Teknologi & tracking

Cookiens udvikling: Fra grundlæggende sporing til streng overholdelse

7. juli 2026 · 16 min læsning

Kort svar

Browsercookies startede i 1994 som en simpel løsning til at opretholde indkøbskurvens tilstand på tværs af websessioner, men cookiens udvikling fra grundlæggende sporing til streng overholdelse har forvandlet dem til en af de mest regulerede teknologier i digital historie. I dag kan implementering af cookies uden udtrykkeligt brugersamtykke udsætte organisationer for betydelige lovmæssige sanktioner under rammer som GDPR og CCPA. Forståelse af denne udvikling er afgørende for enhver websiteejer, udvikler eller data privacy-professionel, der opererer i 2026.

Vigtigste pointer

Cookies blev opfundet af Lou Montulli hos Netscape i 1994 for at løse et statsløst HTTP-problem, ikke for at spore brugere
Tredjepartscookies muliggjorde adfærdsprofilering på tværs af websteder, hvilket udløste globale lovmæssige reaktioner fra midten af 2000'erne og fremefter
GDPR (2018) og CCPA (2020) ændrede grundlæggende, hvordan websteder skal indhente og dokumentere cookiesamtykke
Googles udfasning af tredjepartscookies i Chrome har fremskyndet adoptionen af privatlivsbevarende alternativer, herunder førstepartsdatastategier og server-side analyse
Consent Management Platforms (CMPs) er nu et krav for overholdelse, ikke en valgfri forbedring, for de fleste kommercielle websteder
Førstepartscookies forbliver lovlige og funktionelle; byrden for overholdelse falder primært på sporings- og reklamecookies
Cookie-samtykkebannere skal opfylde specifikke juridiske standarder: forudafkrydsede felter, bundtet samtykke og mørke mønstre er forbudt under GDPR
Brugere kan slette cookies til enhver tid, men dette påvirker personalisering, login-vedholdenhed og nøjagtighed af analyser

Hvad er cookies, og hvordan fungerer de?

Cookies er små tekstfiler, som en webserver instruerer en browser til at gemme lokalt på en brugers enhed. Når brugeren genbesøger det samme websted, sender browseren den gemte cookie tilbage til serveren, hvilket gør det muligt for den at genkende sessionen, huske præferencer eller associere adfærd på tværs af sider.

Teknisk set består en cookie af et navn-værdi-par plus valgfri attributter: udløbsdato, domæneomfang, sti og sikkerhedsflag som HttpOnly og Secure. Sessionscookies udløber, når browseren lukker; vedvarende cookies forbliver, indtil deres definerede udløbsdato, eller indtil brugeren sletter dem. [8]

Vigtigste cookietyper efter funktion:

Type	Formål	Typisk levetid
Session	Oprethold login-status	Browsersession
Vedvarende	Husk præferencer	Dage til år
Førsteparts	Indstillet af det besøgte domæne	Varierer
Tredjeparts	Indstillet af eksterne domæner	Ofte 1-2 år
Analyse	Mål trafikadfærd	13-26 måneder
Marketing/sporing	Byg annonceprofiler	Op til 2 år

Cookiens historie i webbrowsere

Cookiens udvikling fra grundlæggende sporing til streng overholdelse starter med et ligetil ingeniørproblem. I 1994 havde Lou Montulli, en ingeniør hos Netscape Communications, brug for en måde at implementere en virtuel indkøbskurv på uden at gemme sessionsdata på serversiden. Hans løsning var HTTP-cookien, afledt af et eksisterende Unix-koncept kaldet en "magic cookie". [7]

Netscapes browser blev leveret med cookie-understøttelse i 1994, og Internet Explorer vedtog standarden i 1995. I 1997 havde IETF formaliseret specifikationen i RFC 2109. [8] Hvad der startede som en løsning på et statsløst protokolproblem, blev hurtigt rygraden i personalisering, autentificering og, kritisk, annoncering.

