Hva krever loven om informasjonskapsler nå?

Kort sagt: alt som ikke er strengt nødvendig for at nettsiden skal virke, må vente til brukeren har sagt ja.

Hva er nytt fra 2025?

Den gamle regelen, ekomloven fra 2003 § 2-7b, åpnet for at samtykke kunne gis gjennom innstillinger i nettleseren. I praksis betydde det at et banner med «ved å bruke siden godtar du» var godt nok for mange.

Den nye bestemmelsen krever samtykke som er gyldig etter personvernforordningen. Det vil si frivillig, spesifikt, informert og utvetydig, gitt gjennom en aktiv handling.

Følgene i praksis:

• Et forhåndskrysset valg er ikke samtykke.
• «Ved å fortsette å bruke nettstedet samtykker du» er ikke samtykke.
• En stor grønn «Godta alle» ved siden av en liten grå tekstlenke «avvis» er ikke et reelt valg.
• Samtykke må kunne trekkes tilbake like enkelt som det ble gitt.

Hva slipper unna?

To unntak, og de er snevre:

1. Lagring eller tilgang som utelukkende skal overføre kommunikasjon i et nett.
2. Lagring eller tilgang som er strengt nødvendig for å levere en tjeneste brukeren uttrykkelig har bedt om.

Det andre punktet dekker for eksempel handlekurven i en nettbutikk, eller at du forblir innlogget. Det dekker ikke besøksstatistikk, analyseverktøy, A/B-testing eller markedsføring, uansett hvor nyttige de er for virksomheten.

En vanlig misforståelse: at Google Analytics er «bare statistikk» og derfor nødvendig. Nødvendig for dere, ja. Ikke nødvendig for at brukeren skal få den tjenesten hun ba om.

Hvem passer på dette?

Både Nkom og Datatilsynet, med delt tilsynsmyndighet. Grovt sagt vurderer Datatilsynet om samtykket oppfyller kravene i personvernforordningen, mens Nkom vurderer om teknologien i det hele tatt omfattes av bestemmelsen og om unntakene gjelder.

Har noen fått reaksjoner?

Ja, men vær nøyaktig på hjemmelen.

I juni 2025 førte Datatilsynet tilsyn med seks norske nettsteder som brukte sporingspiksler fra Meta og Snap. Kristiansand kommune fikk overtredelsesgebyr på 250 000 kroner for Alarmtelefonen for barn og unge, redusert fra varslede 300 000 fordi kommunen rettet raskt. De fem andre fikk irettesettelse.

Det vedtaket bygger på personvernforordningen, ikke på ekomloven § 3-15. Poenget står likevel: sporing uten gyldig samtykke får konsekvenser, og tilsynene ser særlig på virksomheter der de besøkende er sårbare.

I 2026 har «betal eller godta»-løsninger vært kritisert av både Datatilsynet og Forbrukerrådet, og det ligger en klage til behandling. Ingen avgjørelse foreligger ennå.

Hva bør dere gjøre?

1. Åpne deres egen nettside i et privat vindu. Trykk F12, velg fanen Nettverk, last inn på nytt og skriv google-analytics i filterfeltet. Ser dere treff før dere har trykket på noe, starter sporingen for tidlig.
2. Se på banneret. Er «avvis» like lett å finne og like lett å trykke på som «godta»? Er noe forhåndskrysset?
3. Les teksten i banneret. Står det at man samtykker ved å fortsette å bruke siden, stemmer den ikke med det loven krever, selv om selve blokkeringen skulle være riktig satt opp.

Punkt 1 er den vanligste feilen vi finner, og den er nesten alltid en innstilling som ikke er slått på, ikke et designproblem.

Kort oppsummert

• Samtykke må gis før sporing settes i gang, ved en aktiv handling
• Det skal være like enkelt å nekte som å godta
• Unntakene dekker ikke analyse, statistikk eller markedsføring
• Nkom og Datatilsynet deler tilsynet
• Reaksjoner er gitt, men så langt med hjemmel i personvernforordningen

Vil dere vite hvordan deres egen side står, kjører jeg en gjennomgang og sender en rapport. Den koster ingenting, og det følger ingen forpliktelser med.