Cookie-banner og GDPR for små bedrifter — hva må du faktisk ha?

«Vi bruker informasjonskapsler. Ved å fortsette å bruke siden samtykker du.» Hvis cookie-banneret ditt ser sånn ut, er det ulovlig. Punktum.

Reglene rundt cookies og GDPR virker kompliserte, men det praktiske minimumet for en liten norsk bedrift er faktisk overkommelig. Denne guiden viser hva du må ha — og hva du kan droppe.

Hva loven faktisk krever

To regelsett gjelder samtidig:

• Ekomloven §2-7b (cookie-paragrafen) krever samtykke før du lagrer informasjon på besøkendes enhet — med ett unntak (se under).
• GDPR krever at samtykke skal være frivillig, spesifikt, informert og utvetydig — og like enkelt å trekke tilbake som å gi.

I praksis betyr det: du må spørre om lov FØR du setter cookies som ikke er strengt nødvendige, og brukeren må kunne si nei like enkelt som ja.

Forskjellen på nødvendige og valgfrie cookies

Det viktige skillet er hva cookien gjør:

• Strengt nødvendige cookies: holder deg innlogget, husker hva som ligger i handlekurven, sørger for at språkvalget ditt huskes. Disse trenger du IKKE be om samtykke for.
• Statistikk/analyse: Google Analytics, Hotjar, Microsoft Clarity. Krever samtykke.
• Markedsføring: Facebook Pixel, Google Ads-sporing, LinkedIn Insight Tag. Krever samtykke.
• Tredjeparts innebygd innhold: YouTube-videoer, Google Maps, Instagram-feeds. Krever ofte samtykke.

Hvordan et lovlig banner ser ut

Et lovlig cookie-banner har:

1. En tydelig «Godta»-knapp OG en like tydelig «Avvis»-knapp — i samme størrelse, samme farge, samme synlighet. Det skal ikke være lettere å si ja enn å si nei.
2. Mulighet til å velge per kategori (statistikk, markedsføring, osv.) — ikke bare «alt eller ingenting».
3. Ingen sporing før brukeren faktisk har trykket «Godta». Skript som lastes før samtykke er ulovlig.
4. Mulighet til å trekke samtykket senere — typisk via en liten lenke i bunnen av siden.
5. Lenke til en personvernerklæring som forklarer hva som faktisk samles inn.

Vanlige fallgruver

• «Ved å bruke siden samtykker du» — ulovlig. Passivt samtykke godtas ikke.
• Stor grønn «Godta alle»-knapp og en grå tekstlenke «Innstillinger» — ulovlig. Knappene må være likeverdige.
• Banneret dukker opp, men Google Analytics er allerede lastet før du trykker noe — ulovlig.
• «Avvis»-valget skjuler banneret men setter cookies likevel — ulovlig (og vanlig).
• Bare engelsk tekst på en norsk side — ikke ulovlig, men reduserer gyldigheten av samtykket fordi det skal være «informert».

Sjekkliste for SMB

Det praktiske minimum for å sove godt om natten:

1. Bruk en cookie-løsning som faktisk blokkerer skript før samtykke (Cookiebot, CookieYes, Cookieinformation, eller en åpen kildekode-løsning som faktisk fungerer).
2. Konfigurer den riktig — det holder ikke å bare installere widgeten.
3. Test selv: åpne siden i inkognitomodus, trykk «Avvis» og sjekk i nettleserens utviklerverktøy at ingen analyse- eller annonseskript er lastet.
4. Skriv en kort, ærlig personvernerklæring som listet hva du samler inn og hvorfor.
5. Gjør samme test på ny en gang i halvåret — det er fort gjort at et nytt verktøy introduserer ny sporing.

Personvernerklæring kort forklart

Personvernerklæringen er den juridiske dokumentasjonen for det banneret lover. Den skal kort og enkelt si:

• Hvem som er behandlingsansvarlig (bedriften din — med org.nr og kontakt).
• Hva slags personopplysninger som samles inn (e-post, IP-adresse, atferd på siden, osv.).
• Hvorfor de samles inn (oppfylle avtale, markedsføring, statistikk).
• Hvem som har tilgang (interne, leverandører, underleverandører i USA).
• Hvor lenge de lagres.
• Hvilke rettigheter brukeren har (innsyn, sletting, klage til Datatilsynet).

Det trenger ikke være langt eller skrevet av en advokat — det skal være forståelig. Datatilsynet har gode maler på sine nettsider.

Hos NodeA avklarer vi behov for cookie-løsning og personvernerklæring før lansering. Privacy & Cookie Setup står som en egen tilleggstjeneste på prissiden; hva som leveres og inngår, skal fremgå av tilbudet.