Kort svar: ePrivacy-direktivet og GDPR er to forskellige, men overlappende EU-love, der i fællesskab regulerer cookie-samtykke og online privatliv. ePrivacy-direktivet fastsætter de specifikke regler for placering af cookies på brugeres enheder, mens GDPR definerer standarderne for gyldigt samtykke. De fleste websteder, der opererer i EU, skal overholde begge, og fra 2026 er en større lovgivningsmæssig revision undervejs, der potentielt kan konsolidere cookie-regler direkte i GDPR.
Nøglepunkter
- ePrivacy-direktivet (2002, opdateret 2009) er den primære lov, der kræver samtykke, før ikke-essentielle cookies sættes; GDPR (2018) definerer, hvad "gyldigt samtykke" faktisk betyder.
- Begge love gælder samtidigt for de fleste EU-rettede websteder; den ene erstatter ikke den anden.
- Den foreslåede ePrivacy-forordning blev formelt trukket tilbage af Europa-Kommissionen i februar 2025.
- Digital Omnibus-pakken, der blev afsløret i november 2025, foreslår at integrere cookie-samtykkeregler i GDPR via nye artikler 88a og 88b.
- Essentielle (strengt nødvendige) cookies er undtaget fra samtykkekrav under ePrivacy-direktivet.
- ePrivacy-direktivet er blevet implementeret forskelligt i EU's medlemsstater, hvilket skaber variation i compliance fra land til land.
- En undersøgelse fra 2026 viste, at kun 30,66 % af webstederne havde en "afvis alle"-knap, hvilket indikerer udbredt manglende overholdelse [7].
- Cookie-samtykkebannere kan opfylde begge love, men kun hvis de opfylder GDPR's betingelser for frit givet, specifikt, informeret og utvetydigt samtykke.
- Consent Management Platforms (CMPs) skal tilpasse sig browser-niveau samtykkesignaler under de foreslåede GDPR-ændringer [3].
Hvad er forskellen mellem ePrivacy-direktivet og GDPR
ePrivacy-direktivet og GDPR tjener forskellige, men komplementære funktioner. ePrivacy-direktivet (direktiv 2002/58/EF, ændret ved 2009/136/EF) er en sektorspecifik lov, der regulerer privatlivets fred inden for elektronisk kommunikation, herunder brugen af cookies og lignende sporingsteknologier. GDPR er en generel databeskyttelsesforordning, der fastsætter den juridiske ramme for behandling af personoplysninger på tværs af alle sektorer, herunder definitionen og kravene til gyldigt samtykke.
Den vigtigste forskel:
| Funktion | ePrivacy-direktivet | GDPR |
|---|---|---|
| Retsform | EU-direktiv (kræver national implementering) | EU-forordning (direkte anvendelig) |
| Primært fokus | Cookies, sporing, elektronisk kommunikation | Al behandling af personoplysninger |
| Samtykkestandard | Kræver samtykke til ikke-essentielle cookies | Definerer, hvad gyldigt samtykke betyder |
| Håndhævelsesorgan | Nationale tele-/databeskyttelsesmyndigheder | Nationale databeskyttelsesmyndigheder |
| Status (2026) | Stadig i kraft; reform afventer | I kraft; foreslåede ændringer undervejs |
Fordi ePrivacy-direktivet er et direktiv snarere end en forordning, har hver EU-medlemsstat implementeret det i national lovgivning forskelligt, hvilket har skabt variation i håndhævelse og specifikke krav på tværs af lande [6].
Skal du overholde både ePrivacy-direktivet og GDPR, eller kun den ene
Begge love gælder samtidigt, og overholdelse af den ene opfylder ikke den anden. ePrivacy-direktivet fortæller dig, hvornår du har brug for samtykke (før du sætter ikke-essentielle cookies); GDPR fortæller dig, hvordan dette samtykke skal se ud (frit givet, specifikt, informeret, utvetydigt og tilbagetrækkeligt til enhver tid) [5].
