GDPR og cookies: Hvad skal din hjemmeside overholde i 2026?

GDPR og cookies: Hvad skal din hjemmeside overholde i 2026? Kort fortalt skal enhver dansk hjemmeside indhente et gyldigt cookiesamtykke, før der sættes ikke-nødvendige cookies, have en opdateret privatlivspolitik, sikre databehandleraftaler med de værktøjer, der behandler persondata, og kunne dokumentere hvordan data håndteres. Selve reglerne er ikke nye – GDPR har eksisteret siden 2018 – men håndhævelsen er blevet strengere, og Datatilsynet holder løbende øje med især cookiebannere og tracking-værktøjer som Google Analytics og Meta Pixel. For mange små og mellemstore virksomheder betyder det, at en hjemmeside, der fungerede fint for få år siden, i dag kan være i strid med reglerne – typisk fordi cookiebanneret ikke lever op til kravene, eller fordi der mangler en databehandleraftale med de systemer, der bruges.

Hvad er GDPR, og hvorfor er det stadig relevant i 2026?

GDPR (General Data Protection Regulation) er EU’s persondataforordning, der regulerer, hvordan virksomheder må indsamle, opbevare og bruge personoplysninger. I Danmark er det Datatilsynet, der fører kontrol med, at reglerne overholdes. Selvom forordningen har eksisteret i flere år, er den stadig lige så relevant i 2026, fordi antallet af digitale værktøjer på en typisk hjemmeside er vokset markant – fra bookingsystemer og nyhedsbreve til chatbots og annoncepixels. Hver eneste af disse værktøjer kan indsamle persondata, og det er virksomhedens ansvar – ikke leverandørens – at det sker lovligt. Mange virksomheder tror fejlagtigt, at ansvaret automatisk flyttes over på fx webbureauet eller platformen, når man bruger et tredjepartsværktøj. Sådan fungerer det ikke: det er den dataansvarlige – altså virksomheden selv – der hæfter for, at persondata behandles korrekt, uanset hvilke systemer der bruges til at gøre det.

Hvilke krav stiller cookiereglerne til din hjemmeside?

Cookiereglerne hænger tæt sammen med GDPR, men reguleres også af den danske cookiebekendtgørelse. Kravene er i store træk uændrede fra tidligere år, men Datatilsynet har strammet grebet om, hvordan samtykke reelt skal indhentes. Konkret betyder det, at din hjemmeside skal:

• Vise et cookiebanner, før der sættes cookies til statistik eller markedsføring
• Give brugeren lige nemme muligheder for at acceptere og afvise cookies – ikke kun en fremtrædende “accepter alle”-knap
• Lade brugeren tilvælge cookies pr. kategori, fx statistik og marketing hver for sig
• Gøre det muligt at trække sit samtykke tilbage lige så nemt, som det blev givet
• Undlade at indlæse tracking-scripts, før der er givet samtykke

Skal alle cookies godkendes af brugeren?

Nej. Tekniske cookies, der er nødvendige for at siden fungerer – fx en cookie, der husker indholdet i en kurv på en webshop – kræver ikke aktivt samtykke. Til gengæld skal brugeren stadig informeres om dem i cookiepolitikken. Alt, hvad der bruges til statistik, personalisering eller markedsføring, kræver derimod et aktivt og informeret samtykke, inden det aktiveres.

Hvilke typer af cookies findes der, og hvordan behandles de forskelligt?

I praksis inddeles cookies typisk i fire kategorier, som cookiebanneret bør afspejle tydeligt over for brugeren:

Denne opdeling er ikke bare juridisk pynt – den gør det også nemmere for brugeren at forstå, hvad de rent faktisk siger ja til, hvilket er en central del af selve definitionen på et gyldigt og informeret samtykke.

Hvad skal din persondatapolitik indeholde i 2026?

En privatlivspolitik er ikke bare en formalitet – det er dokumentation for, at virksomheden tager sit ansvar alvorligt. Den bør som minimum beskrive, hvilke persondata der indsamles (fx via kontaktformularer, nyhedsbrevstilmelding eller webshopkøb), hvorfor data indsamles, hvor længe de opbevares, og hvem der har adgang til dem. Den skal også oplyse brugerens rettigheder – retten til indsigt, sletning og dataportabilitet – samt kontaktoplysninger på den ansvarlige i virksomheden. Mangler denne dokumentation, er det ofte det første, Datatilsynet påpeger ved en klage. Bygger du en helt ny hjemmeside i 2026, er det oplagt at få de juridiske tekster og cookieopsætningen tænkt ind fra starten – det er blandt andet noget, vi lægger vægt på, når vi laver en ny hjemmeside til kunder, så virksomheden slipper for at rette det til bagefter.

Hvornår har du brug for en databehandleraftale?

Så snart en ekstern leverandør behandler persondata på virksomhedens vegne, skal der laves en databehandleraftale (DPA). Det gælder typisk hostingudbyderen, e-mailmarketing-systemet, CRM-systemet og webshopplatformen. Aftalen fastlægger, hvad leverandøren må bruge data til, hvordan data beskyttes, og hvad der sker, hvis der sker et databrud. Mange leverandører har en standardaftale klar, men det er virksomhedens ansvar at sørge for, at aftalen faktisk er underskrevet og opbevaret – ikke bare, at den findes et sted online. Driver du webshop, er det særligt relevant, fordi betalingsløsninger, fragtmodul og markedsføringsværktøjer ofte alle behandler kundedata hver for sig. Når vi bygger en ny webshop, gennemgår vi derfor altid, hvilke systemer der er koblet på, så det er tydeligt, hvor der skal aftaler på plads.

