Löftet om “ingen banner behövs”

Integritetsfokuserade analysverktyg marknadsför sig ofta som cookielösa, och en del går längre och antyder att du inte längre behöver en samtyckesbanner. För en utgivare med en slimmad stack är det en lockande tanke. Verkligheten är mer nyanserad. Om samtycke behövs beror på vad verktyget faktiskt gör på enheten, vilka data det behandlar, var dina användare finns och vad mer som körs på dina sidor.

Den här artikeln förklarar de frågor du bör ställa innan du tar bort analys från din samtyckesuppsättning. Det är allmän vägledning, inte juridisk rådgivning.

Cookies är inte den enda utlösaren

I EU kommer samtyckesregeln för enheter från artikel 5.3 i ePrivacy-direktivet. Den omfattar lagring av information på, eller åtkomst till information från, en användares enhet — inte bara cookies. Lokal lagring, sessionslagring, pixlar som får information att läsas och tekniker som härleder identifierare från enhetens egenskaper kan alla falla inom den. Europeiska dataskyddsstyrelsen redogjorde för denna breda tolkning i sina riktlinjer 2/2023 om det tekniska tillämpningsområdet för artikel 5.3.

“Vi sätter inga cookies” är alltså början på analysen, inte slutet. Du behöver veta om verktyget lagrar eller läser något alls på enheten.

Fyra frågor att ställa om vilket analysverktyg som helst

1. Lagrar eller läser det något på enheten?

Kontrollera webbläsarens lagringspaneler efter en sidladdning: cookies, lokal lagring, sessionslagring, IndexedDB. Kontrollera skriptet efter kod som samlar in enhetsegenskaper för att bygga en identifierare. Om något lagras eller läses för analysändamål aktiveras ePrivacy-regeln om inget undantag gäller.

2. Behandlar det personuppgifter?

Även utan lagring på enheten behandlar analys vanligtvis IP-adresser, user agents och sid-URL:er. Enligt GDPR kan dessa vara personuppgifter. Det kräver en rättslig grund — som kan vara berättigat intresse snarare än samtycke — plus öppenhet i ditt integritetsmeddelande, uppgiftsminimering och lämplig lagringstid. “Ingen banner” betyder aldrig “inga skyldigheter”.

3. Gäller ett undantag i dina användares länder?

Vissa tillsynsmyndigheter erkänner att begränsad publikmätning kan vara undantagen från samtycke om strikta villkor är uppfyllda. Frankrikes CNIL har publicerat villkor för att undanta spårare för publikmätning och driver ett program som identifierar verktyg som kan konfigureras för att uppfylla dem. Villkoren omfattar vanligtvis strikt förstapartsanvändning, endast aggregerad statistik, ingen spårning över webbplatser och begränsad lagringstid. Storbritanniens Data (Use and Access) Act 2025 införde nya undantag från PECR:s samtyckeskrav, bland annat för vissa statistiska ändamål, med förbehåll för villkor som tydlig information och ett sätt att invända. Inte alla länder har samma syn, så kontrollera läget på varje marknad du betjänar och vilka bestämmelser som gäller.

4. Delas data med någon annan?

Om verktyget skickar data till en leverantör som använder dem för egna ändamål eller kombinerar dem över kunder faller undantagen i allmänhet bort. Läs behandlingsvillkoren, inte bara marknadsföringssidan.

Vad som vanligtvis fortfarande kräver samtycke

• Annonstaggar. Annonsfinansierade utgivare behöver samtycke för personifierad reklam och för lagring på enheten av annonsleverantörer, oavsett vad ditt analysverktyg gör.
• Verktyg med identifierare över sessioner. Beständiga besökar-ID:n, även förstapart, tenderar att ta ett verktyg utanför de flesta undantag.
• Sessionsuppspelning och värmekartor. Dessa fångar detaljerat beteende och behandlas sällan som undantagen mätning.
• Inbäddat innehåll och sociala widgets. Dessa sätter egna cookies och identifierare.
• Konverterings- och remarketingpixlar. Dessa finns för att koppla beteende till reklam.

För de flesta annonsfinansierade webbplatser krävs bannern för annonsstacken oavsett. Den verkliga frågan är om analys ska vara en av de spärrade kategorierna eller kan köras fristående under ett snävt undantag.

Ett praktiskt sätt att avgöra

1. Lista varje analysskript och vad det lagrar, läser och skickar.
2. Identifiera länderna där de flesta av dina användare finns.
3. Kontrollera för varje verktyg om dess konfiguration uppfyller ett undantag som erkänns i de länderna.
4. Konfigurera verktyget enligt den strängaste version du behöver: IP-trunkering, inga beständiga ID:n, kort lagringstid, ingen datadelning.
5. Dokumentera resonemanget och behåll analysverktyget listat i din cookiepolicy och ditt integritetsmeddelande oavsett.
6. Kontrollera på nytt när leverantören ändrar sin produkt eller dina marknader ändras.

Köra undantagen analys vid sidan av en CMP

Om du bedömer att ett verktyg kvalificerar, lista det som absolut nödvändigt eller undantaget i din CMP så att det redovisas men inte spärras, och se till att dess konfiguration håller sig inom undantaget. Många utgivare behåller även en samtyckesberoende analysuppsättning för rikare mätning och använder Google Consent Mode v2 eller liknande signaler för att justera den utifrån användarens val. FlexyConsent stöder Google Consent Mode v2 vid sidan av IAB TCF 2.4 och IAB GPP v1.1.

Viktiga slutsatser

• “Cookielös” betyder inte automatiskt “samtycke behövs inte”; artikel 5.3 omfattar all lagring på eller åtkomst till enheten.
• Analys utan lagring på enheten kan fortfarande behandla personuppgifter och kräver en rättslig grund och öppenhet.
• Undantag för publikmätning finns i vissa länder men kommer med strikta villkor.
• Annons-, sessionsuppspelnings- och remarketingtaggar kräver fortfarande samtycke.
• Dokumentera varför ett verktyg behandlas som undantaget och kontrollera det regelbundet på nytt.