Raskt svar: ePrivacy-direktivet og GDPR er to distinkte, men overlappende EU-lover som sammen regulerer samtykke til informasjonskapsler og personvern på nettet. ePrivacy-direktivet setter spesifikke regler for plassering av informasjonskapsler på brukernes enheter, mens GDPR definerer standardene for gyldig samtykke. De fleste nettsteder som opererer i EU må overholde begge, og fra 2026 er det en stor lovgivningsmessig omlegging på gang som kan konsolidere informasjonskapselreglene direkte inn i GDPR.
Viktige punkter
- ePrivacy-direktivet (2002, oppdatert 2009) er den primære loven som krever samtykke før ikke-essensielle informasjonskapsler settes; GDPR (2018) definerer hva "gyldig samtykke" faktisk betyr.
- Begge lover gjelder samtidig for de fleste EU-rettede nettsteder, den ene erstatter ikke den andre.
- Det foreslåtte ePrivacy-forordningen ble formelt trukket tilbake av Europakommisjonen i februar 2025.
- Digital Omnibus-pakken, avduket i november 2025, foreslår å integrere regler for samtykke til informasjonskapsler i GDPR via nye artikler 88a og 88b.
- Essensielle (strengt nødvendige) informasjonskapsler er unntatt fra samtykkekravene under ePrivacy-direktivet.
- ePrivacy-direktivet har blitt transponert forskjellig i EU-medlemslandene, noe som skaper variasjon i samsvar fra land til land.
- En studie fra 2026 fant at bare 30,66 % av nettstedene hadde en "avvis alle"-knapp, noe som indikerer utbredt manglende samsvar [7].
- Informasjonskapselsamtykkebannere kan tilfredsstille begge lover, men bare hvis de oppfyller GDPRs betingelser for fritt gitt, spesifikt, informert og entydig samtykke.
- Samtykkehåndteringsplattformer (CMP-er) må tilpasse seg samtykkesignaler på nettlesernivå under de foreslåtte endringene i GDPR [3].
Hva er forskjellen mellom ePrivacy-direktivet og GDPR
ePrivacy-direktivet og GDPR tjener forskjellige, men komplementære funksjoner. ePrivacy-direktivet (Direktiv 2002/58/EC, endret av 2009/136/EC) er en sektor-spesifikk lov som regulerer personvernet for elektronisk kommunikasjon, inkludert bruken av informasjonskapsler og lignende sporings-teknologier. GDPR er en generell databeskyttelsesforordning som setter det juridiske rammeverket for behandling av personopplysninger på tvers av alle sektorer, inkludert definisjonen og kravene for gyldig samtykke.
Den viktigste distinksjonen:
| Funksjon | ePrivacy-direktiv | GDPR |
|---|---|---|
| Juridisk form | EU-direktiv (krever nasjonal transponering) | EU-forordning (direkte anvendelig) |
| Primært fokus | Informasjonskapsler, sporing, elektronisk kommunikasjon | All behandling av personopplysninger |
| Samtykkestandard | Krever samtykke for ikke-essensielle informasjonskapsler | Definerer hva gyldig samtykke betyr |
| Håndhevelsesorgan | Nasjonale telekom-/DPA-regulatorer | Nasjonale databeskyttelsesmyndigheter |
| Status (2026) | Fortsatt i kraft; reform på vent | I kraft; foreslåtte endringer pågår |
Fordi ePrivacy-direktivet er et direktiv snarere enn en forordning, har hvert EU-medlemsland transponert det til nasjonal lov forskjellig, noe som gir variasjon i håndhevelse og spesifikke krav på tvers av land [6].
Må du overholde både ePrivacy-direktivet og GDPR, eller bare én
Begge lover gjelder samtidig, og samsvar med den ene tilfredsstiller ikke den andre. ePrivacy-direktivet forteller deg når du trenger samtykke (før du setter ikke-essensielle informasjonskapsler); GDPR forteller deg hvordan det samtykket må se ut (fritt gitt, spesifikt, informert, entydig og kan trekkes tilbake når som helst) [5].
Tenk på det på denne måten: ePrivacy-direktivet er utløseren, og GDPR er standarden. Et informasjonskapselbann som teknisk sett vises før informasjonskapsler lastes inn, men bruker forhåndsmerkede bokser, ville bryte GDPRs samtykkekrav, selv om det nominelt overholder ePrivacy-direktivets varslingsplikt.