Tænk på det på denne måde: ePrivacy-direktivet er udløseren, og GDPR er standarden. Et cookie-banner, der teknisk set vises, før cookies indlæses, men bruger forudafkrydsede felter, ville overtræde GDPR's samtykkekrav, selvom det nominelt overholder ePrivacy-direktivets meddelelsespligt.
Almindelig fejl: Antagelse om, at en cookie-meddelelse (der informerer brugere om, at cookies eksisterer) er tilstrækkelig. Under begge rammer er passiv meddelelse ikke samtykke til ikke-essentielle cookies.
Hvordan gælder ePrivacy-direktivet for cookies på dit websted
ePrivacy-direktivet kræver, at webstedsoperatører indhenter forudgående, informeret samtykke, før de gemmer eller får adgang til oplysninger på en brugers enhed; dette dækker cookies, pixels, lokal lagring og lignende teknologier [6]. Denne forpligtelse gælder uanset om de indsamlede data kvalificerer som personoplysninger under GDPR.
Praktisk betyder dette:
- Ingen ikke-essentielle cookies må aktiveres, før en bruger foretager en bekræftende handling for at give samtykke.
- Samtykkemekanismen skal være klar og ikke bundtet med accept af servicevilkår.
- Brugere skal kunne trække samtykke tilbage lige så let, som de gav det.
Direktivet gælder for enhver tjeneste, der retter sig mod EU-brugere, uanset hvor webstedsoperatøren er baseret.
Hvilke cookies kræver samtykke under ePrivacy-direktivet vs. GDPR
Under ePrivacy-direktivet kræves samtykke til alle cookies undtagen dem, der er "strengt nødvendige" for en tjeneste, der udtrykkeligt er anmodet om af brugeren. Under GDPR kræver enhver behandling af personoplysninger et lovligt grundlag, og for sporingscookies er dette grundlag næsten altid samtykke.
Cookie-kategorier og samtykkekrav:
- Strengt nødvendige cookies (sessionsstyring, login-status, indkøbskurv): Intet samtykke kræves under ePrivacy-direktivet. GDPR's legitime interesse eller kontraktmæssige opfyldelsesgrundlag kan gælde.
- Analyse-cookies (f.eks. sporing af sidevisninger, der identificerer brugere): Samtykke kræves under begge rammer.
- Marketing- og reklamecookies (adfærdsmæssig målretning, retargeting): Samtykke kræves under begge rammer; dette er den kategori med højest risiko for håndhævelse.
- Funktionelle cookies (sprogpræferencer, UI-indstillinger): Debatteret; hvis de behandler personoplysninger, er samtykke den sikreste tilgang.
Bliver ePrivacy-direktivet erstattet, og hvad er ePrivacy-forordningen
ePrivacy-direktivet bliver ikke erstattet af GDPR. En foreslået ePrivacy-forordning var dog beregnet til at erstatte direktivet med en direkte anvendelig EU-dækkende lov. Dette forslag blev formelt trukket tilbage af Europa-Kommissionen i februar 2025 med henvisning til manglende forudsigelig enighed blandt medlemsstaterne og forslagets forældede karakter i lyset af de seneste teknologiske ændringer [2].
ePrivacy-direktivet vs. den foreslåede ePrivacy-forordning: Forordningen ville have været direkte bindende på tværs af alle medlemsstater (hvilket ville eliminere nationale implementeringsforskelle), men den blev aldrig vedtaget.
I stedet introducerede Europa-Kommissionen Digital Omnibus-pakken den 19. november 2025. Denne pakke foreslår at integrere cookie-samtykkeregler direkte i GDPR gennem nye artikler 88a og 88b [2][3]. Artikel 88a ville definere scenarier, hvor samtykke ikke er påkrævet (såsom for transmission af elektronisk kommunikation eller tjenester, der udtrykkeligt er anmodet om af brugeren). Artikel 88b ville introducere krav til automatiserede, maskinlæsbare samtykkemekanismer, herunder samtykkesignaler på browserniveau [3].
Fra juli 2026 er Digital Omnibus-pakken stadig under lovgivningsmæssig behandling, med forventet endelig tekst i slutningen af 2026 eller begyndelsen af 2027 [4].
