Løftet om “intet banner nødvendigt”

Privatlivsfokuserede analyseværktøjer markedsfører sig ofte som cookiefri, og nogle går videre og antyder, at du ikke længere har brug for et samtykkebanner. For en udgiver med en slank stack er det en tiltalende tanke. Virkeligheden er mere nuanceret. Om samtykke er nødvendigt, afhænger af, hvad værktøjet rent faktisk gør på enheden, hvilke data det behandler, hvor dine brugere befinder sig, og hvad der ellers kører på dine sider.

Denne artikel forklarer de spørgsmål, du bør stille, før du fjerner analytics fra din samtykkeopsætning. Det er generel vejledning, ikke juridisk rådgivning.

Cookies er ikke den eneste udløser

I EU stammer samtykkereglen for enheder fra artikel 5, stk. 3 i ePrivacy-direktivet. Den dækker lagring af oplysninger på eller adgang til oplysninger fra en brugers enhed — ikke kun cookies. Lokal lagring, sessionslagring, pixels, der får oplysninger til at blive læst, og teknikker, der udleder identifikatorer af enhedens kendetegn, kan alle falde ind under den. Det Europæiske Databeskyttelsesråd fremlagde denne brede læsning i sine retningslinjer 2/2023 om det tekniske anvendelsesområde for artikel 5, stk. 3.

“Vi sætter ikke cookies” er derfor starten på analysen, ikke enden. Du skal vide, om værktøjet overhovedet gemmer eller læser noget på enheden.

Fire spørgsmål at stille om ethvert analyseværktøj

1. Gemmer eller læser det noget på enheden?

Tjek browserens lagringspaneler efter en sideindlæsning: cookies, lokal lagring, sessionslagring, IndexedDB. Tjek scriptet for kode, der indsamler enhedens kendetegn for at danne en identifikator. Hvis noget gemmes eller læses til analyseformål, er ePrivacy-reglen aktiveret, medmindre en undtagelse gælder.

2. Behandler det personoplysninger?

Selv uden lagring på enheden behandler analytics normalt IP-adresser, user agents og side-URL'er. Under GDPR kan disse være personoplysninger. Det kræver et retsgrundlag — som kan være legitim interesse frem for samtykke — plus gennemsigtighed i din privatlivserklæring, dataminimering og passende opbevaring. “Intet banner” betyder aldrig “ingen forpligtelser”.

3. Gælder der en undtagelse i dine brugeres lande?

Nogle tilsynsmyndigheder anerkender, at begrænset publikumsmåling kan være undtaget fra samtykke, hvis strenge betingelser er opfyldt. Frankrigs CNIL har offentliggjort betingelser for at undtage trackere til publikumsmåling og fører et program, der identificerer værktøjer, som kan konfigureres til at opfylde dem. Betingelserne omfatter typisk udelukkende førstepartsbrug, kun aggregerede statistikker, ingen sporing på tværs af websteder og begrænset opbevaring. Det britiske Data (Use and Access) Act 2025 indførte nye undtagelser fra PECR's samtykkekrav, blandt andet for visse statistiske formål, med forbehold for betingelser som klar information og en mulighed for at gøre indsigelse. Ikke alle lande ser ens på det, så tjek situationen på hvert marked, du betjener, og hvilke bestemmelser der er i kraft.

4. Deles dataene med andre?

Hvis værktøjet sender data til en leverandør, der bruger dem til egne formål eller kombinerer dem på tværs af kunder, bortfalder undtagelser generelt. Læs behandlingsvilkårene, ikke kun marketingsiden.

Hvad der som regel stadig kræver samtykke

• Annoncetags. Annoncefinansierede udgivere har brug for samtykke til personaliseret annoncering og til lagring på enheden hos annonceleverandører, uanset hvad deres analyseværktøj gør.
• Værktøjer med identifikatorer på tværs af sessioner. Vedvarende besøgs-ID'er, selv af første part, har tendens til at flytte et værktøj uden for de fleste undtagelser.
• Sessionsafspilning og heatmaps. Disse registrerer detaljeret adfærd og behandles sjældent som undtaget måling.
• Indlejret indhold og sociale widgets. Disse sætter deres egne cookies og identifikatorer.
• Konverterings- og remarketingpixels. Disse findes for at knytte adfærd til annoncering.

For de fleste annoncefinansierede websteder kræves banneret under alle omstændigheder til annoncestacken. Det egentlige spørgsmål er, om analytics skal være en af de afgrænsede kategorier eller kan køre uafhængigt under en snæver undtagelse.

En praktisk måde at beslutte på

1. List hvert analysescript og det, det gemmer, læser og sender.
2. Identificér de lande, hvor de fleste af dine brugere befinder sig.
3. Tjek for hvert værktøj, om dets konfiguration opfylder en undtagelse, der er anerkendt i de lande.
4. Konfigurér værktøjet til den strengeste version, du har brug for: IP-afkortning, ingen vedvarende ID'er, kort opbevaring, ingen datadeling.
5. Dokumentér begrundelsen, og hav under alle omstændigheder analyseværktøjet opført i din cookiepolitik og privatlivserklæring.
6. Tjek igen, når leverandøren ændrer sit produkt, eller dine markeder ændrer sig.

Drift af undtaget analytics ved siden af en CMP

Hvis du beslutter, at et værktøj opfylder betingelserne, så opfør det i din CMP som strengt nødvendigt eller undtaget, så det oplyses, men ikke afgrænses, og sørg for, at dets konfiguration holder sig inden for undtagelsen. Mange udgivere beholder også en samtykkeafhængig analyseopsætning til rigere måling og bruger Google Consent Mode v2 eller lignende signaler til at justere den ud fra brugerens valg. FlexyConsent understøtter Google Consent Mode v2 ved siden af IAB TCF 2.4 og IAB GPP v1.1.

Vigtigste pointer

• “Cookiefri” betyder ikke automatisk “intet samtykke nødvendigt”; artikel 5, stk. 3 dækker enhver lagring på eller adgang til enheden.
• Analytics uden lagring på enheden kan stadig behandle personoplysninger og kræver et retsgrundlag og gennemsigtighed.
• Undtagelser for publikumsmåling findes i nogle lande, men har strenge betingelser.
• Annonce-, sessionsafspilnings- og remarketingtags kræver stadig samtykke.
• Dokumentér, hvorfor et værktøj behandles som undtaget, og tjek det regelmæssigt igen.