgørelsen er også interessant, fordi tilsynet her afgrænsede sin egen kompetence: selve oplysningerne lagret i terminaludstyret hørte under cookiebekendtgørelsen og dermed under en anden myndighed.
golf.dk, november 2020 — alvorlig kritik
Samtykkeløsningen på golf.dk havde kun to knapper: "Tillad alle cookies" og "Vis detaljer". Der var ingen mulighed for at afvise, og fortsat brug af siden blev betragtet som samtykke. Sitet satte samtidig 13 præference-, 29 statistik-, 218 marketing- og 19 uklassificerede cookies.
Datatilsynet fandt kravene om frivillighed, granularitet og utvetydig viljestilkendegivelse tilsidesat. Selskabets argument om, at det først blev opmærksomt på praksisændringen i april 2020, blev afvist.
Alstrøm, oktober 2021 — dark patterns
Dette er den centrale danske afgørelse om design. Alstrøm – Din Isenkræmmer fik tre sanktioner i samme afgørelse:
- Alvorlig kritik af den gamle løsning, der kun havde "Læs mere om cookies" og "Luk"
- Kritik af den nye løsning fra januar 2021, fordi den visuelle udformning skubbede brugeren mod "ACCEPTÉR ALLE" — en orange knap med hvid tekst — frem for "Acceptér", der var orange tekst på hvid baggrund med et "nærmest inaktivt udtryk"
- Alvorlig kritik af, at der blev sat 18 cookies før samtykke. At det skyldtes en teknisk fejl i kort tid kunne ikke føre til et andet resultat
Konsekvensen er konkret: hvis din afvis-knap er visuelt svagere end din accept-knap, er samtykket ikke frivilligt. Det gælder også, selvom begge knapper teknisk set er lige tilgængelige.
Næstved Kommune, november 2021 — kritik
Kommunens banner gav valgene "OK" eller "Vis detaljer". Datatilsynet udtalte kritik efter princippet om lovlighed, rimelighed og gennemsigtighed, fordi bannerteksten fik besøgende til at tro, at kommunen behandlede oplysninger til markedsføringsformål — hvilket ikke var tilfældet. Sagen er dog også interessant for det, tilsynet ikke kritiserede: behandling til statistiske formål kunne ske som led i kommunens myndighedsudøvelse.
Cookie walls: samtykke eller betaling
Fra 2023 flytter praksis sig til et sværere spørgsmål — må du kræve betaling af dem, der ikke vil samtykke?
GulogGratis, februar 2023 — påbud, men ingen kritik
GulogGratis tilbød adgang uden sporing mod 29 kr. om måneden. Datatilsynet fandt, at modellen opfyldte frivillighedskravet, fordi alternativet i vidt omfang var tilsvarende, og prisen ikke urimeligt høj.
Men selskabet fik alligevel et påbud: det havde ikke påvist, at samtykke til statistiske formål var en nødvendig del af betalingsalternativet. Enten skal man kunne påvise det, eller man skal give særskilt samtykkemulighed. Tilsynet undlod kritik, fordi spørgsmålene var principielle og nye.
Jysk Fynske Medier, februar 2023 — påbud
Samme dag faldt en afgørelse med modsat udfald på hovedspørgsmålet. På jv.dk fik man mod samtykke kun adgang til ulåste artikler, mens abonnenter fik alt indhold. Alternativet var altså ikke i vidt omfang tilsvarende, og brugeren havde derfor ikke et reelt frit valg.
Berlingske, 2024–2025 — påbud, ikke efterlevet, derefter efterlevet
Berlingske-sagen viser, hvad der sker, når et påbud ikke følges:
- Februar 2024: påbud. Cookie walls på indlejret delindhold — videoafspillere og blogindlæg — var utilgængeligt uden samtykke, og der var intet alternativ
- September 2024: Datatilsynet konstaterede, at påbuddet ikke var efterlevet
- Januar 2025: påbuddet nu efterlevet. Brugere, der afslår, kan tilgå delindhold, der i vidt omfang svarer til det samtykkebaserede
I den sidste afgørelse henviser Datatilsynet til Det Europæiske Databeskyttelsesråds udtalelse 08/2024 om "consent or pay": alternativet behøver ikke at være helt identisk.
Hvad med Google Analytics?
Her er det vigtigt at skelne mellem to ting. Datatilsynet har ikke truffet en dansk afgørelse i en konkret sag om Google Analytics — men tilsynet har offentliggjort en vurdering af værktøjet, og den konkluderer, at det ikke kan bruges lovligt uden supplerende foranstaltninger.
