Cookies og informasjonskapsler: hva de er, hvordan de fungerer på nettsiden og hva loven krever

Definisjon

Cookies (informasjonskapsler) er små tekstfiler som en nettside lagrer i den besøkendes nettleser for å huske informasjon mellom besøk, som innloggingsstatus, innholdet i handlekurven eller sporingsdata for annonsering.

Hva er cookies, og hvordan fungerer de teknisk?

En cookie, eller informasjonskapsel, er en liten tekstfil, ofte bare noen få kilobyte, som webserveren sender til den besøkendes nettleser når en side lastes. Nettleseren lagrer filen lokalt og sender den tilbake ved neste forespørsel til samme domene. Det gjør at nettsiden kan kjenne igjen den besøkende uten å måtte lagre informasjonen på serveren.

Cookies inneholder typisk en unik ID, en utløpstid og domenenavnet de tilhører. Øktcookies lever bare til nettleseren lukkes. Varige cookies blir liggende i nettleseren til utløpstiden går ut, ofte fra 30 dager til 2 år avhengig av formålet.

Typer cookies på en nettside

Cookies deles inn i fire hovedkategorier etter funksjon:

• Nødvendige cookies: Kreves for at nettsiden skal fungere: innlogging, handlekurv, økthåndtering. Krever ikke samtykke, fordi de er strengt nødvendige for tjenesten den besøkende har bedt om.
• Analysecookies: Måler trafikk og atferd, for eksempel Google Analytics eller Plausible. Krever samtykke.
• Funksjonelle cookies: Lagrer preferanser som språk, region eller valuta. Krever ofte samtykke.
• Markedsføringscookies: Sporer besøkende på tvers av nettsider for annonsering, for eksempel Meta Pixel eller Google Ads-tagger. Krever alltid samtykke.

Cookies og GDPR: hva loven krever av nettsiden din

GDPR og ePrivacy-direktivet, som i Norge er gjennomført i ekomloven § 3-15, krever at besøkende gir informert samtykke før ikke-nødvendige cookies settes. Siden den nye ekomloven trådte i kraft 1. januar 2025, skal samtykket oppfylle kravene til samtykke i personvernforordningen (GDPR). Samtykket skal være frivillig, spesifikt, informert og mulig å trekke tilbake.

• Frivillig: En forhåndsavkrysset boks regnes ikke som samtykke
• Spesifikt: Den besøkende skal kunne velge hvilke kategorier han eller hun godtar
• Informert: Tydelig forklaring av hva hver kategori gjør
• Mulig å trekke tilbake: Enkelt å angre samtykket når som helst

I Norge deler Datatilsynet og Nkom tilsynet med reglene: Nkom vurderer om en teknisk løsning omfattes og om unntakene gjelder, mens Datatilsynet vurderer om informasjonen er god nok og om samtykket oppfyller kravene i GDPR.

Cookiesamtykke på nettsiden: teknisk implementering

De vanligste løsningene for cookiesamtykke er CMP-er (Consent Management Platforms) som CookieYes, Axeptio eller Usercentrics. De håndterer banneret, blokkerer cookies til samtykke er gitt, lagrer samtykket og dokumenterer det for revisjoner.

Førstepartscookies vs. tredjepartscookies

Førstepartscookies settes av domenet den besøkende befinner seg på, og regnes som mer personvernvennlige. Tredjepartscookies settes av eksterne domener, typisk annonsører. Safari og Firefox blokkerer dem allerede som standard, mens Google i 2025 valgte å beholde dem i Chrome.

Utviklingen går mot sporing på serversiden (server-side tracking) og innsamling av førstepartsdata. For nettbutikker og annonsører betyr det økte investeringer i egne dataflyter og CRM-integrasjon for å beholde målbarheten.