Cookie-samtykke skrives om: hva Digital Omnibus endrer

Cookiebanneret er Europas mest mislikte grensesnittelement. Det er også, åtte år etter, fortsatt juridisk skjørt på en stor andel nettsteder. Brussel har endelig bestemt seg for å ta begge problemene samtidig, og kjøretøyet er Digital Omnibus-pakken foreslått 19. november 2025.

Denne artikkelen dekker hva som faktisk står i forslaget, hva som er gjeldende rett i dag, og hva vi ville og ikke ville endret i en samtykkeimplementering nå. Per 10. oktober 2026 har GDPR- og ePrivacy-delen av pakken ikke nådd trilog: Rådet har ennå ikke noe forhandlingsmandat, og Parlamentet har ingen posisjon, så deler av dette vil flytte seg.

Hvordan vi kom hit

Cookie-samtykke har aldri bodd i GDPR. Det bor i artikkel 5 nr. 3 i ePrivacy-direktivet fra 2002, endret i 2009, som sier at lagring av informasjon på en brukers terminalutstyr, eller tilgang til den, krever samtykke med mindre det er strengt nødvendig for en tjeneste brukeren har bedt om.

Direktivet skulle erstattes av en ePrivacy-forordning. Forslaget sto fast i Rådet i åtte år og ble formelt trukket 11. februar 2025. Igjen sto et direktiv fra 2002, gjennomført på tjuesju litt forskjellige måter, som overvåker et web som ikke fantes da det ble skrevet.

Resultatet er rotet alle kjenner igjen: bannere som varierer fra land til land, samtykke som er teknisk ugyldig på et stort antall nettsteder, og brukere som klikker godta refleksmessig fordi det tar lengre tid å avslå.

Hva som allerede kan håndheves i dag

Før vi kommer til forslaget, er det verdt å være direkte om dagens situasjon, for mange team tror banneret deres er greit og det er det ikke.

Håndhevingen har vært jevn og konkret. I september 2025 bøtela den franske tilsynsmyndigheten Google med 325 millioner euro og Shein med 150 millioner samme dag. Funnene var mekaniske snarere enn filosofiske: cookies satt før banneret dukket opp, og en avslagsmulighet som ikke avslo pålitelig.

Reglene tilsynsmyndighetene faktisk anvender:

Ingenting ikke-nødvendig før brukeren handler. Ikke analysetaggen, ikke pikselen, ikke chatwidgeten, ikke tredjepartsfonten. Utløses det ved sidelasting, spiller det ingen rolle hva banneret sier.

Avslag må matche godta. Samme lag, samme visuelle vekt, samme antall klikk. Å gjøre avslag til en tostegsreise gjennom et innstillingspanel mens godta er én knapp, behandles som et mørkt mønster som ugyldiggjør samtykket.

Samtykke er granulært. Én bryter som samler analyse, annonsering og personalisering er ikke spesifikt samtykke.

Tilbaketrekking må være like enkelt som å gi. En permanent tilgjengelig kontroll, ikke en support-e-post.

Samtykke utløper. De fleste myndigheter opererer med rundt seks til tretten måneder før man bør spørre på nytt.

Samtykk eller betal er smalt. Uttalelse 08/2024 fra Personvernrådet sier at store plattformer generelt ikke kan tilby et binært valg mellom å godta sporing og å betale. Et reelt gratis alternativ uten atferdsbasert annonsering forventes.

Feiler banneret ditt på noen av de to første punktene, fiks det før du bekymrer deg for reformen. Det er de som gir bøter i dag.

Hva Digital Omnibus foreslår

I Kommisjonens forslag er det sentrale strukturelle grepet å ta reglene om terminalutstyr ut av det gamle direktivet og legge dem inn i selve GDPR, gjennom to nye artikler.

Artikkel 88a: samtykke til tilgang til terminalutstyr

Den erstatter artikkel 5 nr. 3 i ePrivacy-direktivet og, viktig, utvider settet av formål som ikke krever samtykke. Dagens unntak for det strengt nødvendige er så smalt at selv enkel publikumsmåling som regel krever banner. Forslaget utvider unntakene mot sikkerhet, aggregert publikumsmåling og opprettholdelse av tjenestens integritet.

