De flesta team klistrar på en cookiebanner, väljer en mall och antar att de är klara. Sedan frågar en kunds säkerhetsgranskning hur ni fångar samtycke, eller en tillsynsmyndighet pekar på era förkryssade rutor, och det visar sig att bannern var den enkla delen. Samtycke är en praktik du måste driva och bevisa, inte en pryl du installerar en gång.

Cookie-samtycke ligger i skärningspunkten mellan två regelverk som ofta blandas ihop. Att få det rätt handlar om att behandla båda som ett program av beslut, banners och register som du håller aktuellt. Den här guiden går igenom när samtycke krävs, hur giltigt samtycke ser ut och hur du dokumenterar hela praktiken som bevis i OptiTech.

GDPR och ePrivacy-direktivet, tillsammans

Folk pratar om "GDPR-samtycke för cookies", men cookies styrs i första hand av ePrivacy-direktivet, ibland kallat cookielagen. I Sverige landar det i lagen om elektronisk kommunikation, och varje EU-land har sin egen införlivning. Direktivet säger att du i regel inte får lagra eller läsa information på någons enhet utan samtycke, med ett smalt undantag för det som är strikt nödvändigt för att leverera en tjänst användaren bett om.

GDPR lägger sig ovanpå. När en cookie eller spårare behandlar personuppgifter, vilket de flesta analys- och annonscookies gör, definierar GDPR vad som räknas som giltigt samtycke och vilka rättigheter personen behåller efteråt. De två samspelar alltså: ePrivacy avgör om du behöver samtycke för att placera cookien, och GDPR sätter ribban som samtycket måste nå. Du kan inte uppfylla det ena och strunta i det andra.

När du faktiskt behöver samtycke

Alla cookies kräver inte ett klick i en banner. Gränsen går vid ändamål, inte teknik.

• Strikt nödvändiga cookies kräver inte samtycke. Tänk sessionscookies som håller en användare inloggad, en varukorg som minns varorna, eller en lastbalanserare som styr trafiken. De är nödvändiga för en tjänst användaren aktivt bett om.
• Allt annat kräver samtycke i förväg. Analys, annonsering, A/B-testning, pixlar från sociala medier, värmekartor och de flesta inbäddningar från tredje part kräver samtycke innan de körs.

"I förväg" är ordet som ställer till det. Samtycket måste komma innan cookien sätts, inte efter. Om din analys triggar vid sidladdning och bannern dyker upp en sekund senare har du redan brutit mot regeln. Detsamma gäller berättigat intresse: du kan inte falla tillbaka på det för cookies som ePrivacy säger kräver samtycke. För spårningscookies är samtycke ribban, punkt.

Så ser giltigt samtycke ut

GDPR sätter en hög standard, och tillsynsmyndigheterna tillämpar den bokstavligt. Giltigt samtycke är:

• Frivilligt. Användaren kan säga nej lika enkelt som ja. Ett "neka alla" måste ligga bredvid "acceptera alla", lika tydligt. Att gömma nekandet två menyer ner är inget verkligt val.
• Specifikt och granulärt. Användaren samtycker per ändamål, inte till ett paket. Analys, marknadsföring och personalisering är separata beslut, och någon kan acceptera det ena och neka det andra.
• Informerat. Innan personen väljer ser hen vad varje kategori gör, vilka mottagarna är och hur länge cookierna lever.
• Otvetydigt. Samtycke kräver en tydlig aktiv handling. Ett klick, ett påslaget reglage, en ruta användaren själv kryssar i.

Den sista punkten stänger dörren för det vanligaste felet: förkryssade rutor och "samtycke genom fortsatt surfande". Tystnad, passivitet och förvalda reglage är inte samtycke. Det är inte heller en cookievägg som säger acceptera eller lämna, i de flesta fall, eftersom det inte är frivilligt.

Samtyckesbanners gjorda rätt

En regelenlig banner handlar mindre om design och mer om valen den erbjuder. Få de här rätt:

• Likvärdiga knappar. "Acceptera alla" och "neka alla" visas tillsammans, med samma tyngd. Ingen nedtonad neka-knapp, ingen gömd länk.
• Granulära kontroller ett lager ner. En vy för "hantera inställningar" låter användaren slå på eller av varje kategori, allt avstängt som förval utom strikt nödvändigt.
• Inga cookies före klicket. Icke-nödvändiga skript förblir blockerade tills användaren väljer att slå på dem. Det är den tekniska halvan folk hoppar över.
• Enkelt att återkalla. Att återkalla samtycke måste vara lika enkelt som att ge det. En bestående länk eller ikon som öppnar inställningarna igen räcker.
• Symmetri över tid. Tjata inte på användare som nekat med en banner vid varje besök. Respektera valet en rimlig period.

För register över samtycke

GDPR:s ansvarsskyldighet gäller samtycke som allt annat: du måste kunna visa att en användare samtyckt, inte bara påstå det. Det betyder att föra register över vem som samtyckt, när, till vad och hur valet presenterades.

I praktiken vill du fånga samtyckesversionen, kategorierna som accepterats och nekats, en tidsstämpel och en referens till bannertexten och konfigurationen som gällde i det ögonblicket. När din banner ändras speglar de gamla registren fortfarande vad användaren faktiskt gick med på. Om en tillsynsmyndighet eller en kund ber dig bevisa samtycke för ett visst datum kan du visa exakt vad som stod på skärmen och vad personen valde.

Vanliga misstag vid tillsyn

Tillsynsmyndigheter i hela EU har varit aktiva här, och mönstret i sanktionerna är tydligt. Misstagen som ger avgifter är sällan exotiska:

• Cookies som sätts före samtycke. Skript som triggar vid laddning, innan användaren valt något.
• Inget "neka alla" i första lagret. Acceptera är ett klick, att neka tar fem. Myndigheterna läser det som styrning.
• Förkryssade rutor eller förvalda reglage. Fortfarande vanligt, fortfarande en tydlig överträdelse.
• Paketerat samtycke. En knapp för analys, annonser och personalisering utan sätt att skilja dem åt.
• Samtycke du inte kan återkalla. Ingen synlig väg att ändra ett val i efterhand.
• Inga register. En banner som fångar ett klick men lagrar inget för att bevisa det senare.

Inget av det här kräver en jurist för att upptäcka. Det kräver att någon äger praktiken och stämmer av den mot standarden.

Dokumentera din samtyckespraktik som bevis

Här slutar samtycke vara en syssla på webbplatsen och blir en del av ditt efterlevnadsprogram. I OptiTech lever din praktik för cookies och ePrivacy som en uppsättning kontroller med bevis kopplade till sig, inte ett påstående i en policy ingen läser.

Du kan hålla din bannerkonfiguration, din cookieinventering och dina samtyckesregister som bevis mot de relevanta kontrollerna, och koppla dem till de GDPR- och ePrivacy-krav de uppfyller. När din banner eller din cookielista ändras uppdaterar du bevisen i OptiTech Console och kontrollen visar sitt aktuella läge. Granskare ser en praktik som underhålls, är daterad och har en ägare.

Samma bevis gör dubbel nytta på säljsidan. När en företagsköpares säkerhetsgranskning frågar hur ni hanterar samtycke för spårning pekar du på ditt trust center i stället för att skriva ett nytt svar. Din datalagring i Stockholm och Frankfurt, dina certifieringar och din samtyckesställning visas alla på ett ställe, och granskningen börjar besvara sig själv.

Kom igång

Du behöver ingen ombyggnad för att få det här rätt. En realistisk första omgång ser ut så här:

1. Inventera dina cookies och spårare. Lista var och en, dess ändamål, dess leverantör och dess livslängd. Du kan inte samtycka till det du inte kartlagt.
2. Fixa bannern. Likvärdig acceptera och neka, granulära kontroller, inget som triggar före klicket, ett enkelt sätt att återkalla.
3. Slå på samtyckesregister. Fånga vem, när, vad och vilken bannerversion, och behåll historiken.
4. Koppla det till ditt program. Håll konfigurationen, inventeringen och registren som bevis i OptiTech, kopplade till GDPR- och ePrivacy-kontrollerna, och publicera ställningen till ditt trust center.

Cookie-samtycke belönar samma vana som resten av efterlevnaden: bestäm en gång, gör det ordentligt och håll beviset aktuellt. Få bannern och registren rätt, så får både dina tillsynsmyndigheter och dina köpare samma tydliga svar.

Redo att göra cookie-samtycke till bevis du kan visa? Boka en demo och se hur OptiTech kopplar ihop dina kontroller, register och trust center.