Nästan alla webbplatser använder kakor (cookies) eller liknande tekniker: för att komma ihåg en varukorg, mäta trafik eller visa riktade annonser. För den som driver en webbplats i Sverige gäller två regelverk samtidigt: lagen om elektronisk kommunikation och dataskyddsförordningen (GDPR). Här går vi igenom grunderna och vad du bör tänka på när du väljer analys- och marknadsföringsverktyg.
Lagen om elektronisk kommunikation
Enligt lag (2022:482) om elektronisk kommunikation får uppgifter lagras i eller hämtas från en användares terminalutrustning, till exempel en dator eller mobil, bara om användaren har fått information om ändamålet och samtycker till det. Undantag gäller när lagringen eller åtkomsten behövs för att överföra kommunikationen eller för att tillhandahålla en tjänst som användaren uttryckligen har begärt. Det innebär att exempelvis en kaka som håller reda på varukorgen i en webbutik normalt kan användas utan samtycke, medan kakor för statistik och riktad reklam kräver samtycke.
Post- och telestyrelsen (PTS) är tillsynsmyndighet för reglerna om kakor i lagen om elektronisk kommunikation.
GDPR när kakor innehåller personuppgifter
Många kakor och identifierare räknas som personuppgifter, eftersom de kan kopplas till en enskild användare. Då gäller också dataskyddsförordningen, och Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet. Enligt GDPR ska ett samtycke vara en frivillig, specifik, informerad och otvetydig viljeyttring, och det ska vara lika lätt att återkalla samtycket som att ge det.
EU-domstolen slog 2019 fast i det så kallade Planet49-målet att en förifylld kryssruta inte utgör ett giltigt samtycke till kakor. Att användaren bara fortsätter surfa är inte heller ett aktivt samtycke.
Hur bör en cookiebanner se ut?
En bra cookiebanner gör det lika enkelt att neka som att godkänna. Europeiska dataskyddsstyrelsens (EDPB) arbetsgrupp för cookiebanners har bland annat pekat på problem när det saknas en avvisningsknapp på första nivån, när knappar har vilseledande färger eller när kakor sätts innan användaren har gjort ett val. Praktiska råd:
- Erbjud ”Godkänn” och ”Neka” på samma nivå och med likvärdig utformning.
- Sätt inga icke-nödvändiga kakor innan användaren har samtyckt.
- Beskriv ändamålen med kakorna på ett begripligt språk.
- Gör det lätt att ändra eller återkalla samtycket senare, till exempel via en länk i sidfoten.
- Spara dokumentation om hur och när samtycke har getts.
Analysverktyg och överföring till tredjeland
Valet av analys- och annonsverktyg påverkar också frågan om personuppgifter överförs utanför EU/EES. IMY granskade 2023 flera svenska företags användning av Google Analytics och riktade kritik mot överföringar av personuppgifter till USA. Samma år antog EU-kommissionen ett beslut om adekvat skyddsnivå för EU–US Data Privacy Framework, vilket gör att överföringar till certifierade amerikanska företag kan ske på den grunden. Läget kan förändras, så kontrollera alltid aktuell vägledning från IMY och leverantörens villkor.
Vissa webbplatser väljer analysverktyg som kan driftas inom EU, minimerar insamlade uppgifter eller använder anonymiserad statistik. Oavsett val behöver du kunna förklara för besökaren vilka uppgifter som samlas in och varför.
Integritetspolicy och personuppgiftsbiträden
En integritetspolicy ska beskriva vilka personuppgifter som behandlas, för vilka ändamål, på vilken rättslig grund och hur länge uppgifterna sparas. När du använder externa tjänster för analys, nyhetsbrev eller annonsering är leverantören ofta personuppgiftsbiträde, och då krävs ett personuppgiftsbiträdesavtal. Gå igenom vilka tjänster som faktiskt är installerade på webbplatsen; gamla skript och pixlar ligger ofta kvar långt efter att de slutat användas.
Marknadsföring och e-post
Kakor är bara en del av den digitala marknadsföringen. För e-postutskick till privatpersoner krävs som huvudregel samtycke, med ett undantag för befintliga kunder som har köpt liknande produkter och som har getts möjlighet att tacka nej. Varje utskick ska innehålla ett enkelt sätt att avregistrera sig.
Tekniska alternativ
Det finns flera sätt att minska behovet av samtycke och samtidigt få användbar statistik. Du kan till exempel begränsa vilka uppgifter som samlas in, korta lagringstiden, stänga av funktioner för annonsprofilering och undvika att dela data med tredje part. Server-side-lösningar och verktyg som inte använder kakor kan också vara alternativ, men observera att reglerna i lagen om elektronisk kommunikation gäller lagring och åtkomst i användarens utrustning oavsett teknik, inte bara kakor i snäv mening. Gör därför alltid en bedömning av den faktiska lösningen.
Checklista för webbplatsägaren
Gå igenom följande en gång per år eller när du byter verktyg:
- Inventera alla kakor, pixlar och skript på webbplatsen.
- Dela in dem i nödvändiga och icke-nödvändiga.
- Kontrollera att cookiebannern fungerar och att inget laddas före samtycke.
- Uppdatera integritetspolicyn och avtalen med leverantörer.
- Kontrollera var leverantörerna behandlar data och på vilken grund.
Sammanfattning
Kakor för statistik och reklam kräver i regel samtycke enligt lagen om elektronisk kommunikation, och när personuppgifter behandlas gäller dessutom GDPR. En tydlig cookiebanner, en uppdaterad integritetspolicy och genomtänkta verktygsval minskar både juridiska risker och tappat förtroende hos besökarna.
Observera (per 17.10.2026): artikeln är allmän information och inte juridisk, ekonomisk eller finansiell rådgivning. Regler, priser och villkor ändras; kontrollera alltid aktuell information hos myndigheten eller leverantören och ta vid behov hjälp av en rådgivare.