Cookiesamtykke bliver skrevet om: hvad Digital Omnibus ændrer

Cookiebanneret er Europas mest udskældte grænsefladeelement. Det er også, otte år efter, stadig juridisk skrøbeligt på en stor del af websites. Bruxelles har endelig besluttet at tage begge problemer på én gang, og køretøjet er Digital Omnibus-pakken foreslået 19. november 2025.

Denne artikel dækker, hvad der faktisk står i forslaget, hvad der er gældende ret i dag, og hvad vi ville og ikke ville ændre i en samtykkeimplementering nu. Per 10. oktober 2026 er GDPR- og ePrivacy-delen af pakken ikke nået til trilog: Rådet har endnu intet forhandlingsmandat, og Parlamentet har ingen holdning, så dele af dette vil flytte sig.

Hvordan vi kom hertil

Cookiesamtykke har aldrig boet i GDPR. Det bor i artikel 5, stk. 3, i ePrivacy-direktivet fra 2002, ændret i 2009, som siger, at lagring af oplysninger på en brugers terminaludstyr, eller adgang til dem, kræver samtykke, medmindre det er strengt nødvendigt for en tjeneste, brugeren har bedt om.

Direktivet skulle erstattes af en ePrivacy-forordning. Forslaget sad fast i Rådet i otte år og blev formelt trukket tilbage 11. februar 2025. Tilbage stod et direktiv fra 2002, gennemført på syvogtyve lidt forskellige måder, som overvåger et web, der ikke fandtes, da det blev skrevet.

Resultatet er det rod, alle genkender: bannere der varierer fra land til land, samtykke der teknisk er ugyldigt på et stort antal websites, og brugere der klikker acceptér refleksmæssigt, fordi det tager længere tid at afvise.

Hvad der allerede kan håndhæves i dag

Før vi når til forslaget, er det værd at være direkte om den nuværende situation, for mange teams tror, deres banner er i orden, og det er det ikke.

Håndhævelsen har været stabil og konkret. I september 2025 gav den franske tilsynsmyndighed Google en bøde på 325 millioner euro og Shein 150 millioner samme dag. Fundene var mekaniske snarere end filosofiske: cookies sat før banneret dukkede op, og en afvisningsmulighed der ikke afviste pålideligt.

Reglerne tilsynsmyndighederne faktisk anvender:

Intet ikke-nødvendigt før brugeren handler. Ikke analysetagget, ikke pixlen, ikke chatwidgetten, ikke tredjepartsfonten. Udløses det ved sideindlæsning, er det ligegyldigt, hvad banneret siger.

Afvis skal matche acceptér. Samme lag, samme visuelle vægt, samme antal klik. At gøre afvisning til en totrinsrejse gennem et indstillingspanel, mens acceptér er én knap, behandles som et mørkt mønster, der ugyldiggør samtykket.

Samtykke er granulært. Én kontakt der samler analyse, annoncering og personalisering, er ikke specifikt samtykke.

Tilbagetrækning skal være lige så let som at give. En permanent tilgængelig kontrol, ikke en support-e-mail.

Samtykke udløber. De fleste myndigheder arbejder med omkring seks til tretten måneder, før man bør spørge igen.

Samtyk eller betal er snævert. Udtalelse 08/2024 fra Databeskyttelsesrådet siger, at store platforme generelt ikke kan tilbyde et binært valg mellem at acceptere sporing og at betale. Et reelt gratis alternativ uden adfærdsbaseret annoncering forventes.

Fejler dit banner på nogen af de to første punkter, så ret det, før du bekymrer dig om reformen. Det er dem, der giver bøder i dag.

Hvad Digital Omnibus foreslår

I Kommissionens forslag er det centrale strukturelle greb at tage reglerne om terminaludstyr ud af det gamle direktiv og lægge dem ind i selve GDPR gennem to nye artikler.

Artikel 88a: samtykke til adgang til terminaludstyr

Den erstatter artikel 5, stk. 3, i ePrivacy-direktivet og udvider, vigtigt nok, sættet af formål, der ikke kræver samtykke. Den nuværende undtagelse for det strengt nødvendige er så snæver, at selv simpel publikumsmåling som regel kræver et banner. Forslaget udvider undtagelserne mod sikkerhed, aggregeret publikumsmåling og opretholdelse af tjenestens integritet.

To operative ændringer får mest opmærksomhed:

• Acceptér eller afvis med ét klik. Valget skal kunne præsenteres i én handling, begge veje.
• En afkølingsperiode. Afviser en bruger, skal du ikke spørge igen i seks måneder. Det alene ville fjerne en stor del af bannertrætheden.

Artikel 88b: maskinlæsbare samtykkesignaler

Dette er det mest interessante for udviklere. Det ville gøre samtykkesignaler på browser- eller systemniveau juridisk bindende for dataansvarlige. Udtrykker en bruger en præference én gang, i browseren, skal websites respektere den i stedet for at spørge igen.

Det er også den del, medlemsstaterne brød sig mindst om. Rådets tekst, som er beskrevet nedenfor, sletter artikel 88b helt.

Andre punkter værd at kende

Pakken foreslår også at flytte fristen for underretning om brud på persondatasikkerheden fra 72 til 96 timer og justerer flere definitioner om pseudonymiserede data og AI-træning. Det ligger uden for denne artikel, men rejser i samme køretøj, hvilket delvis forklarer, hvorfor sagen er omstridt.

Hvad Rådets tekst gør anderledes

Medlemsstaterne arbejder ud fra en anden tekst. Det irske formandskabs kompromis af 2. oktober 2026 (rådsdokument 13886/26, udarbejdet som Rådets mandat til forhandlingerne med Parlamentet og endnu ikke vedtaget den 10. oktober 2026) ændrer Kommissionens model flere steder:

• Cookiereglerne bliver i ePrivacy-direktivet. Artikel 5, stk. 3, omskrives, hvor den står, og artikel 88a og 88b føjes ikke til GDPR. Teksten indeholder ingen pligt til at respektere browsersignaler.
• Seks formål kræver ikke samtykke: overførsel af en kommunikation, en tjeneste, som brugeren udtrykkeligt har bedt om, førstepartspublikumsmåling, der giver anonyme, aggregerede data, måling af mediepublikum efter den europæiske mediefrihedsforordning, sikkerhed samt måling af visning og effekt af kontekstuel annoncering uden profilering.
• Afvisning med ét klik. Brugerne skal kunne afvise »med en knap med ét enkelt klik eller tilsvarende midler«.
• Kortere ventetid. Efter en afvisning må der ikke spørges igen om samme formål i »mindst fire måneder«, mod seks i Kommissionens tekst.
• To af Kommissionens idéer overlever: fristen på 96 timer for underretning om brud og den relative definition af personoplysninger.

Det er en forhandlingsposition, ikke lov, og Parlamentet har endnu ikke vedtaget sin egen.

Tidslinje, og hvorfor du ikke bør planlægge efter den endnu

Det realistiske billede per 10. oktober 2026:

• Trilogerne er ikke begyndt. En afstemning blandt EU-ambassadørerne om Rådets mandat, planlagt til den 7. oktober, blev udskudt og skulle efter sigende være flyttet til den 11. oktober 2026.
• I Parlamentet offentliggjorde LIBE- og ITRE-udvalgene deres udkast til betænkning den 22. juni 2026 og modtog over 1.750 ændringsforslag. Der har ikke været nogen afstemning i udvalget.
• I Kommissionens tekst ville artikel 88a gælde omkring seks måneder efter ikrafttræden. Rådets tekst giver medlemsstaterne 24 måneder til at gennemføre den nye artikel 5, stk. 3, selvom dens slutbestemmelser stadig angiver en frist på seks måneder, en modstrid, som forhandlerne må løse.
• I Kommissionens tekst ville artikel 88b gælde inden for omkring 24 måneder. Rådets tekst dropper den.

Tidligste plausible dato for etklik- og afkølingsreglerne er derfor 2027 efter Kommissionens tidsplan, og senere, hvis Rådets 24 måneder overlever. Pligter om browsersignaler kommer måske slet ikke. Den, der fortæller dig, at cookiebanneret dør i år, sælger dig noget.

Hvad vi ville ændre nu, og hvad ikke

Reformen er ikke gældende ret, men retningen er stabil nok til at informere arkitekturen. Sådan rådgiver vi kunder.

Gør dette nu

Ret mekanikken. Afvis lige så let som acceptér, intet udløses før interaktion, granulære kategorier, fungerende tilbagetrækning. Dette er gældende ret, og det er der, bøderne ligger.

Adskil samtykketilstand fra samtykkegrænseflade. Hold en samtykketjeneste, der ejer tilstanden, eksponerer den for applikationen og gemmer loggen med en versionsreference. Så bliver banneret et udskifteligt præsentationslag. Ændres reglerne, skifter du grænsefladen og beholder rørføringen.

Gem samtykkelogs ordentligt. Tidsstempel, status pr. kategori, identifikator for bannertekstversionen, den anvendte mekanisme og kilden til beslutningen. Uden tekstversionen kan du ikke bevise, hvad brugeren faktisk samtykkede til.

Begynd at lytte efter signaler. Global Privacy Control er allerede juridisk relevant i flere jurisdiktioner og koster meget lidt at respektere. At læse det nu gør artikel 88b, hvis den kommer, til en konfigurationsændring i stedet for et projekt.

Gennemgå dine tags for alvor. Ikke i tag manager-grænsefladen, men i browseren, på en rigtig side, i en ren profil. Tæl forespørgslerne før samtykke. Der er som regel flere, end teamet forventer.

Gør ikke dette endnu

Fjern ikke granulært samtykke i troen på, at undtagelserne udvides. Bliver den endelige tekst snævrere igen, skal du bygge det op på ny.

Skriv ikke privatlivspolitikken om omkring udkast til artikelnumre.

Fjern ikke banneret for publikumsmåling. Den udvidede undtagelse er et forslag, ikke en tilladelse.

Forpligt dig ikke til en 96-timers proces. Fortsæt med at operere på 72.

Det større designspørgsmål

Der er et bredere skifte værd at nævne. Tilsynsmyndighederne er gået fra at spørge, om du har samtykke, til at spørge, hvordan du fik det. Grænsefladermekanik er nu håndhævelsesfladen. Derfor handler cookiebannersager om knapplacering og antal klik snarere end om ordlyden i en politik.

Tendensen fortsætter forbi Digital Omnibus. Digital Fairness Act, ventet som forslag sidst i 2026, retter sig direkte mod mørke mønstre, manipulerende grænseflader, personaliserede priser og afhængighedsskabende design. Anvendelse er realistisk 2028 eller senere, men den fortæller, hvilke mønstre der har en holdbarhedsdato.

Afhænger dine væksttal af en forvirrende grænseflade, er det nu en compliancerisiko med en dato, ikke en smart optimering.

En bemærkning om analyse

Meget af bannerproblemet er selvforskyldt. Teams indlæser en tredjeparts analyseplatform, der kræver samtykke, mister så en tredjedel af data til afvisninger, og forsøger derefter at designe sig uden om det.

Selvhostet, privatlivsvenlig analyse kan ændre regnestykket, fordi måling, der bliver på din egen infrastruktur og ikke bygger profiler på tværs af websites, har et langt stærkere argument for undtagelsen og ville passe godt ind i de udvidede undtagelser, Omnibus foreslår. Vi beskrev én mulighed i vores guide til at sætte Matomo op, og samme logik gælder for selvhostet marketingautomatisering.

Dette er ikke et compliancetrick. Det er en reel reduktion af, hvad du skal begrunde.

Hvor dette står i det større billede

Cookiesamtykke er ét stykke af en langt større regulatorisk opbygning. Det fulde kort over EU digital compliance 2026 dækker resten, og den ingeniørrettede GDPR-guide dækker laget under.

Vil du have din samtykkeimplementering gennemgået mod det, tilsynsmyndighederne faktisk håndhæver, eller bygget om, så næste regelændring bliver en konfiguration og ikke en omskrivning, så skriv til office@c9group.dev.

Vi bygger systemer, vi giver ikke juridisk rådgivning, og sidste ord om fortolkning hører til jeres jurister.