Vigtige milepæle i cookiens historie:

1994: Lou Montulli opfinder HTTP-cookien hos Netscape [5]
1996: Financial Times udgiver en af de første offentlige advarsler om cookie-baseret sporing [7]
2000'erne: Annoncenetværk implementerer tredjepartscookies for at opbygge adfærdsprofiler på tværs af websteder
2011: EU's cookiedirektiv kræver informeret samtykke til ikke-essentielle cookies
2018: GDPR hæver kravene til overholdelse dramatisk og kræver udtrykkeligt, granulært samtykke
2020: CCPA giver californiske forbrugere ret til at fravælge cookie-baseret datasalg
2024: Google begynder gradvis udfasning af tredjepartscookies i Chrome [10]

Førsteparts- vs. tredjepartscookies: Hvad er forskellen?

Førstepartscookies indstilles af det domæne, brugeren aktivt besøger. Tredjepartscookies indstilles af et andet domæne, typisk et annoncenetværk, en analyseudbyder eller en social medieplatform, der er indlejret på siden.

Denne forskel er enormt vigtig for både funktionalitet og overholdelse. Førstepartscookies betragtes generelt som mindre risikable, fordi brugeren har et direkte forhold til det indstillende domæne. Tredjepartscookies muliggør derimod, at en enkelt annonceringsenhed kan spore en brugers adfærd på tværs af tusindvis af uafhængige websteder og opbygge detaljerede adfærdsprofiler uden brugerens meningsfulde bevidsthed. [6]

"Tredjepartscookien blev motoren i overvågningsøkonomien, ikke fordi den var designet til det formål, men fordi dens tekniske arkitektur gjorde sporing på tværs af websteder trivielt let at implementere i stor skala."

De fleste moderne privatlivsregler retter sig specifikt mod tredjeparts sporingscookies, selvom samtykkekrav gælder for alle ikke-essentielle cookies uanset oprindelse.

Hvad er GDPR, og hvordan påvirker det cookies?

General Data Protection Regulation (GDPR), som trådte i kraft i maj 2018, behandler cookie-identifikatorer som personoplysninger, når de kan bruges til at identificere eller profilere en person. Under GDPR skal websteder, der betjener EU-borgere, indhente frit givet, specifikt, informeret og utvetydigt samtykke, før de placerer ikke-essentielle cookies. [2]

GDPR-krav til cookie-overholdelse omfatter:

Samtykke skal indhentes, før cookies indstilles, ikke efter
Brugere skal kunne afvise samtykke lige så let, som de kan acceptere det
Forudafkrydsede samtykkebokse er udtrykkeligt forbudt
Samtykke skal være granulært: brugere kan acceptere analysecookies, men afvise reklamecookies
Samtykkeoptegnelser skal gemmes og kunne revideres
Brugere skal til enhver tid kunne trække samtykke tilbage

Overtrædelser medfører potentielle bøder på op til 4 % af den globale årlige omsætning eller 20 millioner EUR, alt efter hvad der er størst. Håndhævelsen af reglerne er intensiveret siden 2020, hvor databeskyttelsesmyndigheder i Frankrig, Irland, Italien og Spanien har udstedt betydelige bøder for ikke-kompatible samtykkebannere. [4]

CCPA-krav til cookie-overholdelse

California Consumer Privacy Act (CCPA), der trådte i kraft i januar 2020 og blev styrket af California Privacy Rights Act (CPRA) i 2023, anlægger en anderledes, men komplementær tilgang. I stedet for at kræve opt-in-samtykke til alle sporingscookies giver CCPA forbrugerne ret til at fravælge "salg" eller "deling" af deres personlige oplysninger, hvilket inkluderer cookie-baserede adfærdsdata, der overføres til tredjeparts reklameplatforme.

CCPA-forpligtelser for cookie-brug omfatter:

Et "Do Not Sell or Share My Personal Information"-link skal vises tydeligt
Virksomheder skal respektere Global Privacy Control (GPC)-signaler som en gyldig opt-out-mekanisme
Privatlivspolitikker skal oplyse om de kategorier af personoplysninger, der indsamles via cookies
Forbrugere har ret til at anmode om sletning af data indsamlet via cookies

Virksomheder, der er underlagt CCPA, og som også betjener EU-brugere, skal forene begge rammer, typisk ved at implementere en samtykkestyringsløsning, der kan håndtere jurisdiktionsspecifikke regelsæt.

Sådan får du brugersamtykke til cookies

At indhente gyldigt cookiesamtykke kræver mere end at placere et banner på en side. Samtykke skal opfylde de juridiske standarder i den gældende jurisdiktion, før ikke-essentielle cookies aktiveres.

