Kort fortalt: Ja, hvis nettsiden bruker informasjonskapsler eller lignende teknologi som ikke er strengt nødvendig – for eksempel Google Analytics, Meta-pikselen eller innebygde YouTube-videoer. Ekomloven § 3-15 krever siden 1. januar 2025 forhåndssamtykke som oppfyller kravene i GDPR, og det skal være like lett å si nei som ja. Et banner med bare «OK» holder derfor ikke.
Dette er en praktisk innføring per november 2026, ikke juridisk rådgivning.
- Regelen: ekomloven § 3-15, i kraft fra 1. januar 2025, krever informasjon og samtykke før noe lagres på eller hentes fra brukerens mobil eller PC.
- Samtykket: skal oppfylle kravene i personvernforordningen (GDPR) og innhentes før informasjonskapselen plasseres.
- Unntakene: bare overføring av kommunikasjon og det som er strengt nødvendig for en tjeneste brukeren selv har bedt om, som innlogging og handlekurv.
- Analyse og markedsføring: Google Analytics, Meta-pikselen og lignende verktøy krever i praksis forhåndssamtykke.
- Ansvaret: ligger hos virksomheten som eier nettsiden – ikke hos Google, Meta eller utvidelsen du bruker.
Hva sier ekomloven § 3-15 om informasjonskapsler?
En informasjonskapsel, ofte kalt cookie, er ifølge Nkom «en liten tekstfil som lastes ned og lagres på datamaskinen når brukeren åpner en nettside». Tredjeparts-cookies settes av andre enn den som driver nettstedet, for eksempel annonseaktører.
Første ledd i ekomloven § 3-15 på Lovdata sier at det ikke er tillatt «å lagre eller å skaffe seg tilgang til opplysninger i sluttbrukers eller brukers kommunikasjonsutstyr» uten at brukeren er informert om blant annet hvilke opplysninger som behandles, formålet og hvem som behandler dem – og uten at brukeren har samtykket. Loven slår fast: «Samtykke skal oppfylle kravene til samtykke i personvernforordningen.»
Bestemmelsen er teknologinøytral. Ifølge Nkom (mai 2025) gjelder den både cookies og andre teknologier som lagrer eller henter opplysninger fra mobil, nettbrett eller PC, og «uavhengig av om det er snakk om personopplysninger eller ikke».
Hvorfor holder ikke det gamle banneret lenger?
Nkom skriver at det tidligere var «tilstrekkelig at standardinnstillinger i nettlesere tillater cookies». Det var derfor «Ved å bruke siden godtar du cookies» kunne holde. Fra 2025 er passiv aksept ikke nok.
Hvilke cookies er unntatt fra samtykke?
Andre ledd har to unntak. Kravet gjelder ikke for lagring eller tilgang a) «utelukkende for det formål å overføre kommunikasjon i et elektronisk kommunikasjonsnett», eller b) som er «strengt nødvendig for å levere en informasjonssamfunnstjeneste etter den aktuelle sluttbrukerens eller brukerens uttrykkelige forespørsel».
Begge er snevre. Ifølge Nkom retter det første seg først og fremst mot ekomtilbydere, mens det andre gjelder «bare der bruk av informasjonskapselen er en forutsetning for å kunne levere tjenesten». For en vanlig bedriftsside er det altså unntak b som er aktuelt. Ingen utvidelse kan garantere at et unntak gjelder.
Typisk strengt nødvendig
- Innloggings-cookies når brukeren selv logger inn – i WordPress heter de wordpress_[hash] og wordpress_logged_in_[hash] (WordPress-håndboken, oktober 2026).
- Handlekurv og kasse i en nettbutikk.
- Sesjons- og sikkerhets-cookies som innloggingen eller skjemaet ikke virker uten.
Normalt ikke unntatt
- Statistikk og analyse, som Google Analytics.
- Markedsføring og annonsesporing, som Meta-pikselen og Google Ads.
- Innebygd innhold fra tredjeparter, som YouTube-videoer og Google Maps.
WordPress' tre kommentator-cookies, som husker navn, e-post og nettadresse, kaller håndboken selv «purely a convenience» – ren bekvemmelighet. De bør derfor vurderes.
Hva krever et gyldig samtykke?
Nkom lister sju krav: Samtykket må være frivillig, spesifikt, informert, utvetydig, gitt gjennom en aktiv handling, dokumenterbart og mulig å trekke tilbake like lett som det ble gitt. I tillegg skal det ifølge Nkom «være like lett å si nei som å si ja».
Et banner med bare «OK», eller med «Avvis» gjemt bak «Innstillinger», oppfyller ikke dette. Datatilsynet kaller avvisning som «gjemmes i kompliserte undermenyer» manipulerende.
