Snabbt svar: ePrivacy-direktivet och GDPR är två distinkta men överlappande EU-lagar som gemensamt reglerar kak-samtycke och online-integritet. ePrivacy-direktivet sätter de specifika reglerna för att placera kakor på användarnas enheter, medan GDPR definierar standarderna för giltigt samtycke. De flesta webbplatser som verkar inom EU måste följa båda, och från och med 2026 pågår en stor lagstiftningsöversyn som kan konsolidera kakregler direkt i GDPR.
Viktiga punkter
- ePrivacy-direktivet (2002, uppdaterat 2009) är den primära lagen som kräver samtycke innan icke-nödvändiga kakor sätts; GDPR (2018) definierar vad "giltigt samtycke" faktiskt innebär.
- Båda lagarna gäller samtidigt för de flesta EU-vända webbplatser, den ena ersätter inte den andra.
- Det föreslagna ePrivacy-förordningen drogs formellt tillbaka av Europeiska kommissionen i februari 2025.
- Digital Omnibus-paketet, som presenterades i november 2025, föreslår att integrera kak-samtyckesregler i GDPR via nya artiklar 88a och 88b.
- Nödvändiga (strikt nödvändiga) kakor är undantagna från samtyckeskraven enligt ePrivacy-direktivet.
- ePrivacy-direktivet har transponerats olika i EU:s medlemsstater, vilket skapar variation i efterlevnad per land.
- En studie från 2026 visade att endast 30,66 % av webbplatserna hade en "avvisa alla"-knapp, vilket indikerar utbredd brist på efterlevnad [7].
- Kak-samtyckesbanderoller kan uppfylla båda lagarna, men endast om de uppfyller GDPR:s villkor för fritt givet, specifikt, informerat och entydigt samtycke.
- Samtyckeshanteringsplattformar (CMP) kommer att behöva anpassa sig till samtyckessignaler på webbläsarnivå under de föreslagna GDPR-ändringarna [3].
Vad är skillnaden mellan ePrivacy-direktivet och GDPR
ePrivacy-direktivet och GDPR tjänar olika men komplementära funktioner. ePrivacy-direktivet (Direktiv 2002/58/EG, ändrat av 2009/136/EG) är en sektorsspecifik lag som reglerar integriteten vid elektronisk kommunikation, inklusive användningen av kakor och liknande spårningsteknologier. GDPR är en allmän dataskyddsförordning som sätter den rättsliga ramen för behandling av personuppgifter över alla sektorer, inklusive definitionen och kraven för giltigt samtycke.
Den viktigaste skillnaden:
| Funktion | ePrivacy-direktiv | GDPR |
|---|---|---|
| Juridisk form | EU-direktiv (kräver nationell transposition) | EU-förordning (direkt tillämplig) |
| Primärt fokus | Kakor, spårning, elektronisk kommunikation | All behandling av personuppgifter |
| Samtyckesstandard | Kräver samtycke för icke-nödvändiga kakor | Definierar vad giltigt samtycke innebär |
| Tillsynsmyndighet | Nationella telekom-/DPA-regulatorer | Nationella dataskyddsmyndigheter |
| Status (2026) | Fortfarande i kraft; reform på gång | I kraft; föreslagna ändringar pågår |
Eftersom ePrivacy-direktivet är ett direktiv snarare än en förordning har varje EU-medlemsstat transponerat det i nationell lag på olika sätt, vilket ger variation i efterlevnad och specifika krav mellan länder [6].
Måste du följa både ePrivacy-direktivet och GDPR, eller bara en av dem
Båda lagarna gäller samtidigt, och efterlevnad av en uppfyller inte den andra. ePrivacy-direktivet berättar när du behöver samtycke (innan icke-nödvändiga kakor sätts); GDPR berättar vad det samtycket måste se ut som (fritt givet, specifikt, informerat, entydigt och återkallbart när som helst) [5].
Tänk på det så här: ePrivacy-direktivet är utlösaren, och GDPR är standarden. En kakbanner som tekniskt sett visas innan kakor laddas men använder förkryssade rutor skulle bryta mot GDPR:s samtyckeskrav, även om den nominellt följer ePrivacy-direktivets anmälningsskyldighet.
