Cookie-banner og personvernerklæring: slik velger du riktig leverandør

Mekanismen er nesten identisk hos alle seriøse leverandører. Du kobler løsningen til tag manager, konfigurerer kategorier i et dashbord, og får generert et banner du kan tilpasse med logo og farger. Flere kjente leverandører er bygget rundt samme prinsipp, og skiller seg først og fremst i pris, hvor stor tag-databasen er, og hvor dypt compliance-arbeidet går.

Det betyr at selve leverandørvalget er mindre viktig enn folk tror. Det som avgjør om du er innenfor, er om skriptene faktisk stopper før brukeren har samtykket. Å bare informere om cookie-bruken i personvernerklæringen, eller å bruke et passivt banner som bare varsler, er ikke tilstrekkelig. Det gjelder også for analyse- og statistikkformål, ikke bare for markedsføring.

To krav går igjen uansett leverandør: banneret må forklare hvilke konsekvenser samtykket har, og informasjonen i banneret må henge sammen med resten av personverninformasjonen på nettstedet. Bruker nettstedet bare strengt nødvendige cookies, er det ikke behov for banner. De aller fleste nettbutikker og tjenestesider har likevel Analyse, og ofte også Markedsføring, og da må oppsettet gjøres ordentlig.

Start derfor med en kartlegging før du ser på leverandører: hvilke verktøy kjører i dag, hvilke av dem setter cookies eller leser lagring i nettleseren, og hvilke av dem er strengt nødvendige for at siden skal virke. Den listen er grunnlaget for alt videre arbeid. Hva som gjelder for netthandel generelt, har vi samlet i regler for nettsider og netthandel.

Still kravene skriftlig før du bestiller, ikke etter at banneret er publisert. Dette er minimumsnivået:

• Blokkering før samtykke. Skript skal ikke kjøre i det hele tatt før brukeren har valgt, ikke bare logges som blokkert.
• Likestilte valg. Godta og Avvis bør ha samme utforming og samme antall klikk, slik at samtykket er frivillig.
• Tag-database som dekker verktøyene du faktisk bruker, inkludert Google Analytics, Google Ads, Meta pixel og eventuelle booking- eller chatteverktøy.
• Støtte for Consent Mode v2 dersom du bruker Google-tagger, slik at signalene gjenspeiler brukerens faktiske valg.
• Cookie-erklæring som genereres og oppdateres ved skanning, med navn, formål og utløpstid per cookie.
• Logg over avgitte samtykker, slik at du kan dokumentere hva den enkelte besøkende godtok og når.
• Mulighet for å endre valget senere, med en permanent lenke i bunnteksten.

Leverandøren bør også kunne svare på hvem som er databehandler og hvordan de behandler data på dine vegne. Datatilsynets råd er tydelig: velg verktøy som bare behandler personopplysninger på dine vegne og slik du bestemmer. Verktøy som tar forbehold om å bruke dataene til egne formål, gir deg et problem du må håndtere i personvernerklæringen.

Et praktisk tips: be om en demonstrasjon av dashbordet med dine egne verktøy, ikke med leverandørens standardoppsett. Da ser du hvor mye arbeid som faktisk ligger i konfigurasjonen, og om kategoriene er fornuftig navngitt for norske forhold.

Sjekk også hvor enkelt det er å gi en kollega eller et eksternt byrå tilgang uten å dele hovedpassordet. Samtykkeoppsett skal kunne gjennomgås av noen andre enn den som satte det opp.

Ikke sammenlign på funksjonslister, sammenlign på hva som skjer i nettleseren. Legg inn løsningen på en testside med de samme taggene du bruker i produksjon, og gå gjennom scenarioene:

• Første besøk, ingen valg tatt. Ingenting utover strengt nødvendige cookies skal settes.
• Brukeren trykker Avvis. Markedsføring og analyse skal fortsatt være blokkert, også etter at siden lastes på nytt.
• Brukeren trykker Godta. Taggene skal kjøre, og samtykket skal være logget.
• Brukeren endrer valget i etterkant. Endringen skal slå gjennom umiddelbart, uten at gamle samtykker henger igjen.
• Brukeren går til en underside eller en kampanjeside. Valget skal huskes, og samme regler skal gjelde.

Test i alle scenarioene ved å inspisere informasjonskapsler, lokal lagring og nettverksforespørsler i utviklerverktøyet i nettleseren. Det er den eneste måten å avsløre den vanligste feilen: kategorier som ser riktige ut i dashbordet, men der alle skript likevel kjører uavhengig av statusen i kildekoden.

Gjenta testen hver gang nettstedet får nye programtillegg, nye kampanjer, nye leverandører eller nye tagger. Et oppsett som var riktig i fjor, kan være feil i dag fordi noen la inn et sporingsskript direkte i temaet uten å gå via tag manager.

Bruker du Google Ads eller Meta i markedsføringen, må du også kontrollere at samtykkesignalene faktisk når annonseplattformene. For Google-tagger er Consent mode v2 og cookie-samtykke det som avgjør om du kan måle konverteringer uten å bryke reglene. For Meta er det verdt å vite hvordan Meta Ads Manager rapporterer når en andel av trafikken mangler samtykke.

Den vanligste feilen er ikke at banneret mangler, men at det ikke gjør noe. Brukeren velger bort markedsføring, men skriptene kjører likevel fordi de er lagt inn på en måte som ikke styres av samtykkeløsningen. Årsakene er gjerne hardkodet sporing i temaet, tagger som er publisert i feil container, eller et programtillegg som injiserer sin egen kode når siden lastes.