Datatilsynets ti råd for samtykkebanneret
I veilederen om informasjonskapsler (sist endret 3. april 2025) gir Datatilsynet ti råd:
- Gi klar og tydelig informasjon i samtykkeboksen.
- Suppler samtykkebanneret med fullstendig informasjon.
- Ikke gjør tilgang til nettsiden eller tjenesten betinget av samtykke.
- La brukeren velge hvilke formål de vil samtykke til eller ikke.
- Ikke bruk forhåndsavkryssede bokser eller aksept ved passivitet.
- Ikke la avvisning av samtykke kreve ekstra klikk eller være mer brysomt.
- Ikke skjul alternativet for å avvise samtykket eller gi det lavere oppmerksomhetsverdi.
- Bruk klare og enkle formuleringer i knapper eller tilsvarende designløsninger.
- Gjør det enkelt å trekke tilbake samtykke og informer om dette.
- Hold orden i eget hus.
Ekomloven er her strengere enn GDPR. Der personvernforordningen har seks alternative rettslige grunnlag, krever § 3-15 samtykke. Du kan altså ikke bruke «berettiget interesse» som grunnlag for å sette analyse-cookies.
Trenger jeg samtykke for Google Analytics, Meta-pikselen og YouTube?
Ja, i praksis. I rådene for analyse og sporing på nettsted skriver Datatilsynet at du «må samle inn gyldig forhåndssamtykke» fra besøkende for å bruke sporingsverktøy. Tilsynet minner om at en IP-adresse som regel er en personopplysning. Rådene er under oppdatering per november 2026.
Google Analytics og Consent Mode
Google skriver selv at nettstedseieren er ansvarlig for samtykket. Consent Mode er ikke et banner, men forteller Google-taggene hva brukeren valgte. Ifølge Googles dokumentasjon (oppdatert juli 2026) finnes to varianter:
- Basic: Google-taggene lastes ikke før brukeren har svart på banneret. Avslår brukeren, sendes ingen data til Google.
- Advanced: Taggene lastes med en gang, og mens samtykke mangler, sender de målinger uten cookies.
Vi anbefaler basic for småbedrifter: Ingenting fra Google lastes før brukeren har valgt. Om cookieløse målinger før samtykke er forenlig med § 3-15, som også omfatter å «skaffe seg tilgang» til opplysninger i utstyret, er ikke avklart i kildene vi har lest – advanced krever en egen vurdering.
Ja, statistikken viser færre besøk når noen avslår. Det er prisen for et lovlig oppsett – og ikke den eneste grunnen til at besøkstallene endrer seg, se hvorfor trafikken til nettsiden faller.
Meta-pikselen
Meta skriver i utviklerdokumentasjonen at hver virksomhet selv er ansvarlig for å følge GDPR. Pikselen mottar blant annet HTTP-headere, som kan inneholde IP-adresse, og Facebook-cookien. Det enkleste er at samtykkeverktøyet blokkerer hele pikselskriptet til brukeren har godtatt markedsføring.
YouTube-videoer og Google Maps
Ifølge YouTube Hjelp kan du bytte innbyggingsdomenet fra youtube.com til youtube-nocookie.com, såkalt modus for styrket personvern. Det reduserer sporingen, men Google lover ikke at ingenting lagres på brukerens utstyr. Den sikreste løsningen er en plassholder: Videoen eller kartet lastes først når brukeren klikker og godtar.
Hvem fører tilsyn – Nkom eller Datatilsynet?
Begge. Ansvarsdelingen er fastsatt i forskrift, ifølge Datatilsynets veileder:
- Nkom vurderer om en teknisk løsning er omfattet av § 3-15, og om unntakene i andre ledd er oppfylt.
- Datatilsynet vurderer om informasjonen er tilstrekkelig, og om samtykket oppfyller kravene i GDPR.
Spørsmålet «er denne cookien strengt nødvendig?» hører altså hjemme hos Nkom, mens «er banneret mitt godt nok?» er Datatilsynets bord.
Hva lærer Xandr-saken småbedriften?
Xandr-saken er ingen cookie-sak, men den viser hvordan tilsynet ser på delt ansvar. Datatilsynet ga i oktober 2026 det Microsoft-eide annonseteknologiselskapet Xandr (tidligere AppNexus) et overtredelsesgebyr på 92 millioner kroner – det høyeste tilsynet noen gang har gitt. Saken gjaldt opplysninger om Grindr-brukere i Norge som ble videresendt gjennom sanntidsauksjoner av annonseplass i 2018–2020. Vedtaket ble endelig 3. november 2026.
Xandr trodde Grindr hadde hentet inn samtykke, men det godtok ikke tilsynet. Direktør Line Coll sa: «Hovedbudskapet vårt er at ansvaret for personvern ikke kan settes bort til andre. Hvert enkelt selskap må selv sørge for, og kunne bevise, at de har lov til å bruke opplysningene.»