To operative endringer får mest oppmerksomhet:

• Godta eller avslå med ett klikk. Valget må kunne presenteres i én handling, begge veier.
• En avkjølingsperiode. Avslår en bruker, skal du ikke spørre igjen på seks måneder. Det alene ville fjerne en stor del av bannertrettheten.

Artikkel 88b: maskinlesbare samtykkesignaler

Dette er det mest interessante for utviklere. Det ville gjøre samtykkesignaler på nettleser- eller systemnivå juridisk bindende for behandlingsansvarlige. Uttrykker en bruker en preferanse én gang, i nettleseren, må nettsteder respektere den i stedet for å spørre på nytt.

Dette er også den delen medlemsstatene likte minst. Rådets tekst, som er beskrevet nedenfor, stryker artikkel 88b helt.

Andre punkter verdt å kjenne til

Pakken foreslår også å flytte fristen for melding av personvernbrudd fra 72 til 96 timer, og justerer flere definisjoner rundt pseudonymiserte data og KI-trening. Det ligger utenfor denne artikkelen, men reiser i samme kjøretøy, som delvis forklarer hvorfor saken er omstridt.

Hva Rådets tekst gjør annerledes

Medlemsstatene jobber ut fra en annen tekst. Det irske formannskapets kompromiss av 2. oktober 2026 (rådsdokument 13886/26, utformet som Rådets mandat for forhandlingene med Parlamentet og ennå ikke vedtatt per 10. oktober 2026) endrer Kommisjonens modell på flere punkter:

• Cookiereglene blir værende i ePrivacy-direktivet. Artikkel 5 nr. 3 skrives om der den står, og artikkel 88a og 88b legges ikke til i GDPR. Teksten har ingen plikt til å respektere nettlesersignaler.
• Seks formål krever ikke samtykke: overføring av en kommunikasjon, en tjeneste brukeren uttrykkelig har bedt om, førsteparts publikumsmåling som gir anonyme, aggregerte data, måling av mediepublikum etter den europeiske mediefrihetsforordningen, sikkerhet, og måling av visning og effekt av kontekstuell annonsering, uten profilering.
• Avslag med ett klikk. Brukerne må kunne avslå «med en knapp med ett enkelt klikk eller tilsvarende midler».
• Kortere ventetid. Etter et avslag skal det ikke spørres på nytt om samme formål på «minst fire måneder», mot seks i Kommisjonens tekst.
• To av Kommisjonens ideer overlever: fristen på 96 timer for å melde personvernbrudd og den relative definisjonen av personopplysninger.

Dette er en forhandlingsposisjon, ikke lov, og Parlamentet har ennå ikke vedtatt sin egen.

Tidslinje, og hvorfor du ikke bør planlegge etter den ennå

Det realistiske bildet per 10. oktober 2026:

• Trilogene har ikke startet. En avstemning blant EU-ambassadørene om Rådets mandat, planlagt til 7. oktober, ble utsatt og skal etter det som er rapportert, være flyttet til 11. oktober 2026.
• I Parlamentet publiserte LIBE- og ITRE-komiteene sitt utkast til innstilling 22. juni 2026 og fikk over 1 750 endringsforslag. Det har ikke vært noen komiteavstemning.
• I Kommisjonens tekst ville artikkel 88a gjelde omtrent seks måneder etter ikrafttredelse. Rådets tekst gir medlemsstatene 24 måneder til å gjennomføre den nye artikkel 5 nr. 3, selv om sluttbestemmelsene fortsatt har en dato på seks måneder, en motstrid forhandlerne må løse.
• I Kommisjonens tekst ville artikkel 88b gjelde innen omtrent 24 måneder. Rådets tekst dropper den.

Tidligste plausible dato for ettklikks- og avkjølingsreglene er dermed 2027 etter Kommisjonens tidsplan, og senere hvis Rådets 24 måneder overlever. Plikter rundt nettlesersignaler kommer kanskje ikke i det hele tatt. Den som sier at cookiebanneret dør i år, selger deg noe.