Tilsynet omtalte i januar 2022 det østrigske datatilsyns afgørelse. I juli 2023 afviste det eksplicit medieomtale af, at Google Analytics "igen er lovligt" efter EU-US Data Privacy Framework. Tilsynets egne ord: "Datatilsynet har dog ikke taget stilling til, om Google Analytics er lovligt." Det skal læses som, at der ikke er truffet afgørelse i en konkret sag — ikke som at tilsynet er neutralt over for værktøjet.
I juli 2026 opfordrede tilsynet dataansvarlige til at genbesøge landevurderingen i deres Transfer Impact Assessment og deres exit-strategier efter en amerikansk højesteretsafgørelse. Tilstrækkelighedsafgørelsen bag EU-US Data Privacy Framework består, indtil EU-Kommissionen eller EU-Domstolen kender den ugyldig. Tilsynet bemærker, at afgørelsen også kan få betydning for overførsler baseret på standardkontrakter.
Ingen cookiesag har udløst en bøde i Danmark
Det er værd at sige tydeligt: samtlige offentliggjorte danske cookieafgørelser er endt med kritik, alvorlig kritik eller påbud. Ingen af sagerne på Datatilsynets bødesagsoversigt handler om cookies eller sporing, og Digitaliseringsstyrelsen oplyste via Dansk Erhverv i september 2023, at ingen virksomheder var politianmeldt. Der kan naturligvis være sket noget siden, som ikke er offentliggjort.
Det skyldes blandt andet, at Datatilsynet i Danmark ikke selv kan udstede administrative bøder. Bøder skal afgøres ved domstolene, og tilsynet må politianmelde og indstille til et beløb.
Efter databeskyttelseslovens § 41, stk. 2, nr. 4 kan man straffes med bøde eller fængsel i op til 6 måneder for at undlade at efterkomme et påbud fra Datatilsynet. Det er sanktionssporet, hvis du ignorerer et cookiepåbud.
Hvad tilsynet kigger på i 2026
Datatilsynet har for 2026 udpeget "Danske hjemmesiders sporing af borgere" som et eksplicit fokusområde under overskriften "Overvågning gennem nye teknologier". Tilsynet skriver, at der fortsat foregår omfattende indhentning af personoplysninger på danske hjemmesider, hvor borgerne ikke har en reel mulighed for at sige nej.
Indsatsen sker koordineret med Digitaliseringsstyrelsen, som samme år har fokus på de mest anvendte danske apps.
Kort opsummeret
- Praksis er entydig: banner uden reel afvis-mulighed er ugyldigt samtykke
- Design tæller — en visuelt svagere afvis-knap kan i sig selv gøre samtykket ugyldigt
- Cookie walls kan være lovlige, men alternativet skal i vidt omfang svare til det samtykkebaserede
- Der findes ingen dansk afgørelse i en konkret Google Analytics-sag, men Datatilsynet har en offentliggjort vurdering, der er kritisk over for værktøjet
- Ingen offentliggjort cookiesag har udløst bøde i Danmark, men et ikke-efterlevet påbud er strafbelagt
- Sporing på danske hjemmesider er udpeget som fokusområde for 2026
Vil du sikre, at din samtykkeløsning kan levere granularitet og dokumentation? Se udbyderne side om side.
Kilder
- DMI's behandling af personoplysninger om hjemmesidebesøgende, februar 2020 — datatilsynet.dk
- Ugyldigt samtykke på hjemmeside (golf.dk), november 2020 — datatilsynet.dk
- Alvorlig kritik af Alstrøm – Din Isenkræmmer ApS, oktober 2021 — datatilsynet.dk
- Egendriftssag om kommunes behandling af oplysninger om hjemmesidebesøgende, november 2021 — datatilsynet.dk
- Gul og Gratis' brug af cookie walls, februar 2023 — datatilsynet.dk
- Jysk Fynske Mediers brug af cookie walls, februar 2023 — datatilsynet.dk
- Berlingske efterlever Datatilsynets påbud, januar 2025 — datatilsynet.dk
- Brug af Google Analytics kræver ikke kun lovlige overførsler til USA, juli 2023 — datatilsynet.dk
- Særlige fokusområder for Datatilsynets tilsynsaktiviteter i 2026 — datatilsynet.dk
- Datatilsynets vurdering af Google Analytics — datatilsynet.dk
- Amerikansk højesteretsafgørelse giver anledning til fornyet vurdering, juli 2026 — datatilsynet.dk
- Bødesager — datatilsynet.dk
