Cookies og samtykke i 2026 — sådan undgår du Datatilsynets opmærksomhed

Datatilsynet er ikke længere tålmodig

I 2024-2025 udstedte Datatilsynet flere bøder til danske virksomheder for ulovlige cookie-bannere. Reglerne er stramme og håndhæves.

De 7 krav til et lovligt cookie-banner

1. Ingen cookies sættes før samtykke (undtagen strengt nødvendige).
2. "Accepter alle" og "Afvis alle" skal være lige fremtrædende — samme størrelse, samme farve, samme klik.
3. Ingen prækrydsede checkbokse — alle ikke-nødvendige cookies skal være slået fra som default.
4. Klar oplysning om hvem der modtager data og hvad de bruges til.
5. Let at trække samtykke tilbage — typisk via et "ikon" der vises altid (fx i bunden af siden).
6. Granuleret valg — brugeren skal kunne vælge marketing fra men statistik til.
7. Dokumentation af samtykker (timestamp, version af banneret, valg).

"Cookie-walls" — typisk ulovligt

Du må ikke kræve at brugeren accepterer cookies for at se indholdet. Det er ikke frivilligt samtykke. Få medieoutlets har en lovlig "pay or consent" model, men det kræver en reel og rimelig alternativ pris.

Hvad regnes som "strengt nødvendigt"?

Cookies der er teknisk nødvendige for at siden virker:

• Session-cookies (login)
• Indkøbskurv
• CSRF-tokens
• Sprogvalg

Google Analytics, Meta Pixel, Hotjar — alt det er IKKE strengt nødvendigt.

Praktiske værktøjer

• Cookiebot (dansk) — gold standard, 100-1000 kr/md.
• CookieYes — billigere, godt nok til små sites.
• Klaro — open source, gratis, kræver lidt teknisk opsætning.

Bygger du på TanStack Start / React, kan Klaro eller egen implementering integreres på en eftermiddag.

Bøder

Datatilsynet har de sidste 12 måneder udstedt indstillinger om bøder fra 50.000 kr til 1.500.000 kr for cookie-overtrædelser. De mindre danske virksomheder slipper ikke fri.