Kræver essentielle cookies samtykke under ePrivacy-direktivet
Nej. Strengt nødvendige cookies er udtrykkeligt undtaget fra ePrivacy-direktivets samtykkekrav. Dette er cookies, uden hvilke den tjeneste, brugeren aktivt har anmodet om, ikke kan fungere, f.eks. sessionsidentifikatorer, autentificeringstokens og indkøbskurvscookies [6].
Særtilfælde: "Nødvendig" fortolkes snævert. En cookie, der forbedrer ydeevnen eller muliggør analyse, er ikke strengt nødvendig, selvom operatøren anser den for operationelt vigtig. I tvivlstilfælde skal du hellere kræve samtykke.
Sådan opnår du gyldigt cookie-samtykke, der opfylder begge forordninger
Gyldigt samtykke under GDPR (og derfor under ePrivacy-direktivet, som henviser til GDPR's samtykkestandarder) skal være:
- Frit givet, Ingen samtykkemure eller tvungen bundling med accept af vilkår.
- Specifikt, Separat samtykke for hver kategori af cookies (analyse, marketing osv.).
- Informeret, Brugere skal vide, hvad cookies gør, og hvem der behandler dataene.
- Utvetydigt, En bekræftende handling er påkrævet; forudafkrydsede felter er ugyldige.
- Tilbagetrækkeligt, Tilbagetrækning af samtykke skal være lige så let som at give det [5].
En korrekt konfigureret Consent Management Platform (CMP) håndterer denne arbejdsgang. Biscotti CMP er designet til at understøtte disse krav, herunder granulære samtykkekategorier og samtykkelogning til revisionsformål. Med Digital Omnibus-pakken, der foreslår samtykkesignaler på browserniveau under artikel 88b, skal CMP'er også indtage og respektere signaler fra browserindstillinger, hvilket er et betydeligt operationelt skift for branchen [3].
Kan cookie-bannere opfylde både ePrivacy- og GDPR-krav
Ja, men kun hvis banneret er korrekt designet. Et cookie-banner, der opfylder GDPR's samtykkestandarder, vil også opfylde ePrivacy-direktivets samtykkekrav, fordi direktivet henviser til GDPR's definition af samtykke for EU-medlemsstater [5][6].
Et compliant banner skal:
- Præsentere en klar "Accepter" og "Afvis" (eller tilsvarende) mulighed med lige visuel fremtræden.
- Ikke bruge mørke mønstre (f.eks. gøre "Afvis" sværere at finde end "Accepter").
- Blokere ikke-essentielle cookies, indtil samtykke er givet.
- Registrere og gemme samtykke med et tidsstempel og versionsreference.
- Tillade brugere at ændre deres præferencer til enhver tid.
En undersøgelse fra 2026 viste, at kun 30,66 % af webstederne havde en "afvis alle"-knap, hvilket betyder, at størstedelen af de undersøgte websteder sandsynligvis ikke lever op til forventningerne om compliance [7].
Er der lande, hvor ePrivacy-direktivet ikke gælder
ePrivacy-direktivet gælder i alle EU-medlemsstater. Men fordi det er et direktiv (ikke en forordning), har hvert land implementeret det i national lovgivning med visse variationer i omfang, håndhævelsesprioriteter og sanktioner [6]. Lande uden for EU, herunder Storbritannien efter Brexit, har deres egne tilsvarende love (Storbritanniens Privacy and Electronic Communications Regulations, eller PECR).
Vælg din compliance-grundlinje baseret på, hvor dine brugere befinder sig, ikke kun hvor din virksomhed er registreret. En amerikansk baseret virksomhed med betydelig EU-trafik skal overholde både ePrivacy-direktivet (som implementeret i relevante medlemsstater) og GDPR.
Hvad sker der, hvis du ikke overholder ePrivacy-direktivets regler
Manglende overholdelse af ePrivacy-direktivet (som implementeret i national lovgivning) kan resultere i bøder og håndhævelsesforanstaltninger fra nationale tilsynsmyndigheder. Sanktionerne varierer fra medlemsstat til medlemsstat, men kan være betydelige, og GDPR-overtrædelser udløst af ugyldigt samtykke (f.eks. behandling af personoplysninger via sporingscookies uden et gyldigt retsgrundlag) medfører bøder på op til 4 % af den globale årlige omsætning eller 20 millioner euro, alt efter hvad der er højest [5].