Vanligt misstag: Att anta att en kakavisering (som informerar användare om att kakor finns) är tillräcklig. Under båda ramverken är passiv anmälan inte samtycke för icke-nödvändiga kakor.
Hur tillämpas ePrivacy-direktivet på kakor på din webbplats
ePrivacy-direktivet kräver att webbplatsoperatörer får föregående, informerat samtycke innan de lagrar eller får åtkomst till information på en användares enhet, detta omfattar kakor, pixlar, lokal lagring och liknande teknologier [6]. Denna skyldighet gäller oavsett om de insamlade uppgifterna kvalificerar som personuppgifter enligt GDPR.
Praktiskt innebär detta:
- Inga icke-nödvändiga kakor får aktiveras innan en användare vidtar en bekräftande åtgärd för att ge samtycke.
- Samtyckesmekanismen måste vara tydlig och inte sammanblandas med acceptans av användarvillkor.
- Användare måste kunna återkalla sitt samtycke lika enkelt som de gav det.
Direktivet gäller för alla tjänster som riktar sig till EU-användare, oavsett var webbplatsoperatören är baserad.
Vilka kakor kräver samtycke enligt ePrivacy-direktivet vs. GDPR
Enligt ePrivacy-direktivet krävs samtycke för alla kakor utom de som är "strikt nödvändiga" för en tjänst som uttryckligen begärts av användaren. Enligt GDPR kräver all behandling av personuppgifter en laglig grund, och för spårningskakor är den grunden nästan alltid samtycke.
Kak-kategorier och samtyckeskrav:
- Strikt nödvändiga kakor (sessionshantering, inloggningsstatus, varukorg): Inget samtycke krävs enligt ePrivacy-direktivet. GDPR:s legitima intresse eller kontraktsuppfyllande grund kan tillämpas.
- Analytiska kakor (t.ex. sidvisningsspårning som identifierar användare): Samtycke krävs enligt båda ramverken.
- Marknadsförings- och reklamakakor (beteendemässig riktning, retargeting): Samtycke krävs enligt båda ramverken, detta är den högst riskabla kategorin för efterlevnad.
- Funktionella kakor (språkpreferenser, UI-inställningar): Debatterat; om de behandlar personuppgifter är samtycke den säkraste metoden.
Blir ePrivacy-direktivet ersatt, och vad är ePrivacy-förordningen
ePrivacy-direktivet ersätts inte av GDPR. Emellertid var en föreslagen ePrivacy-förordning avsedd att ersätta direktivet med en direkt tillämplig EU-lag. Det förslaget drogs formellt tillbaka av Europeiska kommissionen i februari 2025, med hänvisning till bristen på förutsebar överenskommelse bland medlemsstaterna och förslagets föråldrade karaktär med tanke på de senaste teknologiska förändringarna [2].
ePrivacy-direktivet vs. det föreslagna ePrivacy-förordningen: Förordningen skulle ha varit direkt bindande över alla medlemsstater (vilket skulle eliminera skillnader i nationell transposition), men den nådde aldrig antagande.
I dess ställe introducerade Europeiska kommissionen Digital Omnibus-paketet den 19 november 2025. Detta paket föreslår att integrera kak-samtyckesregler direkt i GDPR genom nya artiklar 88a och 88b [2][3]. Artikel 88a skulle definiera scenarier där samtycke inte krävs (såsom för överföring av elektronisk kommunikation eller tjänster som uttryckligen begärts av användaren). Artikel 88b skulle införa krav på automatiserade, maskinläsbara samtyckesmekanismer, inklusive samtyckessignaler på webbläsarnivå [3].
Från och med juli 2026 är Digital Omnibus-paketet fortfarande under lagstiftningsprocesser, med slutlig text förväntad i slutet av 2026 eller början av 2027 [4].
Kräver nödvändiga kakor samtycke enligt ePrivacy-direktivet
Nej. Strikt nödvändiga kakor är uttryckligen undantagna från ePrivacy-direktivets samtyckeskrav. Dessa är kakor utan vilka den tjänst som användaren aktivt begärt inte kan fungera, till exempel sessionsidentifierare, autentiseringstokens och varukorgskakor [6].
