«Vi har en cookie-banner, så vi er compliant.»
Det er den vanligste setningen vi hører. Den er nesten alltid feil.
I løpet av 2025 og første halvår av 2026 har vi sett gjennom et sted mellom 100 og 150 norske SMB-nettsider. Mønsteret er så klart at det er nesten kjedelig. Bedriften har installert en cookie-banner. De har krysset av for «vi viser banner» i en plugin. De tror jobben er gjort. Imens lastes Google Analytics, Meta Pixel og kanskje Hotjar fra første sekund av sidebesøket — lenge før brukeren har sett banneret, langt mindre tatt et valg.
Det er det Datatilsynet kaller pre-consent-sporing. Det er ulovlig. Og det er nå Datatilsynet og EU-domstolen har sagt ganske tydelig.
Først: hva sier loven egentlig?
GDPR krever at samtykke til behandling av personopplysninger skal være fritt gitt, spesifikt, informert og uttrykkelig. Cookies som identifiserer en bruker — direkte eller indirekte — er personopplysninger. Det inkluderer alt fra Google Analytics-IDer til Meta-pikselens fb_pixel-cookie til Hotjar-spørrelys.
«Fritt gitt» betyr at brukeren skal kunne si nei uten å miste tjenesten. «Spesifikt» betyr at brukeren skal kunne velge hva de samtykker til, ikke bare «alt eller ingenting». «Informert» betyr at det skal være tydelig hva som faktisk skjer. «Uttrykkelig» betyr at det skal være en aktiv handling — et klikk på «aksepter», ikke en passiv «du fortsetter å bruke siden, derfor samtykker du».
Tre ting følger av dette, og det er her de fleste bommer.
Først: sporing kan ikke starte før samtykke er gitt. Det er ikke en gråsone. Datatilsynet og det europeiske personvernrådet har sagt det rett ut.
Deretter: «Aksepter alle» og «Avvis alle» skal være like enkle. Ikke en stor blå knapp som sier «Aksepter» og en grå liten lenke som sier «Innstillinger» som krever tre klikk for å avvise. Det er det Datatilsynet kaller mørke mønstre, og det har vært tema for flere bøter i Europa de siste to årene.
Til slutt: samtykket skal være granulært. Brukeren skal kunne si ja til analytics og nei til markedsføring, eller omvendt. En enkelt «aksepter alt»-knapp tilfredsstiller ikke kravet.
De feilene vi ser nesten hver eneste gang
Etter å ha sett gjennom så mange nettsider er det fire mønstre som går igjen.
Banneret kommer for sent. Sporings-skriptene er allerede lastet og har sendt sin første ping til Google eller Meta innen brukeren rekker å registrere at det er et banner i bildet. Dette er feilen som er enklest å verifisere — åpne nettverks-fanen i nettleseren, last siden, og se hva som lastes før du har klikket noe. Hvis du ser googletagmanager.com, connect.facebook.net eller lignende uten at du har samtykket: brudd.
«Avvis alle» er gjemt eller manglende. Vi ser ofte bannere med kun «Aksepter» og «Innstillinger». Brukeren må klikke seg gjennom flere skjermer for å si nei. Det er det Datatilsynet kaller mørke mønstre. Bøtegrunnlag i Frankrike og Italia har vært klare i denne typen saker.
Granulariteten mangler. Banneret tilbyr «aksepter alt» eller «strengt nødvendig». Det er ikke granulært. Brukeren skal kunne si ja til analytics og nei til markedsføring.
Logg over samtykke mangler. Hvis Datatilsynet kommer og spør «hva har du innhentet samtykke for, og når, og hvordan», må du kunne svare. De fleste vi har sett har ingen logg i det hele tatt.
Hva med Google Analytics — er det fortsatt lov?
Kort versjon: ja, hvis du gjør det riktig.
Datatilsynet og det europeiske personvernrådet (EDPB) har vært kritiske til GA i flere år, særlig pga. data-overføring til USA. Etter EU-USA Data Privacy Framework i 2023 ble det formelt grunnlag for at GA kan brukes i Europa igjen — under forutsetning av at du har korrekt samtykke og at konfigurasjonen er riktig.
For 2026 anbefaler vi GA4 med Consent Mode v2. Det er Googles rammeverk for å sende samtykke-signaler til Analytics og Ads. Effekten er at:
Når brukeren ikke har samtykket, kjører ingen cookies. Du får anonymiserte signaler om at det var et sidebesøk, men ikke en identifiserbar bruker. Google modellerer manglende data via maskinlæring. Tallene er omtrentlige, men du får en grunnlinje.
Når brukeren samtykker, oppgraderes signalene til full data. Cookies settes. Du ser brukeren krysse sider, konvertere, returnere.
Det er den anbefalte konfigurasjonen for de fleste norske bedrifter som vil ha GA-styrke uten å bryte loven. Det krever oppsett i Google Tag Manager — det skjer ikke automatisk.
Privacy-friendly alternativer er verdt å vurdere
For mange SMB-er, særlig lokale tjenester (tannlege, rørlegger, restaurant) som ikke trenger avansert cross-domain-sporing, er det enklere å droppe GA helt.
Plausible, Fathom og Simple Analytics gir deg sidesnitt, populære sider, henvisninger, konverteringer — uten cookies, uten samtykke-krav, uten EU-USA-overføringsproblemer. De koster typisk 9–20 USD i måneden. Du mister noen avanserte funksjoner du har i GA4, men du sparer tre ting samtidig: compliance-bryderi, samtykke-banner-friksjon, og det kognitive overheadet med å vedlikeholde GTM-oppsett.
For et lokalt firma med 1 000–5 000 besøk i måneden er privacy-friendly-alternativer som regel bedre. For en e-handel med Meta-annonsering og avansert publikum-segmentering trenger du fortsatt GA4 (eller du må bygge en server-side-tracking-løsning).
Verktøyet vi har bygget for dette
Vi var lei av å sjekke dette manuelt for hver kunde, så vi bygget cookie- og samtykkesjekken. Du limer inn URL-en din, og verktøyet:
- Henter siden og leter etter kjente sporings-skript fra over 30 tjenester
- Identifiserer hvilke samtykke-rammeverk som er installert (Cookiebot, CookieYes, OneTrust, Iubenda osv.)
- Vurderer om sporings-skriptene har consent-guards (data-cookieconsent, type="text/plain» osv.)
- Gir deg en status: «sannsynlig lovlig», «verifiser flyten», eller «sannsynlig brudd»
Det er ikke en juridisk vurdering — full vurdering krever en headless browser som simulerer brukerens samtykke-flyt og ser hva som faktisk lastes. Men det er en god første sjekk og fanger 80–90 % av de åpenbare bruddene.
Hva er den riktige rekkefølgen?
Hvis du er usikker på om du er compliant, ta dette i orden:
Først: kjør cookie-sjekken. Du får raskt en oversikt. Hvis den sier «sannsynlig brudd», ikke vent — det er ikke noe du vinner på å vente.
Deretter: kartlegg hva du faktisk sporer. Mange bedrifter har lagt til Hotjar, Meta Pixel, LinkedIn Insight, TikTok Pixel over årene uten å ha noen bruk for halvparten. Skru av det du ikke bruker. Færre trackere = mindre compliance-overhead.
Velg et rammeverk. Vi anbefaler Cookiebot for de fleste norske SMB-er — solid, prisriktig, godt vedlikeholdt. Iubenda er også et bra alternativ. Hvis du har en utvikler-team kan du bygge eget, men det er sjelden verdt det.
Konfigurer sporing til å laste ETTER samtykke. Det er der teknisk arbeid kreves. I Google Tag Manager: bruk consent-mode-triggere. I direkte oppsett: pakk skriptet i en if-sjekk som lytter på samtykke-event. Cookiebot og lignende gir deg eksempler.
Test. Last siden i privat-modus. Sjekk nettverks-fanen før du klikker noe. Hvis du ser tracker-skript som lastes: ikke ferdig. Klikk «aksepter» — nå skal de laste. Klikk «avvis» på neste besøk — nå skal de ikke laste.
Det dette koster — og det det er verdt
For en gjennomsnittlig norsk SMB med en standard nettside og 3–5 trackere installert: typisk 4–8 timer for å få det riktig. Hvis du gjør det selv med Cookiebot: ca. 1 500 kr/år for plugin-en og kanskje 2–4 timer arbeid. Hvis du leier inn: 8 000–20 000 kr engangs avhengig av hvor mye som må fikses.
Det er ikke en investering du får tilbake i form av mer trafikk eller flere konverteringer. Det er forsikring mot et større tap. Den enkleste måten å forsvare den på er å sammenligne med en enkelt bot — Datatilsynet har ilagt bøter på alt fra 75 000 til flere millioner kr i lignende saker. Forsikring til 10 000 kr som beskytter mot et tap på 100 000+ er en lett vurdering.
Og hvis du virkelig vil ha det mest effektive: dropp GA, bytt til Plausible. Du sparer både kompleksitet og krevende konfigurasjon. Det er ikke en løsning som passer alle, men det passer mer enn folk tror.
Vi gjør gjennomganger gratis
Vi ser så mye av dette at vi har gjort det til en standardisert sjekk. 15 minutter på telefon, vi går gjennom hva som er på nettsiden din, hva som faktisk fungerer, og hva som er hastig. Ingen forpliktelse, ingen salgs-pitch — vi liker bare ikke å se bedrifter havne i unødvendige problemer.
Si fra om du vil ha en gjennomgang, eller kjør cookie-sjekken først for å se hvor du står.