Samtycket till cookies skrivs om: vad Digital Omnibus ändrar

Cookiebannern är det mest avskydda gränssnittet i Europa. Efter åtta år står den dessutom fortfarande på svag rättslig grund på en stor andel av alla webbplatser. Bryssel har till slut bestämt sig för att ta itu med båda problemen på en gång, och verktyget är paketet Digital Omnibus som lades fram den 19 november 2025.

Den här artikeln går igenom vad förslaget faktiskt innehåller, vad som redan är lag i dag och vad vi skulle ändra, och inte ändra, i en samtyckeslösning just nu. Per den 10 oktober 2026 har den del av paketet som rör GDPR och ePrivacy inte nått trilogförhandlingar: rådet har ännu inget förhandlingsmandat och parlamentet ingen ståndpunkt, så delar av detta kommer att ändras.

Hur vi hamnade här

Samtycket till cookies har aldrig legat i dataskyddsförordningen (GDPR). Det ligger i artikel 5.3 i ePrivacy-direktivet från 2002, ändrat 2009, som säger att lagring av information i, eller åtkomst till information från, användarens terminalutrustning kräver samtycke, om det inte är strikt nödvändigt för en tjänst som användaren har begärt.

Direktivet skulle egentligen ersättas av en ePrivacy-förordning. Förslaget satt fast i rådet i åtta år och drogs formellt tillbaka den 11 februari 2025. Kvar blev ett direktiv från 2002, införlivat på tjugosju lite olika sätt, som ska reglera en webb som inte fanns när det skrevs.

Resultatet är röran som alla känner igen: banners som skiljer sig åt mellan länder, samtycken som tekniskt sett är ogiltiga på ett stort antal webbplatser, och användare som klickar på godkänn av ren reflex eftersom det tar längre tid att neka.

Vad som redan går att driva igenom i dag

Innan vi kommer till förslaget är det värt att vara rak om läget just nu, eftersom många team tror att deras banner är i ordning när den inte är det.

Tillsynen har varit jämn och konkret. I september 2025 bötfällde den franska tillsynsmyndigheten Google med 325 miljoner euro och Shein med 150 miljoner euro samma dag. Bristerna var mekaniska snarare än filosofiska: cookies sattes innan bannern visades, och valet att neka nekade inte på ett tillförlitligt sätt.

Reglerna som tillsynsmyndigheterna faktiskt tillämpar:

Inget som inte är nödvändigt innan användaren agerar. Inte analystaggen, inte pixeln, inte chattwidgeten, inte typsnittet från tredje part. Om det laddas när sidan laddas spelar det ingen roll vad bannern säger.

Neka måste vara likvärdigt med godkänn. Samma nivå, samma visuella tyngd, samma antal klick. Att göra nekandet till en resa i två steg via en inställningspanel medan godkännandet är en knapp ses som ett manipulativt mönster (dark pattern) som gör samtycket ogiltigt.

Samtycket är detaljerat. Ett enda reglage som buntar ihop analys, annonsering och personalisering är inget specifikt samtycke.

Att återkalla måste vara lika enkelt som att ge. En kontroll som alltid går att nå, inte en e-postadress till supporten.

Samtycket löper ut. De flesta myndigheter utgår från ungefär sex till tretton månader innan du bör fråga igen.

Samtycke eller betalning är en smal väg. Europeiska dataskyddsstyrelsens yttrande 08/2024 säger att stora plattformar i regel inte kan erbjuda ett binärt val mellan att godkänna spårning och att betala. Ett verkligt kostnadsfritt alternativ utan beteendebaserad annonsering förväntas.

Brister din banner på någon av de två första punkterna, åtgärda det innan du oroar dig för reformen. Det är de som leder till böter i dag.

Vad Digital Omnibus föreslår

I kommissionens förslag är det centrala strukturella greppet att lyfta reglerna om terminalutrustning ur det gamla direktivet och placera dem i själva GDPR, genom två nya artiklar.

Artikel 88a: samtycke för åtkomst till terminalutrustning

Den ersätter artikel 5.3 i ePrivacy-direktivet och, vilket är viktigt, utvidgar de ändamål som inte kräver samtycke. Det nuvarande undantaget för det som är strikt nödvändigt är så snävt att även enkel publikmätning i regel kräver en banner. Förslaget utvidgar undantagen till sådant som säkerhet, aggregerad publikmätning och att upprätthålla tjänstens integritet.

Två operativa ändringar får mest uppmärksamhet:

• Godkänna eller neka med ett klick. Valet ska kunna göras med en åtgärd, åt båda hållen.
• En karenstid. Om en användare nekar ska du inte fråga igen på sex månader. Bara det skulle ta bort en stor del av den bannertrötthet som folk upplever.

Artikel 88b: maskinläsbara samtyckessignaler

Det här är den mer intressanta artikeln för utvecklare. Den skulle göra samtyckessignaler på webbläsar- eller systemnivå rättsligt bindande för personuppgiftsansvariga. Om en användare uttrycker sin preferens en gång, i webbläsaren, skulle webbplatserna behöva respektera den i stället för att fråga igen.

Det är också den del som medlemsstaterna tyckte minst om. Rådets text, som beskrivs nedan, stryker artikel 88b helt.

Andra saker värda att känna till

Paketet föreslår också att tidsfristen för att anmäla personuppgiftsincidenter flyttas från 72 till 96 timmar, och justerar flera definitioner kring pseudonymiserade uppgifter och AI-träning. De ligger utanför den här artikeln, men de färdas i samma paket, vilket är en del av förklaringen till att ärendet är omstritt.

Vad rådets text gör annorlunda

Medlemsstaterna arbetar utifrån en annan text. Det irländska ordförandeskapets kompromiss från 2 oktober 2026 (rådets dokument 13886/26, utformad som rådets mandat för förhandlingarna med parlamentet och ännu inte antagen den 10 oktober 2026) ändrar kommissionens upplägg på flera punkter:

• Reglerna om cookies stannar i ePrivacy-direktivet. Artikel 5.3 skrivs om där den står, och artiklarna 88a och 88b läggs inte till i GDPR. I den här texten finns ingen skyldighet att respektera webbläsarsignaler.
• Sex ändamål kräver inget samtycke: överföring av en kommunikation, en tjänst som användaren uttryckligen har begärt, förstapartsmätning av publiken som ger anonyma aggregerade data, publikmätning för medier enligt den europeiska mediefrihetsakten (European Media Freedom Act), säkerhet samt mätning av visning och resultat för kontextuell annonsering, utan profilering.
• Neka med ett klick. Användarna måste kunna neka ”with a single-click button or equivalent means”, alltså med en knapp och ett klick eller motsvarande.
• En kortare väntan. Efter ett nej får ingen ny förfrågan om samma ändamål göras på ”at least four months”, minst fyra månader, mot sex i kommissionens text.
• Två av kommissionens idéer överlever: tidsfristen på 96 timmar för incidentanmälan och den relativa definitionen av personuppgifter.

Det här är en förhandlingsposition, inte lag, och parlamentet har ännu inte antagit sin egen.

Tidsplanen, och varför du inte ska planera efter den än

Den realistiska bilden per den 10 oktober 2026:

• Trilogförhandlingarna har inte börjat. En omröstning bland EU-ambassadörerna om rådets mandat, planerad till 7 oktober, sköts upp och uppgavs flyttas till 11 oktober 2026.
• I parlamentet publicerade utskotten LIBE och ITRE sitt förslag till betänkande den 22 juni 2026 och fick in mer än 1 750 ändringsförslag. Ingen omröstning i utskotten har skett.
• I kommissionens text skulle artikel 88a börja tillämpas ungefär sex månader efter ikraftträdandet. Rådets text ger medlemsstaterna 24 månader att införliva den nya artikel 5.3, även om dess slutbestämmelser fortfarande innehåller ett datum på sex månader, en motsägelse som förhandlarna får lösa.
• I kommissionens text skulle artikel 88b börja tillämpas inom ungefär 24 månader. Rådets text stryker den.

Det tidigaste rimliga datumet för reglerna om ett klick och karenstid är alltså 2027 enligt kommissionens tidsplan, och senare om rådets 24 månader överlever. Skyldigheterna kring webbläsarsignaler kanske aldrig kommer. Den som säger att cookiebannern dör i år försöker sälja något.

Vad vi skulle ändra nu, och vad vi inte skulle ändra

Reformen är inte lag, men riktningen är tillräckligt stabil för att påverka arkitekturen. Så här råder vi våra kunder.

Gör det här nu

Rätta mekaniken. Neka lika enkelt som godkänn, inget som laddas före interaktion, detaljerade kategorier, en återkallelse som fungerar. Det är gällande rätt, och det är där böterna finns.

Skilj samtyckets tillstånd från samtyckets gränssnitt. Ha en samtyckestjänst som äger tillståndet, exponerar det för applikationen och sparar posten med en versionsreferens. Då blir bannern ett utbytbart presentationslager. När reglerna ändras byter du gränssnittet och behåller rörledningarna.

Spara samtyckesposterna ordentligt. Tidsstämpel, tillstånd per kategori, identifierare för versionen av bannertexten, vilken mekanism som användes och varifrån beslutet kom. Utan textversionen kan du inte bevisa vad användaren faktiskt gick med på.

Börja lyssna efter signaler. Global Privacy Control har redan rättslig betydelse i flera jurisdiktioner och kostar väldigt lite att respektera. Läser du den redan nu blir artikel 88b, om den antas, en konfigurationsändring i stället för ett projekt.

Granska dina taggar på riktigt. Inte i taggmanagerns gränssnitt, utan i webbläsaren, på en riktig sida, i en ren profil. Räkna förfrågningarna före samtycket. Det brukar vara fler än teamet tror.

Vänta med det här

Riv inte ut det detaljerade samtycket i tron att undantagen kommer att utvidgas. Om den slutliga texten blir snävare igen får du bygga upp det på nytt.

Skriv inte om din integritetspolicy utifrån artikelnummer i ett utkast.

Ta inte bort bannern för publikmätning. Det utvidgade undantaget är ett förslag, inte ett tillstånd.

Bind dig inte vid en incidentprocess på 96 timmar. Fortsätt arbeta efter 72.

Den större designfrågan

Det finns en bredare förskjutning som är värd att sätta namn på. Tillsynsmyndigheterna har gått från att fråga om du har samtycke till att fråga hur du fick det. Gränssnittets mekanik är nu det som tillsynen riktas mot. Därför avgörs cookieärenden av knapparnas placering och antalet klick snarare än av hur en policy är formulerad.

Den trenden fortsätter efter Digital Omnibus. Digital Fairness Act, som väntas läggas fram som förslag i slutet av 2026, riktar sig rakt mot manipulativa mönster, manipulativa gränssnitt, personanpassad prissättning och beroendeframkallande design. Tillämpningen blir realistiskt sett 2028 eller senare, men den visar vilka mönster som har ett bäst före-datum.

Om dina tillväxtsiffror bygger på ett förvirrande gränssnitt är det nu en risk för regelefterlevnaden med ett datum knutet till sig, snarare än en smart optimering.

En kommentar om webbanalys

En stor del av bannerproblemet är självförvållat. Team laddar en analysplattform från tredje part som kräver samtycke, förlorar sedan en tredjedel av sina data på grund av nej, och försöker sedan designa sig runt det.

Webbanalys i egen drift med integriteten i fokus kan ändra kalkylen, eftersom mätning som stannar på din egen infrastruktur och inte bygger profiler över flera webbplatser har ett mycket starkare argument för undantaget, och skulle passa väl inom de utvidgade undantag som Omnibus föreslår. Vi har skrivit om ett alternativ i vår guide till att sätta upp Matomo, och samma logik gäller för marknadsautomation i egen drift.

Det här är inget trick för att klara regelverket. Det är en verklig minskning av det du måste motivera.

Var detta passar in i helheten

Samtycket till cookies är en del av en mycket större regleringsutbyggnad. Hela kartan över EU:s digitala regelefterlevnad 2026 täcker resten, och ingenjörsguiden till GDPR täcker lagret under.

Vill du få din samtyckeslösning granskad mot det som tillsynsmyndigheterna faktiskt driver igenom, eller ombyggd så att nästa regeländring blir en konfiguration i stället för en omskrivning, kan vi hjälpa till. Skriv till office@c9group.dev.

Vi bygger system, vi ger inte juridisk rådgivning, och det sista ordet om tolkningen har din juridiska rådgivare.