Cookie-samtykke skrives om: hva Digital Omnibus endrer

Cookiebanneret er Europas mest mislikte grensesnittelement. Det er også, åtte år etter, fortsatt juridisk skjørt på en stor andel nettsteder. Brussel har endelig bestemt seg for å ta begge problemene samtidig, og kjøretøyet er Digital Omnibus-pakken foreslått 19. november 2025.

Denne artikkelen dekker hva som faktisk står i forslaget, hva som er gjeldende rett i dag, og hva vi ville og ikke ville endret i en samtykkeimplementering nå. Per august 2026 er saken fortsatt i trilogforhandlinger, så deler av dette vil flytte seg.

Hvordan vi kom hit

Cookie-samtykke har aldri bodd i GDPR. Det bor i artikkel 5 nr. 3 i ePrivacy-direktivet fra 2002, endret i 2009, som sier at lagring av informasjon på en brukers terminalutstyr, eller tilgang til den, krever samtykke med mindre det er strengt nødvendig for en tjeneste brukeren har bedt om.

Direktivet skulle erstattes av en ePrivacy-forordning. Forslaget sto fast i Rådet i åtte år og ble formelt trukket 11. februar 2025. Igjen sto et direktiv fra 2002, gjennomført på tjuesju litt forskjellige måter, som overvåker et web som ikke fantes da det ble skrevet.

Resultatet er rotet alle kjenner igjen: bannere som varierer fra land til land, samtykke som er teknisk ugyldig på et stort antall nettsteder, og brukere som klikker godta refleksmessig fordi det tar lengre tid å avslå.

Hva som allerede kan håndheves i dag

Før vi kommer til forslaget, er det verdt å være direkte om dagens situasjon, for mange team tror banneret deres er greit og det er det ikke.

Håndhevingen har vært jevn og konkret. I september 2025 bøtela den franske tilsynsmyndigheten Google med 325 millioner euro og Shein med 150 millioner samme dag. Funnene var mekaniske snarere enn filosofiske: cookies satt før banneret dukket opp, og en avslagsmulighet som ikke avslo pålitelig.

Reglene tilsynsmyndighetene faktisk anvender:

Ingenting ikke-nødvendig før brukeren handler. Ikke analysetaggen, ikke pikselen, ikke chatwidgeten, ikke tredjepartsfonten. Utløses det ved sidelasting, spiller det ingen rolle hva banneret sier.

Avslag må matche godta. Samme lag, samme visuelle vekt, samme antall klikk. Å gjøre avslag til en tostegsreise gjennom et innstillingspanel mens godta er én knapp, behandles som et mørkt mønster som ugyldiggjør samtykket.

Samtykke er granulært. Én bryter som samler analyse, annonsering og personalisering er ikke spesifikt samtykke.

Tilbaketrekking må være like enkelt som å gi. En permanent tilgjengelig kontroll, ikke en support-e-post.

Samtykke utløper. De fleste myndigheter opererer med rundt seks til tretten måneder før man bør spørre på nytt.

Samtykk eller betal er smalt. Uttalelse 08/2024 fra Personvernrådet sier at store plattformer generelt ikke kan tilby et binært valg mellom å godta sporing og å betale. Et reelt gratis alternativ uten atferdsbasert annonsering forventes.

Feiler banneret ditt på noen av de to første punktene, fiks det før du bekymrer deg for reformen. Det er de som gir bøter i dag.

Hva Digital Omnibus foreslår

Det sentrale strukturelle grepet er å ta reglene om terminalutstyr ut av det gamle direktivet og legge dem inn i selve GDPR, gjennom to nye artikler.

Artikkel 88a: samtykke til tilgang til terminalutstyr

Den erstatter artikkel 5 nr. 3 i ePrivacy-direktivet og, viktig, utvider settet av formål som ikke krever samtykke. Dagens unntak for det strengt nødvendige er så smalt at selv enkel publikumsmåling som regel krever banner. Forslaget utvider unntakene mot sikkerhet, aggregert publikumsmåling og opprettholdelse av tjenestens integritet.

To operative endringer får mest oppmerksomhet:

• Godta eller avslå med ett klikk. Valget må kunne presenteres i én handling, begge veier.
• En avkjølingsperiode. Avslår en bruker, skal du ikke spørre igjen på seks måneder. Det alene ville fjerne en stor del av bannertrettheten.

Artikkel 88b: maskinlesbare samtykkesignaler

Dette er det mest interessante for utviklere. Det ville gjøre samtykkesignaler på nettleser- eller systemnivå juridisk bindende for behandlingsansvarlige. Uttrykker en bruker en preferanse én gang, i nettleseren, må nettsteder respektere den i stedet for å spørre på nytt.

En tidligere versjon av pakken inneholdt en sterkere nettlesermekanisme som falt bort under forhandlingene. Det som overlever er prinsippet om at automatiserte signaler teller.