Hvad med nyhedsbreve og markedsføring via e-mail?

Nyhedsbreve og markedsføringsmails er et af de områder, hvor mange virksomheder utilsigtet kommer i konflikt med både GDPR og markedsføringsloven. Man må kun sende markedsføringsmails til folk, der aktivt har givet samtykke – en forudkrydset boks eller et “tilmeld dig automatisk ved køb” er ikke tilstrækkeligt. Samtykket skal desuden kunne dokumenteres, så virksomheden kan vise, hvornår og hvordan en person tilmeldte sig. Det samme gælder, hvis man bruger retargeting-lister baseret på e-mails eller telefonnumre fra kundelisten – det kræver ofte et selvstændigt samtykke ud over det generelle cookiesamtykke, fordi det er en anden form for databehandling.

Hvad sker der, hvis din hjemmeside ikke overholder GDPR og cookiereglerne?

Konsekvenserne spænder bredt. I den milde ende kan Datatilsynet give en påtale og et krav om at rette op inden for en given frist. I mere alvorlige sager – fx gentagne overtrædelser eller manglende vilje til at rette fejl – kan der udstedes en bøde. For mange små virksomheder er den reelle risiko dog mere praktisk: potentielle B2B-kunder, offentlige udbud og samarbejdspartnere stiller i stigende grad krav om, at leverandørens hjemmeside og databehandling er i orden, før de vil indgå en aftale. Manglende styr på GDPR og cookies kan derfor koste forretning, længe før det når Datatilsynets bord.

Hvem har det praktiske ansvar internt i virksomheden?

I mindre virksomheder er der sjældent en dedikeret DPO (Data Protection Officer), og det er heller ikke et krav for de fleste små og mellemstore virksomheder. Men der bør altid være en navngiven person – typisk ejeren eller en marketingansvarlig – der ved, hvilke systemer der behandler persondata, hvor databehandleraftalerne ligger, og hvem der skal kontaktes, hvis en kunde beder om at få slettet sine data. Uden den klarhed ender ansvaret ofte med at ligge hos den, der tilfældigvis sidder med hjemmesiden eller webshoppen, hvilket sjældent er en holdbar løsning i længden.

Sådan sikrer du, at hjemmesiden er klar til 2026

Det behøver ikke at være en stor opgave at komme i mål, men det kræver, at man går det systematisk igennem. En god tjekliste ser typisk sådan ud:

• Gennemgå hvilke cookies og tracking-scripts der reelt sættes på siden i dag
• Opdater cookiebanneret, så det giver reelt frit valg mellem acceptér og afvis
• Sørg for, at ikke-nødvendige cookies først indlæses efter samtykke
• Gennemgå og opdater privatlivspolitikken, så den matcher det, siden faktisk gør
• Få styr på databehandleraftaler med hosting, nyhedsbrevsystem og webshopplatform
• Dokumenter, hvem i virksomheden der er ansvarlig for persondata og GDPR
• Tjek at nyhedsbrevstilmeldinger bygger på et aktivt, dokumenteret samtykke

Mange virksomheder opdager først disse mangler, når de alligevel skal have lavet en ny hjemmeside eller webshop – og det er faktisk et godt tidspunkt at rydde op på, fordi cookieopsætning og juridiske tekster kan bygges ind i løsningen fra starten frem for at blive et lappeløsning oven på en gammel platform.

Ofte stillede spørgsmål

Skal alle danske hjemmesider have et cookiebanner?

Ja, hvis siden bruger cookies til andet end rent tekniske funktioner – fx statistik eller markedsføring. Rent tekniske cookies kræver ikke samtykke, men skal stadig fremgå af cookiepolitikken.

Er Google Analytics et problem i forhold til GDPR?

Google Analytics kræver samtykke, før det indlæses, og virksomheden skal have en databehandleraftale med Google. Det er ikke ulovligt at bruge, men det skal sættes korrekt op med samtykkestyring.

Hvor ofte skal privatlivspolitikken opdateres?

Der er ingen fast tidsgrænse, men den bør opdateres, hver gang der sker ændringer i, hvilke data der indsamles, eller hvilke systemer der bruges – fx ved skift af CRM, nyhedsbrevsystem eller webshopplatform.

Kan man få en bøde for et forkert cookiebanner?

Ja, Datatilsynet kan i princippet udstede bøder ved gentagne eller alvorlige overtrædelser. I praksis starter de fleste sager dog med en påtale og en frist til at rette fejlen.

Hvad er forskellen på GDPR og cookiereglerne?

GDPR er den overordnede persondataforordning, mens cookiereglerne er en mere specifik dansk regulering af, hvordan cookies må sættes og hvornår der kræves samtykke. De to regelsæt overlapper og skal begge overholdes samtidigt.

Skal en lille virksomhed have en dedikeret DPO?

Nej, de fleste små og mellemstore virksomheder er ikke forpligtet til at have en Data Protection Officer. Der bør dog altid være en person internt, der har overblik over, hvilke systemer der behandler persondata, og hvor aftalerne ligger.