Nationale databeskyttelsesmyndigheder (DPAs) fortsætter med aktivt at undersøge og bøde organisationer for manglende cookie-samtykke [1]. Håndhævelsesforanstaltninger har rettet sig mod både store platforme og små operatører.
Almindelige compliance-fejl:
- Aktivering af analyse- eller reklamecookies ved sideindlæsning, før samtykke er registreret.
- Brug af samtykkebannere, der ikke blokerer cookies, før efter interaktion.
- Manglende overholdelse af tilbagetrækning af samtykke omgående.
- Ikke opdatering af samtykkeregistre, når cookie-politikker ændres.
- Behandling af cookie-meddelelser som ækvivalente med samtykkemekanismer.
Hvor længe kan cookies gemmes under ePrivacy-direktivets regler
ePrivacy-direktivet specificerer ikke direkte en maksimal opbevaringsperiode for cookies. GDPR's principper om dataminimering og opbevaringsbegrænsning gælder dog, hvor cookies behandler personoplysninger. Samtykke bør være tidsbegrænset, og tilsynsmyndigheder forventer generelt, at organisationer med jævne mellemrum anmoder om samtykke igen; ofte citeres 12 måneder som et rimeligt interval, selvom dette ikke er en hård lovmæssig grænse [6].
Praktisk vejledning: Indstil udløbsperioder for cookies, der er proportionale med deres formål. En sessionscookie bør udløbe, når browseren lukkes. En analyse-cookie behøver ikke en toårig levetid, hvis seks måneder tjener samme formål.
Hvad er almindelige fejl, virksomheder begår med ePrivacy-compliance
Ud over de ovenfor nævnte problemer ses flere mønstre konsekvent i håndhævelsessager og revisioner:
- Implicit samtykke: Antagelse om, at fortsat browsing udgør samtykke. Dette er udtrykkeligt blevet afvist af EU-domstole og databeskyttelsesmyndigheder.
- Bundtet samtykke: Kombinering af cookie-samtykke med accept af privatlivspolitik i et enkelt klik.
- Inkonsekvent geo-targeting: Anvendelse af strengere samtykkeregler kun for brugere fra visse lande, mens sporingscookies serveres til andre, en risiko givet at håndhævelse kan følge brugerens placering.
- Ignorering af nationale variationer: Antagelse om, at en enkelt bannerkonfiguration tilfredsstiller alle EU-medlemsstater, når nogle lande faktisk har strengere nationale krav [6].
- Ingen samtykke-revisionsspor: Manglende logning af, hvad brugere gav samtykke til, hvornår og under hvilken version af privatlivsmeddelelsen [1].
Konklusion
Forholdet mellem ePrivacy-direktivet vs. GDPR: Navigering i EU's cookie-regler er ikke et spørgsmål om at vælge den ene ramme frem for den anden; begge gælder, og begge skal opfyldes. ePrivacy-direktivet definerer, hvornår samtykke er nødvendigt for cookies; GDPR definerer, hvordan gyldigt samtykke ser ud. Sammen udgør de det juridiske grundlag for cookie-compliance i hele EU.
Det regulerende landskab er under forandring. Forslaget til ePrivacy-forordningen blev trukket tilbage i begyndelsen af 2025, og Digital Omnibus-pakken foreslår nu at indarbejde cookie-regler direkte i GDPR gennem artiklerne 88a og 88b. Endelig tekst forventes i slutningen af 2026 eller begyndelsen af 2027, men de nuværende forpligtelser forbliver fuldt ud i kraft i mellemtiden.
Handlingsorienterede næste skridt for 2026:
- Gennemgå dit websteds cookie-adfærd for at bekræfte, at ingen ikke-essentielle cookies aktiveres, før samtykke er indhentet.
- Gennemgå dit samtykkebanner for mørke mønstre og sørg for, at "afvis"-muligheder er lige så fremtrædende som "accepter".
