Løftet om “ingen banner nødvendig”

Personvernfokuserte analyseverktøy markedsfører seg ofte som informasjonskapselfrie, og noen går lenger og antyder at du ikke lenger trenger et samtykkebanner. For en utgiver med en slank stack er det en forlokkende tanke. Virkeligheten er mer nyansert. Om samtykke er nødvendig, avhenger av hva verktøyet faktisk gjør på enheten, hvilke data det behandler, hvor brukerne dine er, og hva annet som kjører på sidene dine.

Denne artikkelen forklarer spørsmålene du bør stille før du fjerner analytics fra samtykkeoppsettet ditt. Det er generell veiledning, ikke juridisk rådgivning.

Informasjonskapsler er ikke den eneste utløseren

I EU kommer samtykkeregelen for enheter fra artikkel 5 nr. 3 i ePrivacy-direktivet. Den dekker lagring av informasjon på, eller tilgang til informasjon fra, en brukers enhet — ikke bare informasjonskapsler. Lokal lagring, øktlagring, piksler som får informasjon til å bli lest, og teknikker som utleder identifikatorer fra enhetens egenskaper kan alle falle inn under den. Det europeiske personvernrådet la frem denne brede lesningen i sine retningslinjer 2/2023 om det tekniske virkeområdet for artikkel 5 nr. 3.

“Vi setter ikke informasjonskapsler” er derfor starten på analysen, ikke slutten. Du må vite om verktøyet i det hele tatt lagrer eller leser noe på enheten.

Fire spørsmål å stille om ethvert analyseverktøy

1. Lagrer eller leser det noe på enheten?

Sjekk nettleserens lagringspaneler etter en sideinnlasting: informasjonskapsler, lokal lagring, øktlagring, IndexedDB. Sjekk skriptet for kode som samler inn enhetens egenskaper for å danne en identifikator. Hvis noe lagres eller leses for analyseformål, er ePrivacy-regelen utløst med mindre et unntak gjelder.

2. Behandler det personopplysninger?

Selv uten lagring på enheten behandler analytics vanligvis IP-adresser, user agents og side-URL-er. Under GDPR kan disse være personopplysninger. Det krever et rettslig grunnlag — som kan være berettiget interesse snarere enn samtykke — pluss åpenhet i personvernerklæringen din, dataminimering og passende lagringstid. “Ingen banner” betyr aldri “ingen forpliktelser”.

3. Gjelder det et unntak i brukernes land?

Noen tilsynsmyndigheter anerkjenner at begrenset publikumsmåling kan være unntatt fra samtykke hvis strenge vilkår er oppfylt. Frankrikes CNIL har publisert vilkår for å unnta sporere for publikumsmåling og fører et program som identifiserer verktøy som kan konfigureres for å oppfylle dem. Vilkårene omfatter typisk utelukkende førstepartsbruk, bare aggregert statistikk, ingen sporing på tvers av nettsteder og begrenset lagring. Det britiske Data (Use and Access) Act 2025 innførte nye unntak fra PECRs samtykkekrav, blant annet for visse statistiske formål, med forbehold om vilkår som klar informasjon og en mulighet til å protestere. Ikke alle land ser likt på det, så sjekk situasjonen i hvert marked du betjener og hvilke bestemmelser som er i kraft.

4. Deles dataene med andre?

Hvis verktøyet sender data til en leverandør som bruker dem til egne formål eller kombinerer dem på tvers av kunder, bortfaller unntak generelt. Les behandlingsvilkårene, ikke bare markedsføringssiden.

Hva som vanligvis fortsatt krever samtykke

• Annonsetagger. Annonsefinansierte utgivere trenger samtykke til personalisert annonsering og til lagring på enheten hos annonseleverandører, uansett hva analyseverktøyet deres gjør.
• Verktøy med identifikatorer på tvers av økter. Vedvarende besøks-ID-er, selv av første part, har en tendens til å flytte et verktøy utenfor de fleste unntak.
• Øktgjengivelse og heatmaps. Disse fanger opp detaljert atferd og behandles sjelden som unntatt måling.
• Innebygd innhold og sosiale widgets. Disse setter sine egne informasjonskapsler og identifikatorer.
• Konverterings- og remarketingpiksler. Disse finnes for å knytte atferd til annonsering.

For de fleste annonsefinansierte nettsteder kreves banneret uansett for annonsestacken. Det egentlige spørsmålet er om analytics skal være en av de avgrensede kategoriene eller kan kjøre uavhengig under et snevert unntak.

En praktisk måte å bestemme på

1. List opp hvert analyseskript og hva det lagrer, leser og sender.
2. Identifiser landene der de fleste brukerne dine befinner seg.
3. Sjekk for hvert verktøy om konfigurasjonen oppfyller et unntak som er anerkjent i de landene.
4. Konfigurer verktøyet til den strengeste versjonen du trenger: IP-avkorting, ingen vedvarende ID-er, kort lagring, ingen datadeling.
5. Dokumenter begrunnelsen, og ha uansett analyseverktøyet oppført i retningslinjene dine for informasjonskapsler og personvernerklæringen.
6. Sjekk på nytt når leverandøren endrer produktet sitt eller markedene dine endres.

Å kjøre unntatt analytics ved siden av en CMP

Hvis du bestemmer at et verktøy kvalifiserer, før det opp i CMP-en din som strengt nødvendig eller unntatt, slik at det opplyses om, men ikke avgrenses, og sørg for at konfigurasjonen holder seg innenfor unntaket. Mange utgivere beholder også et samtykkeavhengig analyseoppsett for rikere måling og bruker Google Consent Mode v2 eller lignende signaler til å justere det ut fra brukerens valg. FlexyConsent støtter Google Consent Mode v2 ved siden av IAB TCF 2.4 og IAB GPP v1.1.

Viktigste poenger

• “Informasjonskapselfri” betyr ikke automatisk “ingen samtykke nødvendig”; artikkel 5 nr. 3 dekker all lagring på og tilgang til enheten.
• Analytics uten lagring på enheten kan fortsatt behandle personopplysninger og krever et rettslig grunnlag og åpenhet.
• Unntak for publikumsmåling finnes i noen land, men har strenge vilkår.
• Annonse-, øktgjengivelses- og remarketingtagger krever fortsatt samtykke.
• Dokumenter hvorfor et verktøy behandles som unntatt, og sjekk det jevnlig på nytt.