For en småbedrift er lærdommen enkel: Du kan ikke vise til at Google, Meta eller utvidelsen «tar seg av samtykket». Ifølge Datatilsynets veileder er virksomheten uansett ansvarlig for at både ekomloven og personvernregelverket følges. I sjekklisten for sikker hosting og GDPR går vi gjennom databehandleravtaler og overføring ut av EU/EØS.
Hvordan lager jeg et lovlig cookie-banner i WordPress?
Når vi går gjennom WordPress-sider, er det første vi sjekker hva siden faktisk laster – ikke hva eieren tror den laster. Temaer og utvidelser kan legge til skript ingen har tenkt over. Sjekklisten:
- Kartlegg. Åpne siden i et privat vindu og se i utviklerverktøyet (Application → Cookies og Local storage, og Network-fanen) hva som lastes: Google Analytics, Meta-pikselen, YouTube, Google Maps, reCAPTCHA eller chat.
- Rydd. Fjern skript og utvidelser dere ikke bruker. Det som ikke lastes, trenger heller ikke samtykke.
- Installer et samtykkeverktøy. Ett eksempel er gratisversjonen av Complianz i WordPress-katalogen, som per november 2026 har over 1 million aktive installasjoner. Den skanner etter cookies, blokkerer tredjepartsskript og legger YouTube og Vimeo bak en plassholder. Det finnes alternativer; det er funksjonene som teller.
- Velg samtykke per kategori. Ikke bruk maler som «cookie wall» eller aksept ved scrolling eller tid på siden. De strider mot Datatilsynets råd 3 og 5.
- Likestill knappene. «Godta alle» og «Avvis alle» skal stå på første nivå, i samme størrelse og med samme synlighet.
- Blokkér før samtykke. Google-tagger via Consent Mode basic eller skriptblokkering, Meta-pikselen til markedsføring er godtatt, YouTube og kart bak plassholder.
- Lenk til mer informasjon. Banneret skal lenke til personvernerklæringen, og bunnteksten bør ha en fast lenke der brukeren kan endre eller trekke tilbake samtykket. Se sjekklisten for personvernerklæringen for hva den skal inneholde.
- Dokumentér. Slå på registrering av samtykker – i Complianz heter funksjonen «Proof of Consent» – slik at du kan vise hva brukerne har sagt ja til.
- Tøm hurtigbufferen. Etter endringer bør sidebufferen tømmes, slik at ingen besøkende får en gammel versjon av siden uten banner.
Datatilsynet skriver rett ut: «Det er du som er ansvarlig for å sette opp banneret riktig.» Utvidelsen er et verktøy, ikke en garanti.
Slik tester du banneret
- Åpne siden i et privat vindu uten å klikke. Ingen analyse- eller markedsføringscookies, og ingen kall til Google Analytics eller Facebook i Network-fanen.
- Klikk «Avvis alle» og last siden på nytt. Fortsatt ingen slike cookies eller kall.
- Åpne et nytt privat vindu og klikk «Godta alle». Nå skal taggene lastes.
Hvem holder utvidelsen oppdatert?
Samtykkeverktøyet må oppdateres som andre utvidelser. Med WordPress-hosting med WP Toolkit hos oss drifter vi server, PHP og sikkerhetskopier; utvidelsene oppdaterer vi med serviceavtale for vedlikehold, ellers kan Smart Updates i WP Toolkit gjøre det automatisk. Gjenta kartleggingen hver gang dere installerer noe nytt – Datatilsynets tiende råd er «Hold orden i eget hus».
Ofte stilte spørsmål
Må nettsiden min ha cookie-banner i Norge?
Ja, hvis den bruker informasjonskapsler eller lignende teknologi som ikke er strengt nødvendig, for eksempel analyse, markedsføringspiksler eller innebygde videoer. Bruker siden bare strengt nødvendige cookies, som innlogging og handlekurv, krever ikke § 3-15 samtykke.
Er Google Analytics lov uten samtykke?
Nei, ifølge Datatilsynet krever sporingsverktøy i praksis gyldig forhåndssamtykke. Bruk Consent Mode basic eller skriptblokkering, slik at ingenting lastes før brukeren har valgt.
Hvor lenge gjelder et cookie-samtykke?
Kildene vi har lest, oppgir ikke et fast antall måneder. Det som er klart, er at samtykket skal kunne dokumenteres og trekkes tilbake like lett som det ble gitt.
Hvem avgjør om en cookie er strengt nødvendig?
Nkom vurderer om en teknisk løsning er omfattet av regelen og om unntakene gjelder. Datatilsynet vurderer om banneret og samtykket holder mål etter GDPR.