Datatilsynet har sat danske hjemmesiders sporing på listen over emner for 2026. Det fremgår af tilsynets fokusområder, læst 5. november 2026. Baggrunden er undersøgelser, der fortsat viser omfattende indsamling af oplysninger, hvor besøgende reelt ikke kan sige nej. Indsatsen koordineres med Digitaliseringsstyrelsen. Den gode nyhed for en virksomhed er, at meget af det, en tilsynsmyndighed vil se på, kan tjekkes i en almindelig browser. Artiklen viser, hvad I selv kan kontrollere. Den er årsbundet og erstatter ikke vejledningen, der er linket til nederst.
To regelsæt og to myndigheder
Sporing er reguleret af to sæt regler, der ofte gælder samtidig.
Cookiebekendtgørelsen (BEK nr. 1148 af 9. december 2011) handler om at lagre eller læse oplysninger på brugerens udstyr. Den gælder, uanset om oplysningerne er personoplysninger. Digitaliseringsstyrelsen fører tilsyn med den. Spørgsmål om bekendtgørelsen hører hjemme dér.
Databeskyttelsesreglerne gælder, når der behandles personoplysninger, og IP-adresser og reklame-id’er kan være det. Datatilsynet fører tilsyn med dem.
Myndighedernes fælles vejledning fra maj 2025 samler begge dele. Reglerne omfatter mere end cookies. Pixels, altså usynlige billeder i sider og mails, og fingerprinting, hvor tekniske oplysninger om udstyret sættes sammen til et unikt aftryk, er også omfattet.
Et forslag til ændringer kan ses i debatten. Kommissionens forslag i Digital Omnibus rummede nye cookieregler, men de er streget på de læste sider af Rådets mandat af 22. oktober 2026, og Parlamentet har ingen stilling. Intet er vedtaget, så de gældende regler er dem, der står her.
Det, reglerne kræver
Vejledningens hovedpunkter:
- Samtykke skal indhentes, før der lagres eller læses noget, der ikke er teknisk nødvendigt. Statistik og personaliserede annoncer kræver samtykke.
- Teknisk nødvendige funktioner, fx login, indkøbskurv og brugerens egne valg, kræver det ikke, så længe oplysningerne ikke bruges til andet.
- Samtykket skal være frivilligt, specifikt, informeret og givet ved en aktiv handling. Det skal kunne dokumenteres.
- Det skal være lige så let at sige nej som at sige ja, og tilbagekaldelse skal være lige så enkel som selve samtykket.
- Forudafkrydsede felter og fortsat brug af siden er ikke samtykke.
- Særskilte formål skal kunne vælges særskilt.
- I første lag skal der stå, hvem I og jeres samarbejdspartnere er, formål, typer af oplysninger, om tredjeparter får dem, og retten til at trække samtykket tilbage.
Legitim interesse vil ifølge vejledningen ikke almindeligvis kunne bære målrettet markedsføring baseret på adfærd på tværs af tjenester. Der er samtykke det rigtige grundlag. Er adfærdsbaseret annoncering selve forretningen, kan det desuden føre til kravet om en DPO.
Tjek siden selv
Det her er vores fremgangsmåde. Alle punkter kan laves af en, der er vant til browserens udviklerværktøj, eller af jeres webbureau.
- Åbn siden som ny besøgende. Brug et privat vindue, og ryd alt, før I begynder.
- Se, hvad der sker, før I klikker. Åbn fanen for netværk og lageret i udviklerværktøjet. Sendes der kald til statistik, annoncenetværk eller sociale medier, inden nogen har valgt? Sættes der cookies, som ikke er nødvendige? I så fald er samtykket for sent på færde.
- Klik afvis. Genindlæs siden og se, om kaldene stopper. Her kan I se, om knappen faktisk virker.
- Sammenlign knapperne. Er afvis lige så tydelig som accepter? Farver og knapper, der går i ét med baggrunden, kan efter vejledningen være i strid med reglerne.
- Find vejen tilbage. Kan en besøgende ændre sit valg fra alle sider, fx via et fast ikon eller link?
- Læs teksten. Er alle tredjeparter nævnt ved navn, og er formålene konkrete? “Tredjepartsteknologier” er ifølge vejledningen for uklart.
- Tjek indlejret indhold. Video, kort, skrifttyper fra andre og sociale knapper kan samle oplysninger. Det gælder, også selv om I aldrig selv ser dem.
- Se på nyhedsbreve. Pixels i mails er omfattet af samme regler.
Gentag prøven på mobil og på en underside med formular. Bruger I sporing på sider med kontaktformular, kan oplysninger om en besøgende og det, personen skriver, nå længere ud, end I tror.