Gränsfall: "Nödvändig" tolkas snävt. En kaka som förbättrar prestanda eller möjliggör analys är inte strikt nödvändig, även om operatören anser att den är operativt viktig. När du är osäker, luta dig mot att kräva samtycke.
Hur får du giltigt kak-samtycke som uppfyller båda förordningarna
Giltigt samtycke enligt GDPR (och därmed enligt ePrivacy-direktivet, som hänvisar till GDPR:s samtyckesstandarder) måste vara:
- Fritt givet, Inga samtyckesväggar eller tvångsbundna med acceptans av villkor.
- Specifikt, Separat samtycke för varje kategori av kakor (analys, marknadsföring, etc.).
- Informerat, Användare måste veta vad kakor gör och vem som behandlar uppgifterna.
- Entydigt, En bekräftande åtgärd krävs; förkryssade rutor är ogiltiga.
- Återkalleligt, Att återkalla samtycke måste vara lika enkelt som att ge det [5].
En välkonfigurerad Samtyckeshanteringsplattform (CMP) hanterar detta arbetsflöde. Biscotti CMP är utformad för att stödja dessa krav, inklusive detaljerade samtyckeskategorier och samtyckesloggning för revisionsändamål. Med Digital Omnibus-paketet som föreslår samtyckessignaler på webbläsarnivå enligt artikel 88b, kommer CMP:er också att behöva ta emot och respektera signaler från webbläsarinställningar, en betydande operationell förändring för branschen [3].
Kan kakbanderoller uppfylla både ePrivacy- och GDPR-krav
Ja, men endast om banderollen är korrekt utformad. En kakbanner som uppfyller GDPR:s samtyckesstandarder kommer också att uppfylla ePrivacy-direktivets samtyckeskrav, eftersom direktivet hänvisar till GDPR:s definition av samtycke för EU:s medlemsstater [5][6].
En compliant banner måste:
- Presentera ett tydligt "Acceptera" och "Avvisa" (eller motsvarande) alternativ med lika visuell framträdande.
- Inte använda mörka mönster (t.ex. göra "Avvisa" svårare att hitta än "Acceptera").
- Blockera icke-nödvändiga kakor tills samtycke ges.
- Registrera och lagra samtycke med tidsstämpel och versionsreferens.
- Tillåta användare att ändra sina preferenser när som helst.
En studie från 2026 visade att endast 30,66 % av webbplatserna hade en "avvisa alla"-knapp, vilket innebär att majoriteten av de undersökta webbplatserna sannolikt inte uppfyller efterlevnadens förväntningar [7].
Finns det länder där ePrivacy-direktivet inte gäller
ePrivacy-direktivet gäller i alla EU:s medlemsstater. Men eftersom det är ett direktiv (inte en förordning) har varje land transponerat det i nationell lag med viss variation i omfattning, efterlevnadsprioriteringar och påföljder [6]. Länder utanför EU, inklusive Storbritannien efter Brexit, har sina egna motsvarande lagar (Storbritanniens Privacy and Electronic Communications Regulations, eller PECR).
Välj din efterlevnadsgrund utifrån var dina användare befinner sig, inte bara var ditt företag är registrerat. Ett amerikanskt företag med betydande EU-trafik måste följa både ePrivacy-direktivet (som transponerats i relevanta medlemsstater) och GDPR.
Vad händer om du inte följer ePrivacy-direktivets regler
Bristande efterlevnad av ePrivacy-direktivet (som transponerats i nationell lag) kan resultera i böter och åtgärder från nationella regulatorer. Påföljderna varierar mellan medlemsstaterna men kan vara betydande, och GDPR-överträdelser som utlöses av ogiltigt samtycke (till exempel behandling av personuppgifter via spårningskakor utan en giltig rättslig grund) kan leda till böter på upp till 4 % av den globala årliga omsättningen eller 20 miljoner euro, beroende på vilket som är högst [5].
Nationella dataskyddsmyndigheter (DPA) fortsätter att aktivt undersöka och bötfälla organisationer för brister i kak-samtycke [1]. Tillsynsåtgärder har riktats mot både stora plattformar och små operatörer.
Vanliga efterlevnadsmisstag:
- Aktivera analytiska eller reklamakakor vid sidladdning innan samtycke registreras.
- Använda samtyckesbanderoller som inte blockerar kakor förrän efter interaktion.
- Misslyckas med att snabbt beakta återkallande av samtycke.
- Inte uppdatera samtyckesregister när kakpolicyer ändras.
- Behandla kakaviseringar som likvärdiga med samtyckesmekanismer.
Hur länge kan kakor lagras enligt ePrivacy-direktivets regler
ePrivacy-direktivet specificerar inte en maximal lagringstid för kakor direkt. Men GDPR:s principer om dataminimering och lagringsbegränsning gäller där kakor behandlar personuppgifter. Samtycke bör vara tidsbegränsat, och regulatorer förväntar sig generellt att organisationer ska begära samtycke periodiskt, vanligtvis anges 12 månader som en rimlig intervall, även om detta inte är en hård laglig gräns [6].
Praktisk vägledning: Sätt kakans utgångsperioder i proportion till deras syfte. En sessionskaka bör upphöra att gälla när webbläsaren stängs. En analytisk kaka behöver inte ha en tvåårig livslängd om sex månader tjänar samma syfte.
Vilka vanliga misstag gör företag med ePrivacy-efterlevnad
Förutom de frågor som nämnts ovan, finns det flera mönster som konsekvent dyker upp i tillsynsfall och revisioner:
- Underförstått samtycke: Att anta att fortsatt surfande utgör samtycke. Detta har uttryckligen avvisats av EU-domstolar och DPA.
- Bundlat samtycke: Att kombinera kak-samtycke med acceptans av integritetspolicy i ett enda klick.
- Inkonsekvent geo-riktning: Att tillämpa striktare samtyckesregler endast för användare från vissa länder medan spårningskakor serveras till andra, en risk med tanke på att tillsyn kan följa användarens plats.
- Att ignorera nationella variationer: Att anta att en enda bandkonfiguration uppfyller alla EU:s medlemsstaters krav, när vissa länder faktiskt har striktare nationella krav [6].
- Ingen samtyckesrevisionsspår: Att misslyckas med att logga vad användare samtyckt till, när och under vilken version av integritetsmeddelandet [1].
Slutsats
Relationen mellan ePrivacy-direktivet och GDPR: Navigera i EU:s kakregler handlar inte om att välja en ram över den andra, båda gäller och båda måste uppfyllas. ePrivacy-direktivet definierar när samtycke behövs för kakor; GDPR definierar hur giltigt samtycke ser ut. Tillsammans utgör de den rättsliga grunden för kak-efterlevnad över hela EU.
Den regulatoriska landskapet förändras. Förslaget om ePrivacy-förordningen drogs tillbaka i början av 2025, och Digital Omnibus-paketet föreslår nu att integrera kakregler direkt i GDPR genom artiklarna 88a och 88b. Slutlig text förväntas i slutet av 2026 eller början av 2027, men nuvarande skyldigheter förblir fullt i kraft under tiden.
Handlingsbara nästa steg för 2026:
- Granska din webbplats kakbeteende för att bekräfta att inga icke-nödvändiga kakor aktiveras innan samtycke registreras.
- Granska din samtyckesbanner för mörka mönster och säkerställ att "avvisa"-alternativ är lika framträdande som "acceptera".
- Implementera en CMP som Biscotti CMP som loggar samtyckesregister och stödjer detaljerad kategorihantering.
- Övervaka Digital Omnibus-paketets framsteg och bedöm om din CMP-leverantör förbereder sig för stöd av samtyckessignaler på webbläsarnivå.
- Kontrollera den nationella transpositionen av ePrivacy-direktivet i varje EU-medlemsstat där du har betydande användartrafik.
FAQ
Q: Ersätter GDPR ePrivacy-direktivet för kakor? Nej. GDPR och ePrivacy-direktivet samexisterar. ePrivacy-direktivet förblir den primära lagen som kräver samtycke för kakor; GDPR reglerar vad giltigt samtycke innebär och hur personuppgifter som behandlas via kakor måste hanteras.