Andre punkter verdt å kjenne til

Pakken foreslår også å flytte fristen for melding av personvernbrudd fra 72 til 96 timer, og justerer flere definisjoner rundt pseudonymiserte data og KI-trening. Det ligger utenfor denne artikkelen, men reiser i samme kjøretøy, som delvis forklarer hvorfor saken er omstridt.

Tidslinje, og hvorfor du ikke bør planlegge etter den ennå

Det realistiske bildet per august 2026:

• Forslaget er i trilog mellom Parlamentet, Rådet og Kommisjonen.
• En endelig avstemning ventes senere i 2026, selv om tidsplaner har glidd før.
• Artikkel 88a ville gjelde omtrent seks måneder etter ikrafttredelse.
• Artikkel 88b ville gjelde innen omtrent 24 måneder.

Tidligste plausible dato for ettklikks- og avkjølingsreglene er dermed et sted i 2027, og plikter rundt nettlesersignaler i 2028. Den som sier at cookiebanneret dør i år, selger deg noe.

Hva vi ville endret nå, og hva ikke

Reformen er ikke gjeldende rett, men retningen er stabil nok til å informere arkitekturen. Slik rådgir vi kunder.

Gjør dette nå

Fiks mekanikken. Avslag like enkelt som godta, ingenting utløses før interaksjon, granulære kategorier, fungerende tilbaketrekking. Dette er gjeldende rett og det er der bøtene ligger.

Skill samtykketilstand fra samtykkegrensesnitt. Ha en samtykketjeneste som eier tilstanden, eksponerer den for applikasjonen og lagrer loggen med en versjonsreferanse. Da blir banneret et utskiftbart presentasjonslag. Endres reglene, bytter du grensesnittet og beholder rørleggingen.

Lagre samtykkelogger ordentlig. Tidsstempel, status per kategori, identifikator for bannertekstversjonen, mekanismen som ble brukt og kilden til beslutningen. Uten tekstversjonen kan du ikke bevise hva brukeren faktisk samtykket til.

Begynn å lytte etter signaler. Global Privacy Control er allerede juridisk relevant i flere jurisdiksjoner og koster svært lite å respektere. Å lese det nå gjør artikkel 88b, om den kommer, til en konfigurasjonsendring i stedet for et prosjekt.

Revider taggene dine på ordentlig. Ikke i tag manager-grensesnittet, men i nettleseren, på en ekte side, i en ren profil. Tell forespørslene før samtykke. Det er som regel flere enn teamet forventer.

Ikke gjør dette ennå

Ikke fjern granulært samtykke i troen på at unntakene utvides. Snevres den endelige teksten igjen, må du bygge det opp på nytt.

Ikke skriv om personvernerklæringen rundt utkast til artikkelnumre.

Ikke fjern banneret for publikumsmåling. Det utvidede unntaket er et forslag, ikke en tillatelse.

Ikke forplikt deg til en 96-timers prosess. Fortsett å operere på 72.

Det større designspørsmålet

Det er et bredere skifte verdt å navngi. Tilsynsmyndighetene har gått fra å spørre om du har samtykke til å spørre hvordan du fikk det. Grensesnittmekanikk er nå håndhevingsflaten. Derfor handler cookiebannersaker om knappeplassering og antall klikk snarere enn om ordlyden i en policy.

Trenden fortsetter forbi Digital Omnibus. Digital Fairness Act, ventet som forslag sent i 2026, retter seg direkte mot mørke mønstre, manipulative grensesnitt, personaliserte priser og avhengighetsskapende design. Anvendelse er realistisk 2028 eller senere, men den forteller hvilke mønstre som har en holdbarhetsdato.

Avhenger veksttallene dine av et forvirrende grensesnitt, er det nå en etterlevelsesrisiko med en dato, ikke en smart optimalisering.

En merknad om analyse

Mye av bannerproblemet er selvpåført. Team laster en tredjeparts analyseplattform som krever samtykke, mister så en tredjedel av dataene til avslag, og prøver deretter å designe seg rundt det.

Selvhostet, personvernvennlig analyse kan endre regnestykket, fordi måling som blir på din egen infrastruktur og ikke bygger profiler på tvers av nettsteder, har et langt sterkere argument for unntaket og ville passe godt inn i de utvidede unntakene Omnibus foreslår. Vi beskrev ett alternativ i vår guide for å sette opp Matomo, og samme logikk gjelder for selvhostet markedsautomatisering.

Dette er ikke et etterlevelsestriks. Det er en reell reduksjon av hva du må begrunne.

Hvor dette står i det større bildet

Cookie-samtykke er én brikke i en langt større regulatorisk oppbygging. Det fulle kartet over EU digital etterlevelse 2026 dekker resten, og den ingeniørrettede GDPR-guiden dekker laget under.

Vil du få samtykkeimplementeringen din gjennomgått mot det tilsynsmyndighetene faktisk håndhever, eller bygget om slik at neste regelendring blir en konfigurasjon og ikke en omskriving, skriv til office@c9group.dev.

Vi bygger systemer, vi gir ikke juridiske råd, og siste ord om tolkning hører til juristene deres.