Uklassificerede sporingsteknologier er år efter år blandt de tre hyppigste mangler, Digitaliseringsstyrelsen finder. I en stikprøve fra august 2024 havde 42,2 % af de undersøgte danske hjemmesider uklassificerede cookies. Det er ikke en teknisk detalje — det er en selvstændig overtrædelse. Her er hvordan du klassificerer korrekt.
Hvorfor klassificering er et lovkrav
Cookiebekendtgørelsens § 3 kræver, at du informerer brugeren om formålet med at anvende sporingsteknologier. Digitaliseringsstyrelsen udtrykker konsekvensen direkte: det er ikke i overensstemmelse med reglerne at have uklassificerede sporingsteknologier.
Logikken er ligetil. Kan du ikke fortælle, hvad en teknologi bruges til, kan brugeren ikke give et informeret samtykke. Og et samtykke, der ikke er informeret, er ikke gyldigt.
Mange cookiedeklarationer har en sektion med overskriften "Uklassificerede" — ofte med et halvt dusin poster i. Det er ikke en løsning, det er en dokumentation af problemet. Hver enkelt post skal have et formål tilknyttet.
De fire kategorier i praksis
Reglerne foreskriver ikke bestemte kategorinavne. Kravet er, at brugeren kan give særskilt samtykke til de overordnede formål. I praksis har fire kategorier vundet indpas, og de svarer godt til, hvordan tilsynet tænker.
1. Nødvendige
Teknologier der er teknisk nødvendige for, at tjenesten virker efter hensigten — og hvor de indsamlede oplysninger ikke bruges til andre formål. Disse må sættes uden samtykke efter bekendtgørelsens § 4.
Vejledningen nævner konkret: login og brugervalidering, elektroniske indkøbskurve, brugerdefinerede indstillinger som sprog og skriftstørrelse, autentificering på tjenester med begrænset adgang, og load balancing.
Selve samtykkeløsningens egen cookie hører også her — den skal huske brugerens valg.
2. Præferencer eller funktionelle
Teknologier der husker valg, brugeren selv har foretaget, men som ikke er strengt nødvendige for at siden virker. Grænsen til "nødvendige" er glidende og er den, folk oftest tager for let på.
Et eksempel fra vejledningen: levering af skrifttyper fra en tredjepart kan være teknisk nødvendig — men kun hvis tredjeparten udelukkende bruger oplysningerne til at levere skrifttyperne og ikke til at spore brugeren på tværs af hjemmesider og platforme. Henter du Google Fonts direkte fra Googles servere, skal du selv kunne godtgøre, at forudsætningen er opfyldt. Ingen dansk myndighed har afgjort spørgsmålet, men den sikre løsning er at hente skrifttyperne lokalt, så spørgsmålet ikke opstår.
3. Statistik
Teknologier der måler, hvordan siden bruges. Kræver samtykke.
Digitaliseringsstyrelsen prioriterer ikke tilsyn med sporingsteknologier, der udelukkende bruges til simpel statistik. Fire betingelser skal være opfyldt: der indhentes kun oplysninger om brugerens besøg og/eller enhedens karakteristika; det indsamlede kombineres ikke med oplysninger fra anden kontekst; alene hjemmesideejeren råder over data, men tredjeparter må stå for den tekniske udførelse; og oplysningerne bruges ikke til andet end trafikmåling til analyse og optimering af hjemmesiden.
Bemærk to ting. Det er en prioritering af tilsynet, ikke en lovlig undtagelse — og GDPR gælder stadig, hvis der behandles personoplysninger. Det er dit ansvar at vurdere, om en tredjepartsleverandør faktisk lever op til betingelserne.
Om Google Analytics opfylder de fire betingelser, afhænger af opsætningen — særligt om data kombineres på tværs af kontekster, og om Google har selvstændige formål med behandlingen. Der findes ingen dansk myndighedsafgørelse, der fastlægger det generelt, så vurderingen er din. Bemærk desuden, at nedprioriteringen kun gælder Digitaliseringsstyrelsens tilsyn med cookiebekendtgørelsen — Datatilsynet har en offentliggjort vurdering, der er kritisk over for Google Analytics.
4. Markedsføring
Teknologier til annoncering, remarketing, målgruppedannelse og sporing på tværs af sites. Kræver samtykke, og det er her de fleste teknologier på et typisk dansk site hører hjemme. Meta-pixel, Google Ads-tags, LinkedIn Insight Tag, TikTok-pixel — alle her.
Hvad du skal oplyse for hver teknologi
Anvender du teknologier til andet end det rent teknisk nødvendige, skal brugeren oplyses om følgende for hver enkelt:
- Alle anvendte teknologier, der ikke er teknisk nødvendige
- Formålet med den enkelte teknologi
- Udbyderen af teknologien
- Funktionsvarigheden — altså udløbsdatoen, hvor længe teknologien indsamler og lagrer oplysninger på brugerens udstyr
Funktionsvarigheden er den, folk oftest glemmer. Digitaliseringsstyrelsen betragter den som en del af oplysningspligten om formål, og manglende funktionsvarighed er en selvstændig mangel i høringsbrevene.
Fordeling mellem lag 1 og lag 2
Du behøver ikke at proppe alt ind i banneret. Vejledningen deler informationen op:
| Lag 1 — i selve banneret | Lag 2 — fold-ud, indstillinger eller politik |
|---|---|
| Din identitet og eventuelle samarbejdspartneres | Navnene på de enkelte teknologier |
| Formålet med indsamlingen | Hvem der står bag hver teknologi |
| Hvilke typer personoplysninger der behandles | Formål og udløbsdato pr. teknologi |
| Om der indsamles eller videregives til tredjeparter | Vejledning i at trække samtykket tilbage og slette teknologier |
| At samtykket kan trækkes tilbage |
Oplysninger om samarbejdspartnere må gerne ligge i en fold-ud-menu i lag 1 — så længe den er "et klik væk".
Det er ikke tilstrækkeligt at skrive, at der bruges teknologier til statistik, hvis du også indsamler til markedsføring. Alle overordnede formål skal fremgå af bannerets første lag. Og formuleringen skal være specifik — "tredjepartsteknologier" siger intet om formålet og er ikke tilstrækkeligt.
Granularitet: samtykke pr. formål
Brugeren skal kunne give samtykke opdelt efter overordnede formål. Det er en overtrædelse alene at indhente ét samlet samtykke til alle formål.
Funktionen behøver ikke at ligge i bannerets første lag, men det skal være klart og tydeligt, at muligheden findes, og det skal fremgå af banneret, hvor den er placeret.
Det var netop granularitet, der var det første af de tre påbud, Digitaliseringsstyrelsen gav Meta og Google i oktober 2023.
Sådan gør du i praksis
- Kortlæg alt. Kør en scanning af sitet, og kig også i kildekoden efter tags, der indlæses dynamisk. Husk undersider, formularer, checkout og indlejret indhold som videoer og kort.
- Giv hver teknologi et formål. Er du i tvivl om, hvad en cookie gør, spørg leverandøren. Kan du ikke få svar, bør du overveje, om du skal bruge værktøjet.
- Vær kritisk over for "nødvendige". Test undtagelsen: virker tjenesten reelt ikke uden? Bruges oplysningerne til andet? Hvis ja til det sidste, er den ikke nødvendig.
- Skriv funktionsvarigheden på. For hver ikke-nødvendig teknologi.
- Sæt granularitet op pr. overordnet formål, og henvis til indstillingerne fra banneret.
- Genscan efter ændringer. Nye plugins, nye annoncepartnere og nye integrationer tilføjer teknologier, uden at nogen fortæller dig det. En kvartalsvis kontrol er et rimeligt minimum.
De fleste samtykkeplatforme scanner og foreslår kategorier automatisk. Det er et godt udgangspunkt, men forslagene er netop forslag — ansvaret for klassificeringen er dit, også når et værktøj har gættet.
Kort opsummeret
- Uklassificerede teknologier er en selvstændig overtrædelse, ikke en kosmetisk fejl
- Kategorinavnene er frie, men brugeren skal kunne samtykke pr. overordnet formål
- Kun det teknisk nødvendige må sættes før samtykke — og undtagelsen er snæver
- Du skal oplyse teknologi, formål, udbyder og funktionsvarighed
- Alle overordnede formål skal fremgå af bannerets første lag
- Simpel statistik nedprioriteres i tilsynet, men kun hvis fire betingelser er opfyldt — og GDPR gælder stadig
- Automatiske scanninger giver forslag, ikke ansvarsfrihed
Leder du efter en løsning, der scanner og klassificerer automatisk? Se udbyderne side om side på scanningsfrekvens og funktioner.
Kilder
- Mangler — uklassificerede sporingsteknologier, funktionsvarighed og granulering — digst.dk
- Cookievejledningen, maj 2025 — digst.dk
- Vores tilsyn — kriterierne for simpel statistik — digst.dk
- Danske hjemmesider indsamler data uden samtykke, august 2024 — digst.dk
- Bekendtgørelse nr. 1148 af 9. december 2011, § 3 og § 4 — retsinformation.dk
- Påbud til Meta og Google om blandt andet granularitet — digst.dk