Symptomene er lette å overse, fordi banneret ser pent ut og dashbordet viser grønne statuser. Du oppdager det først når du åpner utviklerverktøyet og ser at forespørslene går ut selv om brukeren har avslått. Derfor bør blokkeringstesten være en fast rutine, ikke en engangsjobb ved lansering.

En annen variant er at banneret lover mer enn oppsettet klarer. Står det at brukeren kan velge bort statistikk, men analyseverktøyet kjører i en modus som fortsatt samler data, er informasjonen misvisende. Banneret må beskrive de faktiske konsekvensene av valget, ikke den tiltenkte arkitekturen.

Rydd også i gamle tagger. Når et verktøy er byttet ut, men taggen ligger igjen i containeren, samler du inn data du ikke har bruk for. Det strider mot grunnprinsippet om at du ikke skal samle inn flere personopplysninger enn du faktisk trenger.

Cookie-delen av personvernerklæringen skal være konkret nok til at en besøkende kan forstå hva som skjer. Den bør oppgi hvilke cookies som brukes, hva hver av dem gjør, hvor lenge de ligger i nettleseren, og når opplysningene som er samlet inn via cookies, slettes. Skill mellom cookies satt av nettstedet selv og tredjepartscookies fra annonsenettverk, sosiale medier og analyseverktøy.

Erklæringen må også henge sammen med banneret. Hvis banneret deler inn i kategoriene Nødvendige, Analyse og Markedsføring, skal personvernerklæringen bruke de samme kategoriene og de samme navnene. Motsatt informasjon på de to stedene er en av de vanligste grunnene til at brukere mister tillit til banneret.

Mange leverandører genererer cookie-erklæringen automatisk basert på skanning av nettstedet. Det er nyttig, men ikke nok alene. Du bør lese gjennom teksten og sørge for at den faktisk beskriver virksomheten din, hvem du deler data med, og hvordan den besøkende kan kontakte deg.

Publiser erklæringen slik at den er tilgjengelig fra alle sider, ikke bare fra banneret. En fast lenke i bunnteksten er standarden besøkende forventer, og den gjør det også enklere for deg å oppdatere teksten når verktøybyttet kommer.

Du kan fint sette sammen en personvernerklæring fra én kilde og et cookie-banner fra en annen. Det viktigste er at innholdet er identisk i begge, og at ingen av dem påstår noe oppsettet ikke gjør. Risikoen med å kombinere er at teksten og den tekniske konfigurasjonen utvikler seg i hver sin retning, særlig når nye verktøy legges til.

En enkel beslutningsregel:

• Velg samme leverandør hvis du vil ha cookie-erklæringen automatisk oppdatert fra samme dashbord som banneret, og du ikke har behov for en spesialskrevet personvernerklæring.
• Velg separat hvis du allerede har en personvernerklæring skrevet for virksomheten din, eller hvis du har behandlinger som ikke handler om nettsiden, for eksempel kunderegister, prosjektbilder eller oppbevaring av tilbud.
• Velg separat med fast kontrollrutine hvis du har mange nettsider eller en nettbutikk med egne betalings- og fraktflyter, slik at noen leser gjennom begge deler ved hver endring.

For nettbutikker er det verdt å huske at betalingsflyten har egne behov. Shopify Payments og betalingskonto setter i praksis krav til hvilke cookies som må være på plass for at kassen skal fungere, og de hører hjemme i kategorien strengt nødvendige.

Uansett valg bør én person eller rolle eie samtykkeoppsettet. I mindre virksomheter deles oppgaven ofte mellom markedsføring, utvikling og et eksternt byrå, og da er det ingen som har oversikt. Dokumenter kategorier, leverandører, tagger og dato for siste kontroll, slik at oppsettet kan gjennomgås når nettstedet endres.

Prisen på en samtykkeløsning påvirkes av antall domener, hvor mange tagger og kategorier du må håndtere, hvor mange besøkende løsningen skal dekke, og hvor mye support og oppfølging som følger med. Noen leverandører tar betalt per måned, andre per år, og flere har egne nivåer for byråer med mange kunder. Sjekk prislisten på leverandørens eget nettsted, og regn med at den kan endres.

Selve nettsiden er en annen kostnad. En enkel informasjonsside og en full nettbutikk ligger på helt ulike nivåer, grovt sett et sted mellom rundt 10 000 og 250 000 kroner avhengig av omfang, integrasjoner og hvor mye innhold som skal produseres. Legger du samtykkeløsning og personvernerklæring inn i et nytt nettsideprosjekt, er det rimeligere enn å rydde opp i etterkant.

Før du bestiller, gjør disse fire tingene:

• Kartlegg alle verktøy som setter cookies eller leser lagring på nettstedet.
• Test dagens oppsett i utviklerverktøyet og noter hva som faktisk kjører før samtykke.
• Skriv ned hvilke kategorier du vil ha, og hvilke tagger som skal ligge i hver.
• Avtal hvem som eier oppsettet, og når det skal kontrolleres neste gang.

Vil du måle effekten av markedsføringen samtidig som samtykket er i orden, kan en Google Ads-kalkulator for ROI og ROAS hjelpe deg å se hvor mye av tallgrunnlaget som faktisk er komplett. Nettsaga samler nettside, Google Bedriftsprofil, oppføringer, omtaler, annonser og kundesystem på ett sted, med et norsk team i Oslo som jobber med bedrifter i hele landet. Vi har 4,6 av 5 stjerner på Google fra 35 omtaler, over 1 200 bedrifter har valgt oss, og kundene våre fikk 119 000 kundehenvendelser de siste 12 månedene. Første steg er å booke en demo, så går vi gjennom ditt oppsett og hva tjenesten vår omfatter.