Dokumentation og ansvar
Et samtykke skal kunne vises. Vejledningen peger på, hvad samtykket omfatter, hvornår det er givet, og hvilken løsning der blev brugt. Tjek, at samtykkeløsningen gemmer det.
Ansvaret ligger hos virksomheden bag siden, også når et bureau eller en leverandør har sat det op. Er bureauet databehandler, skal der være en databehandleraftale. Ved indlejret indhold fra sociale medier og lignende vil der ifølge vejledningen ofte være fælles dataansvar, se fælles dataansvar. Vejledningen siger også, at det ofte vil være passende at opdatere et samtykke en gang om året, og at nye formål kræver nyt samtykke.
Det hører med til oplysningspligten at sige, hvor længe sporingen varer, og teksten skal stemme med det, siden faktisk gør. Se oplysningspligten.
Google Analytics og GDPR
Datatilsynet skrev 31. juli 2023, at det ikke har taget stilling til, om Google Analytics er lovligt. Anledningen var medier, der efter aftalen mellem EU og USA skrev, at værktøjet var blevet lovligt igen. Tilsynets pointe var, at overførslen til USA er ét krav blandt mange. Før I når dertil, skal I leve op til GDPR’s krav om bl.a. hjemmel, databehandlerkonstruktion og aftale, eventuelt fælles dataansvar og de registreredes rettigheder.
Tilsynet skrev samtidig, at det ville opdatere sine vejledende tekster, også om Google Analytics. Vi har gennemgået tilsynets sitemap 6. november 2026 og fandt ingen nyere udmelding om værktøjet, så nyheden fra 2023 er det seneste, vi har kunnet finde. Tilsynet omtalte i januar 2022 en østrigsk afgørelse, hvor en virksomhed under de foreliggende omstændigheder ikke lovligt kunne bruge værktøjet, og den sag angik overførsel før aftalen med USA.
Bruger I værktøjet, så skriv rollerne, grundlaget, aftalen og overførslen ned, og læs afsnittene “Kend dine services” og “Kend din leverandør” i tilsynets vejledning om cloud, som tilsynet selv peger på. Cookies til statistik kræver samtykke, som beskrevet ovenfor, og overførslen til USA er behandlet i Data Privacy Framework. Om jeres konkrete opsætning er lovlig, er et spørgsmål til advokat.
DPO’ens rolle
DPO’en kan rådgive om grundlag og tekst og kontrollere, at det besluttede svarer til det, siden gør. Markedsafdelingen og webbureauet ejer indstillingerne. Ledelsen beslutter, hvor meget sporing virksomheden vil have. En ny pixel lagt ind af marketing er en typisk ændring, som ingen melder videre. Aftal derfor, at nye tags og værktøjer skal forbi en, der kender reglerne, før de går live.
Det gør I nu
Kør prøven i dag, og tag skærmbilleder med dato. Bed webbureauet om en liste over alle tags og tredjeparter, og sammenhold den med samtykketeksten. Ret det, der ikke passer, og gentag prøven, hver gang siden ændres væsentligt.
Det skal I lade være med
- At stole på, at værktøjet til samtykke løser det hele · kontrollér, at det blokerer det, det skal.
- At lade tags ligge fra gamle kampagner · de samler videre.
- At afvise emnet, fordi siden er lille · reglerne gælder uanset størrelse.
Det skal I kræve af den eksterne
- ☐ En dateret gennemgang af, hvad siden gør før og efter et valg.
- ☐ Sammenligning af tags, tekst og fortegnelse.
- ☐ Rådgivning om grundlag for de enkelte formål.
- ☐ Besked om, hvornår et spørgsmål hører til Digitaliseringsstyrelsen.
Kilder
- Datatilsynet: Særlige fokusområder i 2026: danske hjemmesiders sporing, læst 5. november 2026.
- Datatilsynet og Digitaliseringsstyrelsen: Brug af cookies og lignende teknologier, maj 2025: læst 5. november 2026.
- Cookiebekendtgørelsen, BEK nr. 1148 af 9. december 2011.
- Datatilsynet: Nyhed om brug af Google Analytics og overførsler til USA, 31. juli 2023: læst 6. november 2026.
- Datatilsynet: Afgørelse om brug af Google Analytics fra det østrigske datatilsyn, 19. januar 2022: læst 6. november 2026.
- Datatilsynet: Vejledning om cloud, marts 2022.
- Rådets mandat om Digital Omnibus, ST 14756/26 af 22. oktober 2026: forslag, ikke gældende ret.
- Parlamentets procedurefil 2025/0360(COD): status læst 5. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Læs også: Oplysningspligten · Privatlivspolitik eller persondatapolitik
→ Kontakt · Tlf. 70 13 63 23 · Ekstern DPO hos Nielco IT
