Ny cookievejledning offentliggjort af Datatilsynet og Digitaliseringsstyrelsen

Når ejere eller udbydere af f.eks. hjemmesider og apps indsamler oplysninger, herunder personoplysninger, om deres brugere gennem cookies og lignende teknologier, skal ejeren eller udbyderen leve op til reglerne i både cookiebekendtgørelsen og databeskyttelsesforordningen/databeskyttelsesloven. Det kan give anledning til udfordringer, når virksomheder, organisationer og offentlige myndigheder skal navigere i krydsfeltet mellem de to regelsæt.

I maj 2025 udgav Datatilsynet og Digitaliseringsstyrelsen derfor en ny vejledning om ”Brug af cookies og lignende teknologier”, som har til formål at gøre det lettere at leve op til begge regelsæt. 

Vejledningen bidrager med konkrete eksempler på do's and don’ts efter hhv. cookie- og databeskyttelsesreglerne. Nogle af hovedpointerne er følgende: 

• Både cookie- og databeskyttelsesreglerne er teknologineutrale. Det betyder, at ikke kun traditionelle cookies er omfattet af reglerne, men også andre former for tracking, f.eks. brug af pixels/web beacons, såkaldt fingerprinting og indsamling af data i apps. 
• Bruger man cookies (eller andre teknologier) er der meget stor sandsynlighed for, at man også behandler persondata. Det kan f.eks. være i form af pixels tags, MAC-adresser, IP-adresser, lokaliseringsdata og identifikationsnumre. 
• Teknisk nødvendige teknologier er undtaget kravet om samtykke efter cookiereglerne. Det kan f.eks. være log-in, brugervalidering, elektroniske indkøbskurve, brugerdefinerede indstillinger, autentificeringsteknologier og load balancing teknologier. Hvis der behandles persondata, skal der dog være et lovligt behandlingsgrundlag, uanset at brugen af cookies er undtaget cookiereglernes samtykkekrav. 
• Der kan være fælles dataansvar med samarbejdspartnere. Mange leverandører og samarbejdspartnere vil være databehandlere, men der vil ofte være tale om fælles dataansvar, hvis en hjemmeside integrerer et plug-in fra tredjeparter, f.eks. sociale medier eller indholdsudbydere mv.   
• Samtykke skal kunne dokumenteres, så længe der behandles oplysninger om den registrerede. Dokumentationskravet kan opfyldes ved såkaldt systemdokumentation, f.eks. i form af skærmprint af de enkelte versioner af samtykkeløsningen, der over tid er anvendt.
• Med vejledningen i hånden handler det som ejer eller udbyder af hjemmesider og apps om at gennemgå eksisterende cookiepolitikker og -teknologier samt overveje aftaler med samarbejdspartnere om fælles dataansvar for at sikre sig, at der er overensstemmelse med lovgivningen på området.  

Brug for hjælp?

Er du i tvivl om, hvordan du bedst sikrer, at din hjemmeside eller app lever op til kravene i cookiebekendtgørelsen og databeskyttelsesreglerne, er du velkommen til at kontakte en af vores specialister.