- Implementer en CMP som Biscotti CMP, der logger samtykkeregistre og understøtter granulær kategoristyring.
- Overvåg Digital Omnibus-pakkens fremskridt og vurder, om din CMP-leverandør forbereder sig på understøttelse af samtykkesignaler på browserniveau.
- Kontroller den nationale implementering af ePrivacy-direktivet i hver EU-medlemsstat, hvor du har betydelig brugertrafik.
FAQ
Q: Erstatter GDPR ePrivacy-direktivet for cookies? Nej. GDPR og ePrivacy-direktivet eksisterer side om side. ePrivacy-direktivet forbliver den primære lov, der kræver samtykke til cookies; GDPR regulerer, hvad gyldigt samtykke betyder, og hvordan personoplysninger behandlet via cookies skal håndteres.
Q: Hvad er ePrivacy-forordningen, og kommer den stadig? ePrivacy-forordningen var et foreslået EU-lovforslag, der skulle erstatte ePrivacy-direktivet med en direkte anvendelig forordning. Den blev formelt trukket tilbage af Europa-Kommissionen i februar 2025 og vil ikke fortsætte i sin nuværende form.
Q: Hvad er Digital Omnibus-pakken? Digital Omnibus-pakken, der blev afsløret i november 2025, er et EU-lovgivningsforslag, der ville forenkle digital regulering ved at integrere cookie-samtykkeregler i GDPR via nye artikler 88a og 88b. Fra juli 2026 er den stadig under lovgivningsmæssig gennemgang.
Q: Er analyse-cookies undtaget fra samtykkekrav? Nej. Analyse-cookies, der identificerer individuelle brugere eller enheder, er ikke-essentielle og kræver forudgående samtykke under ePrivacy-direktivet, uanset om de bruges til kommercielle formål.
Q: Kan en cookie-mur (der blokerer adgang, medmindre brugere accepterer cookies) udgøre gyldigt samtykke? Generelt nej. EU-tilsynsmyndigheder og domstole har fundet, at samtykke opnået gennem cookie-mure ikke er frit givet under GDPR, fordi brugere ikke har et reelt valg. Nogle nationale databeskyttelsesmyndigheder tillader cookie-mure under begrænsede omstændigheder, hvis et betalt alternativ tilbydes, men dette er stadig omstridt.
Q: Hvor ofte skal brugere anmodes om at give samtykke til cookies igen? Der er ingen fast lovmæssig periode, men tilsynsmyndigheder forventer generelt, at samtykke fornyes, når formålene eller cookie-listen ændres væsentligt, eller efter en rimelig periode (ofte citeret som 12 måneder i praksis). Samtykke opnået under en tidligere version af en privatlivsmeddelelse dækker muligvis ikke nye behandlingsaktiviteter.
Q: Hvad er en strengt nødvendig cookie? En strengt nødvendig cookie er en cookie, uden hvilken en tjeneste, der udtrykkeligt er anmodet om af brugeren, ikke kan fungere, f.eks. et login-sessionstoken eller en indkøbskurvsidentifikator. Disse er undtaget fra ePrivacy-direktivets samtykkekrav.
Q: Gælder ePrivacy-direktivet for ikke-EU-virksomheder? Ja, hvis disse virksomheder retter sig mod eller betjener brugere i EU. Det territoriale anvendelsesområde følger brugerens placering, ikke operatørens registrerede adresse.
Q: Hvad skal jeg kigge efter i en Consent Management Platform? En compliant CMP skal blokere ikke-essentielle cookies før samtykke, understøtte granulære samtykkekategorier, logge samtykke med tidsstempler, tillade nem tilbagetrækning og være forberedt på at understøtte samtykkesignaler på browserniveau som krævet under de foreslåede GDPR-ændringer.
Q: Kan jeg bruge et enkelt cookie-banner for hele EU? Et enkelt banner kan fungere som en grundlinje, men da ePrivacy-direktivet er blevet implementeret forskelligt i medlemsstaterne, kan nogle lande have strengere krav. Juridisk gennemgang i forhold til hvert målmarkeds nationale lovgivning er tilrådeligt for websteder med høj trafik.
Referencer
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai