Så ska en cookiebanner se ut för att klara en granskning

Det går att avvisa direkt i första lagret

Om besökaren bara ser ”Jag godkänner” och måste leta efter avvisningen ett klick bort i inställningarna är samtycket inte frivilligt — det framtvingas av obekvämlighet. Avvisningen måste vara tillgänglig på samma skärm och lika enkelt som godkännandet.

Detta är den vanligaste orsaken till böter i Tjeckien och samtidigt ett fel som de flesta standardbannrar från webbutiksplattformar har.

Före samtycket startar inte ett enda mätskript

Lagen talar inte om en cookiebanner — den talar om lagring av information i enheten och åtkomst till den. Så länge besökaren inte har klickat får varken Google Analytics, Meta-pixeln, Sklik eller en chattwidget startas. En banner som bara visas medan skripten körs i bakgrunden är dekoration utan rättslig verkan.

Det är just för detta de högsta tjeckiska cookieböterna har utdömts.

Ingen kategori är förkryssad

Samtycket måste vara en otvetydig viljeyttring — alltså en aktiv handling. Ett reglage som redan är påslaget när inställningarna öppnas är inte samtycke, eftersom besökaren inte har gjort någonting. EU-domstolen avgjorde detta entydigt i målet Planet49.

Det finns bara ett undantag: tekniskt nödvändiga cookies. De är alltid påslagna, går inte att stänga av och kräver inget samtycke.

Att stänga med krysset eller skrolla är inte samtycke

Om besökaren stänger bannern eller bara skrollar sidan har hen inte uttryckt någonting — och det får inte tolkas som samtycke. EDPB anger det uttryckligen: att fortsätta surfa eller skrolla uppfyller inte kravet på en otvetydig handling.

Rätt lösning: efter stängning förblir de valfria cookies avstängda och bannern går att öppna igen när som helst.

Knapparna ser likvärdiga ut

Det räcker inte att avvisningen finns — den får inte vara visuellt undertryckt. Ett stort grönt ”Acceptera” bredvid en grå text ”Avvisa” är vilseledande design: designen driver mot ett val, så det samtycke som blir resultatet är inte frivilligt.

Ett praktiskt kriterium: båda alternativen har jämförbar storlek, kontrast och placering. De behöver inte vara identiska, men de får inte tillhöra olika viktklasser.

Samma logik gäller för texten på knapparna. Regelverket kräver inte identisk lydelse — men om ett alternativ exakt anger vad som händer och det andra inte gör det, uppstår osäkerheten just på avvisningssidan.

Samtycke kan lämnas separat för varje ändamål

Samtycket måste vara specifikt. En enda knapp ”jag samtycker till allt” utan möjlighet att tillåta bara analys och avvisa reklam uppfyller inte kravet — besökaren måste kunna skilja mellan ändamålen.

Etablerade kategorier: nödvändiga, funktionella, analytiska, marknadsföring. Var och en med ett eget reglage och en förklaring av vad den används till.

Cookielistan är fullständig och specifik

Informerat samtycke innebär att besökaren vet exakt vad hen tillåter: cookiens namn, vad den används till, hur länge den varar och vem som har åtkomst till den. Meningen ”vi använder tredjepartscookies” uppfyller inte informationsskyldigheten.

I praktiken är det den vanligaste punkten för avvikelse: en webbutik deklarerar fem cookies och lagrar i verkligheten trettio. Listan måste stämma med verkligheten — och uppdateras varje gång ett nytt verktyg läggs till på webbplatsen.

Att återkalla samtycket måste vara lika enkelt som att lämna det

Detta är ingen tolkning — GDPR säger det ordagrant. Om samtycket kan lämnas med ett klick på bannern måste det gå att återkalla med ett klick också. Inte via e-post, inte via en begäran, inte genom att radera cookies i webbläsaren.

En vanlig lösning: en permanent länk ”Cookieinställningar” i sidfoten eller en flytande ikon som öppnar bannern igen.

Webbplatsen fungerar även för den som avvisar

Att villkora åtkomsten till innehållet mot samtycke till marknadsföringscookies innebär att samtycket inte är frivilligt — besökaren har inget verkligt val. En så kallad cookie wall är därför otillåten.

Lika fel är en banner som täcker hela skärmen och inte går att komma förbi på annat sätt än genom samtycke.

Efter en avvisning frågar bannern inte igen vid varje besök

Att bannern dyker upp gång på gång efter att besökaren har avvisat är påtryckning — syftet är att hen till slut ”klickar bort det” bara för att få vara i fred. Även här handlar det om samtyckets frivillighet.

Den tjeckiska myndigheten rekommenderar konkreta siffror: samtyckets giltighet omkring 12 månader och att inte fråga igen på minst 6 månader efter en avvisning.

Bannern går att styra med tangentbordet och läsa med skärmläsare

Sedan den 28 juni 2025 gäller den europeiska tillgänglighetslagen. Om cookiebannern inte går att styra med tangentbordet eller om skärmläsaren hoppar över den kommer en del människor inte åt valet över huvud taget — och webbutiken har ett problem utöver GDPR.

Minimum: synligt fokus, hantering med tabbtangenten, tillräcklig kontrast för både text och knappar, stängning med Esc-tangenten.

Det är tydligt vem som behandlar uppgifterna och var detaljerna finns

Samtycket är informerat endast när besökaren vet vem hen ger det till. Bannern måste ange den personuppgiftsansvarige (eller otvetydigt hänvisa till denne) och en länk till integritetspolicyn.

Om policyn ligger på bannerleverantörens domän är det inget problem — men den måste tydligt visa att personuppgiftsansvarig är den aktuella webbutiken, inte leverantören.