Vanlig feil: Å anta at et informasjonskapselvarsel (som informerer brukerne om at informasjonskapsler eksisterer) er tilstrekkelig. Under begge rammeverk er passiv varsling ikke samtykke for ikke-essensielle informasjonskapsler.
Hvordan gjelder ePrivacy-direktivet for informasjonskapsler på nettstedet ditt
ePrivacy-direktivet krever at nettstedsoperatører innhenter forhånds- og informert samtykke før de lagrer eller får tilgang til informasjon på en brukers enhet, dette dekker informasjonskapsler, piksler, lokal lagring og lignende teknologier [6]. Denne forpliktelsen gjelder uavhengig av om dataene som samles inn kvalifiserer som personopplysninger under GDPR.
Praktisk betyr dette:
- Ingen ikke-essensielle informasjonskapsler kan aktiveres før en bruker tar en bekreftende handling for å gi samtykke.
- Samtykkemekanismen må være klar og ikke bundet sammen med aksept av vilkår for tjenesten.
- Brukere må kunne trekke tilbake samtykke like enkelt som de ga det.
Direktivet gjelder for enhver tjeneste som retter seg mot EU-brukere, uavhengig av hvor nettstedsoperatøren er basert.
Hvilke informasjonskapsler krever samtykke under ePrivacy-direktivet vs. GDPR
Under ePrivacy-direktivet kreves samtykke for alle informasjonskapsler unntatt de som er "strengt nødvendige" for en tjeneste som brukeren eksplisitt har bedt om. Under GDPR krever enhver behandling av personopplysninger et lovlig grunnlag, og for sporingsinformasjon er dette grunnlaget nesten alltid samtykke.
Kategorier av informasjonskapsler og samtykkekrav:
- Strengt nødvendige informasjonskapsler (økonomistyring, innloggingsstatus, handlekurv): Ingen samtykke kreves under ePrivacy-direktivet. GDPRs legitime interesse eller kontraktsoppfyllelse kan gjelde.
- Analyseringsinformasjon (f.eks. sidevisningssporing som identifiserer brukere): Samtykke kreves under begge rammeverk.
- Markedsførings- og reklameinformasjon (atferdsmålretting, retargeting): Samtykke kreves under begge rammeverk, dette er den høyeste risikokategorien for håndhevelse.
- Funksjonelle informasjonskapsler (språkpreferanser, UI-innstillinger): Debattert; hvis de behandler personopplysninger, er samtykke den sikreste tilnærmingen.
Blir ePrivacy-direktivet erstattet, og hva er ePrivacy-forordningen
ePrivacy-direktivet blir ikke erstattet av GDPR. Imidlertid var en foreslått ePrivacy-forordning ment å erstatte direktivet med en direkte anvendelig EU-lov. Det forslaget ble formelt trukket tilbake av Europakommisjonen i februar 2025, med henvisning til mangel på forutsigbar enighet blant medlemslandene og forslaget karakter som utdatert gitt nylige teknologiske endringer [2].
ePrivacy-direktivet vs. den foreslåtte ePrivacy-forordningen: Forordningen ville ha vært direkte bindende på tvers av alle medlemsland (og eliminert nasjonale transponeringsforskjeller), men den nådde aldri vedtak.
I stedet introduserte Europakommisjonen Digital Omnibus-pakken den 19. november 2025. Denne pakken foreslår å integrere regler for samtykke til informasjonskapsler direkte inn i GDPR gjennom nye artikler 88a og 88b [2][3]. Artikkel 88a ville definere scenarier der samtykke ikke kreves (som for overføring av elektronisk kommunikasjon eller tjenester som brukeren eksplisitt har bedt om). Artikkel 88b ville innføre krav til automatiserte, maskinlesbare samtykkemekanismer, inkludert samtykkesignaler på nettlesernivå [3].
Fra juli 2026 er Digital Omnibus-pakken fortsatt under lovgivningsprosesser, med endelig tekst forventet innen slutten av 2026 eller tidlig i 2027 [4].
