Cookiesamtykke og tracking: Consent Mode v2, server-side og reglerne

For få år siden var tracking primært et teknisk emne. I dag afgør jeres samtykkeløsning, hvor meget data Google og Meta får at optimere på, og dermed hvor godt jeres annoncer performer. Samtidig er kravene blevet tydeligere i praksis, og Datatilsynet har gennem vejledninger og afgørelser beskrevet, hvad der skal til for et gyldigt samtykke.

Jeg er ikke jurist, og denne artikel er ikke juridisk rådgivning. Den er skrevet fra en praktikers side som et overblik over, hvordan reglerne og teknikken hænger sammen, så I ved, hvilke spørgsmål I skal stille jeres jurist, jeres udvikler og jeres bureau.

To regelsæt spiller sammen. Cookiebekendtgørelsen regulerer adgangen til at gemme og læse oplysninger på brugerens udstyr, fx cookies, lokal lagring og pixels. Databeskyttelsesforordningen, GDPR, regulerer den efterfølgende behandling af personoplysninger. Datatilsynet fører tilsyn med GDPR-delen og har udgivet vejledning om samtykke og om brugen af analyseværktøjer.

Hovedreglen er, at alt, der ikke er strengt nødvendigt for at levere den tjeneste, brugeren har bedt om, kræver forudgående samtykke. Det gælder statistik, annoncering, remarketing og de fleste tredjepartsværktøjer. For at samtykket er gyldigt, skal en række krav være opfyldt.

Datatilsynet har desuden forholdt sig til såkaldte cookie walls, hvor adgang til indhold betinges af samtykke. Det kan efter tilsynets praksis være lovligt under bestemte betingelser, fx når brugeren får et reelt alternativ. Det er et område, hvor I bør have juridisk rådgivning, før I går den vej.

Overførsel af data til USA har også fyldt meget. Datatilsynet vurderede i 2022, at Google Analytics ikke kunne bruges lovligt uden supplerende foranstaltninger. Siden 2023 har EU's Data Privacy Framework givet et grundlag for overførsel til certificerede amerikanske virksomheder, og EU-Retten afviste i 2025 et søgsmål mod ordningen. Den kan dog fortsat blive prøvet ved EU-Domstolen, så følg udviklingen.

EU-Kommissionen har også foreslået ændringer af cookiereglerne som en del af en bredere forenkling af den digitale lovgivning. Indtil ændringer er vedtaget og trådt i kraft, gælder de nuværende regler.

• Samtykket skal gives aktivt, før cookies sættes. Forudafkrydsede felter og fortsat brug af siden tæller ikke.
• Det skal være lige så nemt at afvise som at acceptere. En tydelig afvis-knap på første lag er i praksis standarden.
• Brugeren skal kunne se, hvad der gives samtykke til, og hvilke tredjeparter der modtager data.
• Samtykket skal kunne trækkes tilbage lige så let, som det blev givet.
• I skal kunne dokumentere, at samtykket er givet.

Consent Mode er Googles måde at lade jeres tags reagere på brugerens samtykke. Version 2 blev et krav i marts 2024 for annoncører, der vil bruge målgrupper, remarketing og personalisering i Google Ads med trafik fra EØS. Ud over signalerne ad_storage og analytics_storage sendes nu også ad_user_data og ad_personalization, der fortæller Google, om brugerens data må bruges til annoncering og personalisering.

Der findes to måder at implementere det på.

Advanced giver mere data at modellere på, men sender også signaler for brugere, der har afvist. Om det passer med jeres fortolkning af reglerne, er en juridisk vurdering, I bør tage bevidst. Nogle virksomheder vælger derfor Basic. Det vigtigste er, at valget er truffet og dokumenteret, og at samtykkeløsningen faktisk sender de rigtige signaler til tags. Det er overraskende ofte ikke tilfældet.

• Basic. Googles tags indlæses først, når brugeren har givet samtykke. Uden samtykke sendes intet.
• Advanced. Tags indlæses med det samme, men uden cookies, indtil der er samtykke. Uden samtykke sendes cookieløse signaler, som Google bruger til at modellere konverteringer og adfærd.

Ved server-side tracking sender jeres hjemmeside data til en server, I selv kontrollerer, fx en server-side container i Google Tag Manager. Herfra sendes data videre til GA4, Google Ads, Meta Conversions API og andre platforme. I får bedre kontrol over, hvilke data der forlader jeres domæne. Cookies kan sættes som førstepartscookies fra jeres egen server, og målingen bliver mindre sårbar over for adblockere og browserbegrænsninger.

Server-side tracking er ingen vej uden om samtykke. Kravene til samtykke gælder som udgangspunkt, uanset om data sendes fra browseren eller fra en server. Har brugeren afvist markedsføringscookies, bør samtykkevalget også styre, hvad der sendes til Meta via Conversions API og til andre annonceplatforme. Server-side er et værktøj til bedre datakvalitet og kontrol, når samtykket er på plads.

Når det er sat ordentligt op, giver det typisk mere komplette data fra de brugere, der har givet samtykke, og mulighed for at berige konverteringer med ordreværdi, avance og førstepartsdata fra jeres CRM. Det giver algoritmerne bedre signaler at optimere efter.

Når jeg gennemgår en opsætning, finder jeg næsten altid mindst én af disse fejl.

Fejlene giver både en juridisk risiko og dårligere data. En korrekt opsætning er ofte også den, der giver de mest pålidelige tal i annoncesystemerne, fordi signalerne er konsistente.

• Tags, der fyrer, før brugeren har taget stilling, fordi samtykkeløsningen indlæses for sent.
• Consent Mode, der er slået til i samtykkeværktøjet, hvor signalerne aldrig når frem til Google-tags.
• Meta-pixel og TikTok-pixel indlagt direkte i temaet uden om tag manageren og dermed uden om samtykket.
• En server-side opsætning, der sender alle hændelser videre uanset samtykkestatus.
• Et banner, hvor afvis-knappen er gemt i andet lag eller skrevet med svag, grå tekst.
• Ingen oversigt over, hvilke cookies og leverandører der faktisk er i brug.

Rækkefølgen betyder meget. Jeg arbejder typisk i disse trin.

Konverteringssporing og server-side tracking er noget, jeg og de specialister, jeg arbejder med, sætter op for virksomheder, der vil have styr på både data og regler. Har I brug for en gennemgang af jeres nuværende opsætning, så skriv til mr@michaelroscoe.dk.

• Kortlægning af alle cookies, pixels og tredjepartsværktøjer på sitet, også dem, I har glemt.
• Valg af samtykkeløsning, der understøtter Consent Mode v2 og jeres øvrige platforme.
• Implementering via Google Tag Manager, så alle tags styres af samtykkestatus.
• Beslutning om Basic eller Advanced Consent Mode sammen med jeres juridiske rådgiver.
• Eventuelt en server-side container til GA4, Google Ads og Meta Conversions API, hvor samtykkestatus følger med hver hændelse.
• Test med Tag Assistant og browserens udviklerværktøjer, før noget går live, og løbende kontrol efter ændringer på sitet.