Consent Management Platform (CMP): samtykkeverktøy for cookies, GDPR og Google

Definisjon

En Consent Management Platform (CMP) er et verktøy som viser cookiebanneret, samler inn og dokumenterer den besøkendes samtykke og sender signalene videre til analyse- og annonseverktøy, slik at ingen sporingscookies settes uten godkjenning.

Hva er en Consent Management Platform (CMP)?

En Consent Management Platform (CMP), eller samtykkeløsning, er et verktøy som håndterer den besøkendes valg rundt datainnsamling på nettsiden din. Den viser cookiebanneret, samler inn og dokumenterer samtykket og sender deretter signaler til analyse- og annonseverktøyene dine om hva de har lov til å gjøre. Til den besøkende har godtatt, blokkerer CMP-en sporingscookies, og hvert valg lagres som dokumentasjon i tilfelle en tilsynsmyndighet skulle spørre.

Hva gjør en CMP i praksis?

En CMP tar seg av fire grunnleggende oppgaver:

• Viser samtykkebanneret og innhenter et aktivt valg, uten forhåndsavkryssede bokser.
• Skanner nettsiden og kategoriserer cookies og sporingsskript automatisk.
• Lagrer og dokumenterer hver besøkendes valg med tidsstempel, som bevis ved en kontroll.
• Signaliserer valget videre til verktøy som Google Tag Manager, GA4 og annonsenettverk, slik at ingenting som sporer, aktiveres uten godkjenning.

CMP og GDPR: det juridiske kravet

GDPR regulerer hvordan personopplysninger kan behandles; ePrivacy-direktivet, som i Norge er gjennomført i ekomloven § 3-15, regulerer cookies og sporing i den besøkendes nettleser. Sammen krever de at den besøkende gir et frivillig, spesifikt og informert samtykke før ikke-nødvendige cookies settes. GDPR krever ikke formelt at du bruker akkurat en CMP, men i praksis er det den eneste rimelige måten å oppfylle kravet på hvis nettsiden din bruker sporingscookies, fordi manuell dokumentasjon av hver besøkendes valg ikke er håndterbart. I Norge deler Datatilsynet og Nkom tilsynet med reglene for informasjonskapsler.

CMP og Google: Consent Mode, Ads og GA4

Her gjør mange norske nettsider en feil: de skiller ikke mellom annonsører og publisister. Skillet avgjør hva du faktisk trenger:

• Annonsører (du kjører Google Ads eller GA4 mot EØS-trafikk): du trenger Google Consent Mode v2 korrekt implementert. CMP-en samler inn samtykket og sender signalene. En Google-sertifisert CMP anbefales, men er ikke et formelt krav; signalene må bare sendes riktig.
• Publisister (du viser Google-annonser via AdSense eller Ad Manager): siden 16. januar 2024 har det vært krav om en Google-sertifisert CMP som støtter IAB TCF, for å vise personlig tilpassede annonser til brukere i EØS og Storbritannia.

Kilde: Google AdSense Help.

IAB TCF: hva det er

IAB TCF (Transparency and Consent Framework) er et felles bransjerammeverk som gjør at en CMP kan kommunisere den besøkendes samtykke til hundrevis av annonsenettverk i et standardisert format, en såkalt TC String. Gjeldende versjon er TCF v2.3, aktiv siden mars 2026. Du trenger TCF-støtte først og fremst hvis du er publisist og selger annonseplass. For de fleste vanlige bedrifter holder det med en CMP som støtter Consent Mode.

Trenger du en CMP? Tre tilfeller

• Ja: hvis nettsiden din bruker analyseverktøy som GA4, Meta Pixel, annonsenettverk eller andre sporingscookies. Da trenger du en CMP, og spørsmålet er hvilken, ikke om.
• Kanskje ikke: hvis du bytter ut GA4 med et cookiefritt analyseverktøy (for eksempel Plausible eller Umami) og ikke har annen tredjepartssporing. Da faller samtykkekravet for analyse bort, selv om du fortsatt trenger en personvernerklæring.
• Nei: hvis du bare bruker strengt nødvendige førstepartscookies (innlogging, økt) og ingen sporing i det hele tatt.

Vanlige CMP-verktøy

Noen etablerte CMP-er, uten innbyrdes rangering: Cookiebot (populær i Norden, sterk GTM-integrasjon), Usercentrics, OneTrust (enterprise), CookieYes, Complianz (WordPress), Axeptio og Iubenda. Bygger du i Webflow, finnes også Finsweet Cookie Consent, som er laget spesifikt for plattformen.