Q: Vad är ePrivacy-förordningen, och kommer den fortfarande? ePrivacy-förordningen var en föreslagen EU-lag avsedd att ersätta ePrivacy-direktivet med en direkt tillämplig förordning. Den drogs formellt tillbaka av Europeiska kommissionen i februari 2025 och kommer inte att fortsätta i sin nuvarande form.
Q: Vad är Digital Omnibus-paketet? Digital Omnibus-paketet, som presenterades i november 2025, är ett EU-lagstiftningsförslag som skulle förenkla digital reglering genom att integrera kak-samtyckesregler i GDPR via nya artiklar 88a och 88b. Från och med juli 2026 är det fortfarande under lagstiftningsgranskning.
Q: Är analytiska kakor undantagna från samtyckeskrav? Nej. Analytiska kakor som identifierar individuella användare eller enheter är icke-nödvändiga och kräver föregående samtycke enligt ePrivacy-direktivet, oavsett om de används för kommersiella ändamål.
Q: Kan en kakvägg (blockera åtkomst om inte användare accepterar kakor) utgöra giltigt samtycke? Generellt nej. EU-regulatorer och domstolar har funnit att samtycke som erhållits genom kakväggar inte är fritt givet enligt GDPR, eftersom användare inte har något verkligt val. Vissa nationella DPA tillåter kakväggar i begränsade omständigheter om ett betalt alternativ erbjuds, men detta förblir omtvistat.
Q: Hur ofta måste användare ombes att ge nytt samtycke till kakor? Det finns ingen fast laglig period, men regulatorer förväntar sig generellt att samtycke ska uppdateras när syftena eller kaklistan ändras väsentligt, eller efter en rimlig period (ofta anges 12 månader i praktiken). Samtycke som erhållits under en tidigare version av ett integritetsmeddelande kanske inte täcker nya behandlingsaktiviteter.
Q: Vad är en strikt nödvändig kaka? En strikt nödvändig kaka är en utan vilken en tjänst som uttryckligen begärts av användaren inte kan fungera, till exempel en inloggningssessionstoken eller en identifierare för varukorgen. Dessa är undantagna från ePrivacy-direktivets samtyckeskrav.
Q: Gäller ePrivacy-direktivet för icke-EU-företag? Ja, om dessa företag riktar sig till eller betjänar användare som befinner sig i EU. Den territoriella omfattningen följer användarens plats, inte operatörens registrerade adress.
Q: Vad ska jag leta efter i en Samtyckeshanteringsplattform? En compliant CMP bör blockera icke-nödvändiga kakor innan samtycke ges, stödja detaljerade samtyckeskategorier, logga samtycke med tidsstämplar, möjliggöra enkel återkallelse och vara beredd att stödja samtyckessignaler på webbläsarnivå som krävs enligt de föreslagna GDPR-ändringarna.
Q: Kan jag använda en enda kakbanner för hela EU? En enda banner kan fungera som en grund, men eftersom ePrivacy-direktivet har transponerats olika mellan medlemsstaterna kan vissa länder ha striktare krav. Juridisk granskning mot varje målmarknads nationella lag är rekommenderad för webbplatser med hög trafik.
Referenser
[1] Gdpr Cookie Consent 2026 - https://www.consenteo.com/knowledge-hub/GDPR/gdpr_cookie_consent_2026?utm_source=openai
[2] Baking A New Batch Digital Omnibus And Cookies - https://www.considerati.com/publications/baking-a-new-batch-digital-omnibus-and-cookies/?utm_source=openai
[3] Eu Digital Omnibus Cookie Consent Gdpr 88a 88b Cmp Browser Signals - https://inimino.org/eu-digital-omnibus-cookie-consent-gdpr-88a-88b-cmp-browser-signals/?utm_source=openai
[4] Eu Digital Omnibus And Gdpr Changes - https://www.ontapgroup.com/blog/eu-digital-omnibus-and-gdpr-changes?utm_source=openai
[5] Gdpr Cookie Consent Requirements Banners And Fines - https://legalclarity.org/gdpr-cookie-consent-requirements-banners-and-fines/?utm_source=openai
[6] Eprivacy Directive Cookie Law Guide - https://cookiebeam.com/guides/eprivacy-directive-cookie-law-guide?utm_source=openai
[7] arxiv - https://arxiv.org/abs/2606.31485?utm_source=openai