Et kompatibelt samtykkeflow følger disse trin:

Bloker alle ikke-essentielle cookies fra at blive aktiveret, indtil samtykke er registreret
Vis en klar, letforståelig samtykkeerklæring, der forklarer, hvilke cookies der bruges og hvorfor
Tilbyd ægte accept- og afvisningsmuligheder på samme fremtrædende niveau
Giv granulære kategorikontroller (analyse, marketing, præferencer)
Registrer samtykkehændelsen med et tidsstempel, version og brugeridentifikator
Respekter tilbagetrækning af samtykke øjeblikkeligt og udbred ændringen til alle aktive tags

Platforme som Biscotti CMP er designet til at håndtere denne arbejdsgang, idet de administrerer indsamling, lagring og signalfordeling af samtykke til downstream marketing- og analyseværktøjer på tværs af flere jurisdiktioner.

Bedste praksis for cookie-samtykkebannere

Et dårligt designet samtykkebanner er i sig selv en risiko for overholdelse. Regulatorer har specifikt rettet sig mod mørke mønstre, herunder designs, der gør afvisning vanskelig, skjuler afvisningsmuligheden bag flere klik, eller bruger farvekontrast til at skubbe brugere mod accept.

Karakteristika for et kompatibelt samtykkebanner:

Lige visuel vægt for accept- og afvisningsknapper
Ingen forudvalgte skiftekontakter for ikke-essentielle kategorier
Klart sprog uden juridisk jargon
En vedvarende mekanisme til at genbesøge og ændre samtykkepræferencer
Mobilresponsivt layout, der ikke skjuler sideindhold

Design af samtykkebannere bør testes mod den specifikke vejledning udstedt af den relevante databeskyttelsesmyndighed. Den franske CNIL har f.eks. offentliggjort detaljerede tekniske anbefalinger om acceptable bannerformater, der går ud over GDPR's grundlæggende tekst. [9]

Hvad erstattede tredjepartscookies, efter at Google udfasede dem?

Googles udfasning af tredjepartscookies i Chrome, som for alvor begyndte i 2024, har fremskyndet søgningen efter funktionelle alternativer. Ingen enkelt erstatning har opnået universel udbredelse, men flere tilgange har vundet indpas. [10]

Førende cookie-alternativer i 2026:

Førstepartsdatastategier: Indsamling af adfærdsdata direkte via egne ejendomme og autentificerede sessioner
Server-side analyse: Flytning af tag-udførelse til serveren for at reducere klient-side cookie-afhængighed
Privacy Sandbox API'er: Googles suite af browserbaserede API'er (Topics API, Protected Audience API) designet til at muliggøre interessebaseret annoncering uden cross-site identifikatorer
Kontekstuel annoncering: Målretning baseret på sideindhold snarere end brugerhistorik
Datarensningsrum: Privatlivsbevarende miljøer, hvor førstepartsdatasæt fra flere parter kan matches uden udveksling af rådata
Universelle ID'er: Hashed e-mail-baserede identifikatorer delt på tværs af udgivernetværk med brugersamtykke

Hvert alternativ har sine egne samtykke- og overholdelsesimplikationer. Kontekstuel annoncering kræver ingen brugerdata; autentificerede ID-løsninger kræver stadig udtrykkeligt samtykke under GDPR.

Er cookies sikre, og hvad er privatlivsrisiciene?

Cookies er i sig selv ikke eksekverbar kode og kan ikke installere malware. De indebærer dog betydelige privatlivsrisici, især når de bruges til sporing på tværs af websteder, eller når de opsnappes via usikre forbindelser.

Primære privatlivsrisici forbundet med cookies:

Profilering på tværs af websteder: Tredjepartscookies muliggør detaljerede adfærdsprofiler uden brugerens bevidsthed
Sessionskapring: Cookies, der overføres via ukrypteret HTTP, kan opsnappes af angribere på delte netværk
Cookie-synkronisering: Annoncenetværk deler cookie-identifikatorer med hinanden, hvilket udvider sporingsrækkevidden ud over en enkelt platform
Zombie-cookies: Nogle sporingsteknologier forsøger at genskabe slettede cookies ved hjælp af browser-fingeraftryk eller lokal lagring

HttpOnly- og Secure-flagene afbøder nogle angrebsvektorer, men de adresserer ikke de strukturelle privatlivsrisici ved adfærdssporing. [8]

Sådan tjekker du, hvilke cookies et websted bruger

Enhver bruger eller udvikler kan revidere et websteds cookies ved hjælp af browserens indbyggede værktøjer. I Chrome eller Firefox afslører åbning af Udviklerværktøjer (F12) og navigation til fanen Applikation eller Lagring alle cookies, der aktuelt er indstillet for det aktive domæne, herunder deres navne, værdier, domæner, udløbsdatoer og sikkerhedsflag.

For en mere struktureret revision giver værktøjer, der gennemsøger et websted og kategoriserer cookies efter type og formål, et mere komplet billede, hvilket er særligt nyttigt til overholdelsesdokumentation. Websteder bør udføre periodiske cookie-revisioner, da tredjepartsskripter, der tilføjes via tag-managere, kan introducere nye cookies uden udtrykkelig gennemgang.

Hvordan påvirker cookies webstedets ydeevne?

Cookies har en målbar, men typisk beskeden indvirkning på sideindlæsningsydelsen. Hver HTTP-anmodning til et domæne inkluderer alle cookies, der er indstillet for det domæne, i anmodningsheaderen, hvilket tilføjer overhead proportionalt med antallet og størrelsen af tilstedeværende cookies.

Mere betydelige ydeevneimplikationer kommer fra den JavaScript, der indstiller cookies: tredjeparts tag-scripts, samtykkestyringsplatforme og analysebiblioteker bidrager alle til sidens vægt og udførelsestid. Dårligt administrerede tag-implementeringer kan tilføje hundredvis af millisekunder til Time to First Byte (TTFB) og Largest Contentful Paint (LCP), som begge påvirker Core Web Vitals-score.

Bedste praksis er at indlæse ikke-essentielle scripts asynkront, bruge et tag-styringssystem til at kontrollere udførelsesrækkefølgen og regelmæssigt revidere tredjeparts cookie-scripts for redundans.

Kan brugere slette cookies, og hvad sker der?

Ja, brugere kan slette cookies til enhver tid via browserindstillinger, og dette er øjeblikkeligt og fuldstændigt for gemte cookies. Konsekvenserne afhænger af den type cookie, der slettes.

Sletning af sessionscookies logger brugeren ud af aktive sessioner
Sletning af præferencecookies nulstiller gemte indstillinger som sprog eller visningsvalg
Sletning af analysecookies nulstiller besøgsidentifikation, hvilket får tilbagevendende brugere til at fremstå som nye besøgende i analyseplatforme
Sletning af reklamecookies fjerner annoncemålretningsprofiler, selvom fingeraftryksbaseret sporing delvist kan fortsætte

Brugere, der sletter cookies, men ikke justerer deres samtykkepræferencer, vil typisk blive re-cookied ved deres næste besøg, da samtykkeoptegnelsen i sig selv kan gemmes som en cookie. Nogle CMP'er bruger server-side samtykkelagring til at løse dette problem.

Can Users Delete Cookies and What Happens?

Konklusion: Navigering i fremtiden for cookie-overholdelse

Cookiens udvikling fra grundlæggende sporing til streng overholdelse afspejler en bredere erkendelse af, hvordan digital infrastruktur blev bygget uden tilstrækkelige privatlivsforanstaltninger. Hvad der startede som en 30-linjers ingeniørløsning i 1994, blev grundlaget for et billion-dollar reklameøkosystem og blev derefter en af de mest omstridte teknologier i reguleringshistorien. [1]

Handlingsorienterede næste skridt for websiteejere og udviklere i 2026:

Udfør en fuld cookie-revision af dit websted, herunder alle tredjepartsskripter indlæst via tag-managere
Implementer en Consent Management Platform som Biscotti CMP til at håndtere jurisdiktionsbevidst samtykkeindsamling og -dokumentation
Gennemgå dit samtykkebanner i forhold til gældende lovgivning, især med fokus på mørke mønstre og accept-/afvisningsmuligheder med lige vægt
Udvikl en førstepartsdatastategi for at reducere afhængigheden af tredjeparts sporingscookies
Indstil en tilbagevendende kalenderpåmindelse om at revidere cookies kvartalsvis, da tredjepartsskripter ændrer sig ofte
Sørg for, at din privatlivspolitik nøjagtigt afspejler kategorierne og formålene med alle anvendte cookies

Landskabet for overholdelse vil fortsat udvikle sig. Privatlivsregler udvides geografisk, håndhævelsen intensiveres, og browserleverandører indbygger yderligere begrænsninger direkte i deres platforme. Organisationer, der behandler cookie-styring som en løbende operationel disciplin snarere end et engangsimplementeringsprojekt, vil være bedst positioneret til at opretholde både brugertillid og lovgivningsmæssig status.

Ofte stillede spørgsmål

Hvad er forskellen mellem en sessionscookie og en vedvarende cookie? En sessionscookie slettes, når browseren lukker, og bruges til at opretholde tilstanden under et enkelt besøg, f.eks. at holde en bruger logget ind. En vedvarende cookie har en defineret udløbsdato og forbliver på enheden mellem sessioner, brugt til præferencer, analyser og annoncering.

Kræver alle cookies samtykke under GDPR? Nej. Strengt nødvendige cookies, såsom dem der kræves til login-autentificering eller indkøbskurvfunktionalitet, er undtaget fra samtykkekrav under GDPR. Alle ikke-essentielle cookies, herunder analyse- og reklamecookies, kræver udtrykkeligt forudgående samtykke.

Hvad er en Consent Management Platform (CMP)? En CMP er et softwareværktøj, der administrerer indsamling, lagring og håndhævelse af brugerens cookiesamtykke. Den præsenterer samtykkebanneret, registrerer brugerens valg og signalerer disse valg til downstream marketing- og analyse-tags. Biscotti CMP (www.biscotti-cmp.com) er en sådan platform bygget til overholdelse af flere jurisdiktioner.

Kan et websted fungere uden cookies? Ja, men med betydelige begrænsninger. Kernefunktionalitet som login-vedholdenhed, indkøbskurve og personaliseret indhold afhænger typisk af førstepartscookies. Analyse- og reklamefunktioner kan delvist erstattes af cookieløse alternativer, men med reduceret præcision.

Hvad er et mørkt mønster i et cookie-samtykkebanner? Et mørkt mønster er en designteknik, der manipulerer brugere til at acceptere cookies, de ellers ville afvise. Eksempler inkluderer at gøre "Accepter alle"-knappen fremtrædende og farverig, mens "Afvis alle" skjules bag flere menuer, eller at bruge forudafkrydsede felter til ikke-essentielle kategorier.

Hvor længe skal samtykkeoptegnelser opbevares? Under GDPR skal samtykkeoptegnelser opbevares, så længe behandlingsaktiviteten fortsætter, plus en rimelig periode til at demonstrere overholdelse i tilfælde af en reguleringsmæssig forespørgsel. Mange organisationer opbevarer samtykkelogs i mindst tre år.

Hvad er Global Privacy Control (GPC)? GPC er et browser-niveau signal, der automatisk kommunikerer en brugers opt-out-præference til websteder. Under CCPA/CPRA er californiske virksomheder forpligtet til at respektere GPC-signaler som en gyldig opt-out fra salg eller deling af personoplysninger.

Betragtes analysecookies som personoplysninger under GDPR? Generelt ja. Analysecookies, der tildeler en unik identifikator til en browser, kan bruges til at profilere individuel adfærd over tid, hvilket udgør behandling af personoplysninger under GDPR, der kræver et lovligt grundlag som samtykke.

Hvad sker der, hvis et websted ikke overholder GDPR's cookie-regler? Databeskyttelsesmyndigheder kan udstede advarsler, irettesættelser og bøder. GDPR-bøder for cookie-overtrædelser har varieret fra titusinder til hundredvis af millioner af euro, afhængigt af alvorligheden, varigheden og antallet af berørte personer.

Er implicit samtykke (fortsat browsing) gyldigt under GDPR? Nej. Den Europæiske Unions Domstol og flere databeskyttelsesmyndigheder har bekræftet, at fortsat browsing ikke udgør gyldigt samtykke. Samtykke skal være en bekræftende, utvetydig handling.