Kreves det samtykke for essensielle informasjonskapsler under ePrivacy-direktivet
Nei. Strengt nødvendige informasjonskapsler er eksplisitt unntatt fra samtykkekravet i ePrivacy-direktivet. Dette er informasjonskapsler uten hvilke tjenesten brukeren aktivt har bedt om ikke kan fungere, for eksempel sesjonsidentifikatorer, autentiseringstokener og handlekurv-informasjonskapsler [6].
Grensecase: "Nødvendig" tolkes smalt. En informasjonskapsel som forbedrer ytelsen eller muliggjør analyser er ikke strengt nødvendig, selv om operatøren anser den som operasjonelt viktig. Når du er i tvil, vær på den sikre siden og kreve samtykke.
Hvordan få gyldig informasjonskapselsamtykke som tilfredsstiller begge forskrifter
Gyldig samtykke under GDPR (og derfor under ePrivacy-direktivet, som henviser til GDPRs samtykkestandarder) må være:
- Fritt gitt, Ingen samtykkemurer eller tvunget sammenkobling med aksept av vilkår.
- Spesifikt, Separat samtykke for hver kategori av informasjonskapsler (analyse, markedsføring osv.).
- Informert, Brukere må vite hva informasjonskapsler gjør og hvem som behandler dataene.
- Entydig, En bekreftende handling er nødvendig; forhåndsmerkede bokser er ugyldige.
- Kan trekkes tilbake, Tilbaketrekking av samtykke må være like enkelt som å gi det [5].
En godt konfigurert samtykkehåndteringsplattform (CMP) håndterer denne arbeidsflyten. Biscotti CMP er designet for å støtte disse kravene, inkludert detaljerte samtykkekategorier og samtykkelogging for revisjonsformål. Med Digital Omnibus-pakken som foreslår samtykkesignaler på nettlesernivå under artikkel 88b, må CMP-er også ta imot og respektere signaler fra nettleserinnstillinger, en betydelig operasjonell endring for bransjen [3].
Kan informasjonskapselbannere tilfredsstille både ePrivacy- og GDPR-krav
Ja, men bare hvis banneret er riktig utformet. Et informasjonskapselbann som oppfyller GDPRs samtykkestandarder, vil også tilfredsstille ePrivacy-direktivets samtykkekrav, fordi direktivet henviser til GDPRs definisjon av samtykke for EU-medlemsland [5][6].
Et compliant banner må:
- Presentere et klart "Aksepter" og "Avvis" (eller tilsvarende) alternativ med lik visuell fremtredelse.
- Ikke bruke mørke mønstre (f.eks. gjøre "Avvis" vanskeligere å finne enn "Aksepter").
- Blokkere ikke-essensielle informasjonskapsler inntil samtykke er gitt.
- Registrere og lagre samtykke med tidsstempel og versjonsreferanse.
- La brukere endre preferansene sine når som helst.
En studie fra 2026 fant at bare 30,66 % av nettstedene hadde en "avvis alle"-knapp, noe som betyr at flertallet av de undersøkte nettstedene sannsynligvis ikke oppfyller samsvarforventningene [7].
Finnes det land der ePrivacy-direktivet ikke gjelder
ePrivacy-direktivet gjelder for alle EU-medlemsland. Imidlertid, fordi det er et direktiv (ikke en forordning), har hvert land transponert det til nasjonal lov med noe variasjon i omfang, håndhevelsesprioriteringer og straffer [6]. Land utenfor EU, inkludert Storbritannia etter Brexit, har sine egne ekvivalente lover (Storbritannias regler for personvern og elektronisk kommunikasjon, eller PECR).
Velg ditt samsvarsgrunnlag basert på hvor brukerne dine er lokalisert, ikke bare hvor virksomheten din er registrert. Et amerikansk selskap med betydelig EU-trafikk må overholde både ePrivacy-direktivet (som transponert i relevante medlemsland) og GDPR.
Hva skjer hvis du ikke overholder ePrivacy-direktivet
Manglende overholdelse av ePrivacy-direktivet (som transponert til nasjonal lov) kan resultere i bøter og håndhevelsesaksjoner fra nasjonale regulatorer. Straffene varierer fra medlemsland til medlemsland, men kan være betydelige, og brudd på GDPR utløst av ugyldig samtykke (for eksempel behandling av personopplysninger via sporingsinformasjon uten et gyldig juridisk grunnlag) kan medføre bøter på opptil 4 % av global årlig omsetning eller 20 millioner euro, avhengig av hva som er høyest [5].
Nasjonale databeskyttelsesmyndigheter (DPA-er) fortsetter å aktivt undersøke og bøtelegge organisasjoner for feil med informasjonskapselsamtykke [1]. Håndhevelsesaksjoner har målrettet både store plattformer og små operatører.
Vanlige samsvarsfeil:
- Aktivere analyse- eller reklameinformasjon ved sideinnlasting før samtykke er registrert.
- Bruke samtykkebannere som ikke blokkerer informasjonskapsler før interaksjon.
- Unnlate å respektere tilbaketrekking av samtykke raskt.
- Ikke oppdatere samtykkeposter når informasjonskapselpolicyer endres.
- Behandle informasjonskapselvarsler som ekvivalent med samtykkemekanismer.
Hvor lenge kan informasjonskapsler lagres under ePrivacy-direktivet
ePrivacy-direktivet spesifiserer ikke en maksimal lagringsperiode for informasjonskapsler direkte. Imidlertid gjelder GDPRs prinsipper for dataminimering og lagringsbegrensning der informasjonskapsler behandler personopplysninger. Samtykke bør være tidsbegrenset, og regulatorer forventer generelt at organisasjoner ber om samtykke på nytt periodisk, vanligvis nevnes 12 måneder som et rimelig intervall, selv om dette ikke er en hard lovbestemt grense [6].
Praktisk veiledning: Sett utløpsperioder for informasjonskapsler proporsjonale med deres formål. En sesjonsinformasjon bør utløpe når nettleseren lukkes. En analyseringsinformasjon trenger ikke en toårs levetid hvis seks måneder tjener samme formål.
Hva er vanlige feil selskaper gjør med ePrivacy-samsvar
Utover problemene nevnt ovenfor, vises flere mønstre konsekvent i håndhevelsesaker og revisjoner:
- Implisitt samtykke: Å anta at fortsatt surfing utgjør samtykke. Dette har blitt eksplisitt avvist av EU-domstoler og DPA-er.
- Bundlet samtykke: Å kombinere informasjonskapselsamtykke med aksept av personvernerklæring i ett klikk.
- Inkonsekvent geo-målretting: Å anvende strengere samtykkeregler bare for brukere fra visse land mens sporingsinformasjon serveres til andre, en risiko gitt at håndhevelse kan følge brukerens plassering.
- Ignorere nasjonale variasjoner: Å anta at en enkelt bannerkonfigurasjon tilfredsstiller alle EU-medlemsland, når noen land faktisk har strengere nasjonale krav [6].
- Ingen samtykke-revisjonsspor: Å unnlate å loggføre hva brukerne samtykket til, når, og under hvilken versjon av personvernerklæringen [1].
Konklusjon
Forholdet mellom ePrivacy-direktivet og GDPR: Navigering i EUs informasjonskapselregler er ikke et spørsmål om å velge én rammeverk over den andre, begge gjelder, og begge må tilfredsstilles. ePrivacy-direktivet definerer når samtykke er nødvendig for informasjonskapsler; GDPR definerer hvordan gyldig samtykke ser ut. Sammen danner de det juridiske grunnlaget for samsvar med informasjonskapsler på tvers av EU.
Det regulatoriske landskapet er i endring. Forslaget til ePrivacy-forordning ble trukket tilbake tidlig i 2025, og Digital Omnibus-pakken foreslår nå å integrere informasjonskapselregler direkte inn i GDPR gjennom artikler 88a og 88b. Endelig tekst forventes innen slutten av 2026 eller tidlig i 2027, men nåværende forpliktelser forblir fullt ut i kraft i mellomtiden.
Handlingsbare neste steg for 2026:
- Revider nettstedets informasjonskapselatferd for å bekrefte at ingen ikke-essensielle informasjonskapsler aktiveres før samtykke er innhentet.
- Gjennomgå samtykkebanneret ditt for mørke mønstre og sikre at "avvis"-alternativer er like fremtredende som "aksepter".