Hva vi ville endret nå, og hva ikke

Reformen er ikke gjeldende rett, men retningen er stabil nok til å informere arkitekturen. Slik rådgir vi kunder.

Gjør dette nå

Fiks mekanikken. Avslag like enkelt som godta, ingenting utløses før interaksjon, granulære kategorier, fungerende tilbaketrekking. Dette er gjeldende rett og det er der bøtene ligger.

Skill samtykketilstand fra samtykkegrensesnitt. Ha en samtykketjeneste som eier tilstanden, eksponerer den for applikasjonen og lagrer loggen med en versjonsreferanse. Da blir banneret et utskiftbart presentasjonslag. Endres reglene, bytter du grensesnittet og beholder rørleggingen.

Lagre samtykkelogger ordentlig. Tidsstempel, status per kategori, identifikator for bannertekstversjonen, mekanismen som ble brukt og kilden til beslutningen. Uten tekstversjonen kan du ikke bevise hva brukeren faktisk samtykket til.

Begynn å lytte etter signaler. Global Privacy Control er allerede juridisk relevant i flere jurisdiksjoner og koster svært lite å respektere. Å lese det nå gjør artikkel 88b, om den kommer, til en konfigurasjonsendring i stedet for et prosjekt.

Revider taggene dine på ordentlig. Ikke i tag manager-grensesnittet, men i nettleseren, på en ekte side, i en ren profil. Tell forespørslene før samtykke. Det er som regel flere enn teamet forventer.

Ikke gjør dette ennå

Ikke fjern granulært samtykke i troen på at unntakene utvides. Snevres den endelige teksten igjen, må du bygge det opp på nytt.

Ikke skriv om personvernerklæringen rundt utkast til artikkelnumre.

Ikke fjern banneret for publikumsmåling. Det utvidede unntaket er et forslag, ikke en tillatelse.

Ikke forplikt deg til en 96-timers prosess. Fortsett å operere på 72.

Det større designspørsmålet

Det er et bredere skifte verdt å navngi. Tilsynsmyndighetene har gått fra å spørre om du har samtykke til å spørre hvordan du fikk det. Grensesnittmekanikk er nå håndhevingsflaten. Derfor handler cookiebannersaker om knappeplassering og antall klikk snarere enn om ordlyden i en policy.

Trenden fortsetter forbi Digital Omnibus. Digital Fairness Act, ventet som forslag sent i 2026, retter seg direkte mot mørke mønstre, manipulative grensesnitt, personaliserte priser og avhengighetsskapende design. Anvendelse er realistisk 2028 eller senere, men den forteller hvilke mønstre som har en holdbarhetsdato.

Avhenger veksttallene dine av et forvirrende grensesnitt, er det nå en etterlevelsesrisiko med en dato, ikke en smart optimalisering.

En merknad om analyse

Mye av bannerproblemet er selvpåført. Team laster en tredjeparts analyseplattform som krever samtykke, mister så en tredjedel av dataene til avslag, og prøver deretter å designe seg rundt det.

Selvhostet, personvernvennlig analyse kan endre regnestykket, fordi måling som blir på din egen infrastruktur og ikke bygger profiler på tvers av nettsteder, har et langt sterkere argument for unntaket og ville passe godt inn i de utvidede unntakene Omnibus foreslår. Vi beskrev ett alternativ i vår guide for å sette opp Matomo, og samme logikk gjelder for selvhostet markedsautomatisering.

Dette er ikke et etterlevelsestriks. Det er en reell reduksjon av hva du må begrunne.

Hvor dette står i det større bildet

Cookie-samtykke er én brikke i en langt større regulatorisk oppbygging. Det fulle kartet over EU digital etterlevelse 2026 dekker resten, og den ingeniørrettede GDPR-guiden dekker laget under.

Vil du få samtykkeimplementeringen din gjennomgått mot det tilsynsmyndighetene faktisk håndhever, eller bygget om slik at neste regelendring blir en konfigurasjon og ikke en omskriving, skriv til office@c9group.dev.

Vi bygger systemer, vi gir ikke juridiske råd, og siste ord om tolkning hører til juristene deres.