- Implementer en CMP som Biscotti CMP som logger samtykkeposter og støtter detaljert kategorihåndtering.
- Følg med på fremdriften til Digital Omnibus-pakken og vurder om CMP-leverandøren din forbereder seg på støtte for samtykkesignaler på nettlesernivå.
- Sjekk den nasjonale transponeringen av ePrivacy-direktivet i hvert EU-medlemsland der du har betydelig brukertrafikk.
FAQ
Q: Er GDPR en erstatning for ePrivacy-direktivet for informasjonskapsler?
Nei. GDPR og ePrivacy-direktivet eksisterer side om side. ePrivacy-direktivet forblir den primære loven som krever samtykke for informasjonskapsler; GDPR regulerer hva gyldig samtykke betyr og hvordan personopplysninger behandlet via informasjonskapsler må håndteres.
Q: Hva er ePrivacy-forordningen, og kommer den fortsatt?
ePrivacy-forordningen var en foreslått EU-lov ment å erstatte ePrivacy-direktivet med en direkte anvendelig forordning. Den ble formelt trukket tilbake av Europakommisjonen i februar 2025 og vil ikke gå videre i sin nåværende form.
Q: Hva er Digital Omnibus-pakken?
Digital Omnibus-pakken, avduket i november 2025, er et EU-lovgivningsforslag som vil forenkle digital regulering ved å integrere regler for samtykke til informasjonskapsler i GDPR via nye artikler 88a og 88b. Fra juli 2026 er den fortsatt under lovgivningsgjennomgang.
Q: Er analyseringsinformasjon unntatt fra samtykkekrav?
Nei. Analyseringsinformasjon som identifiserer individuelle brukere eller enheter er ikke-essensielle og krever forhåndssamtykke under ePrivacy-direktivet, uavhengig av om de brukes til kommersielle formål.
Q: Kan en informasjonskapselmur (som blokkerer tilgang med mindre brukerne aksepterer informasjonskapsler) utgjøre gyldig samtykke?
Generelt nei. EU-regulatorer og domstoler har funnet at samtykke oppnådd gjennom informasjonskapselmurer ikke er fritt gitt under GDPR, fordi brukerne ikke har noe reelt valg. Noen nasjonale DPA-er tillater informasjonskapselmurer i begrensede omstendigheter hvis et betalt alternativ tilbys, men dette forblir omstridt.
Q: Hvor ofte må brukere bli bedt om å gi samtykke til informasjonskapsler på nytt?
Det er ingen fast lovbestemt periode, men regulatorer forventer generelt at samtykke blir oppdatert når formålene eller informasjonskapsellisten endres vesentlig, eller etter en rimelig periode (ofte nevnt som 12 måneder i praksis). Samtykke oppnådd under en tidligere versjon av en personvernerklæring kan ikke dekke nye behandlingsaktiviteter.
Q: Hva er en strengt nødvendig informasjonskapsel?
En strengt nødvendig informasjonskapsel er en uten hvilken en tjeneste eksplisitt bedt om av brukeren ikke kan fungere, for eksempel en innloggingssesjonstoken eller en handlekurvidentifikator. Disse er unntatt fra samtykkekravet i ePrivacy-direktivet.
Q: Gjelder ePrivacy-direktivet for ikke-EU-virksomheter?
Ja, hvis disse virksomhetene retter seg mot eller betjener brukere lokalisert i EU. Det territorielle omfanget følger brukerens plassering, ikke operatørens registrerte adresse.
Q: Hva bør jeg se etter i en samtykkehåndteringsplattform?
En compliant CMP bør blokkere ikke-essensielle informasjonskapsler før samtykke, støtte detaljerte samtykkekategorier, loggføre samtykke med tidsstempler, tillate enkel tilbaketrekking, og være forberedt på å støtte samtykkesignaler på nettlesernivå som kreves under de foreslåtte endringene i GDPR.
Q: Kan jeg bruke et enkelt informasjonskapselbann for hele EU?
Et enkelt banner kan fungere som et grunnlag, men fordi ePrivacy-direktivet har blitt transponert forskjellig i medlemslandene, kan noen land ha strengere krav. Juridisk gjennomgang mot hver målmarkeds nasjonale lov er tilrådelig for nettsteder med høy trafikk.
Referanser
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai