Måste din hemsida ha en cookie-banner – och vad krävs för att den ska vara laglig?

Kort svar: troligen ja

Om din hemsida använder Google Analytics, en Meta-pixel, en chatt-widget eller något annat som sätter cookies för statistik eller marknadsföring – ja, du behöver en cookie-banner. Och sedan 2025 räcker det inte längre med en enkel ruta som säger "vi använder cookies, ok?". Integritetsskyddsmyndigheten (IMY) har börjat slå ner på just den typen av banners, och flera svenska företag har fått böter för att de gjort det för lätt att acceptera och för krångligt att neka.

Det låter obehagligt, men det är faktiskt ganska enkelt att göra rätt. Problemet är att de flesta cookie-verktyg som säljs in till småföretag fortfarande är byggda på gamla regler.

Vad är det egentligen du behöver samtycke för?

Inte allt. Cookies som krävs för att sidan ska fungera – till exempel att ett bokningsformulär kommer ihåg vad du fyllt i, eller att en inloggning håller sig kvar – behöver inget samtycke. De är undantagna eftersom sidan helt enkelt inte fungerar utan dem.

Det som kräver samtycke är allt som samlar in information om besökaren i andra syften: Google Analytics som räknar besök, en Facebook- eller TikTok-pixel som spårar konverteringar, YouTube-videor som är inbäddade på ett sätt som sätter spårningscookies, eller chatt-widgets från tredjepartsleverantörer. Har du något av det på sajten är svaret ja – du behöver en banner.

Så ser en banner ut som faktiskt håller

IMY:s beslut från april 2025 var tydliga på en punkt: "acceptera" och "neka" måste vara lika enkla att klicka på. Ingen stor grön knapp för ja och en liten grå textlänk för nej gömd längst ner. Det räknas som ett så kallat dark pattern – ett designtrick för att pressa fram samtycke – och är precis det IMY nu bötfäller för.

Tre saker en godkänd banner måste göra

Den måste visa ett tydligt "neka"-alternativ direkt, inte gömt bakom fler klick. Den måste låta besökaren välja bland kategorier – till exempel statistik och marknadsföring separat – om du använder flera typer av cookies. Och viktigast: sajten får inte sätta några spårningscookies innan besökaren faktiskt har klickat ja. Många äldre banner-lösningar laddar Google Analytics direkt när sidan öppnas och frågar om lov i efterhand – det är precis tvärtom mot vad lagen kräver.

Vad händer om du struntar i det?

Ärligt talat: IMY jagar just nu de stora bolagen först, och böterna som synts i media – mellan 300 000 kronor och 12 miljoner – har gått till större aktörer. Som enmansföretagare med en hantverksfirma blir du sannolikt inte förstavalet. Men risken är inte noll, och det finns en enklare anledning att fixa det ändå: en banner som bryter mot reglerna syns. Kunder som bryr sig om integritet lägger märke till det, och det är inte det första intrycket du vill ge någon som just hittat dig via Google.

Så kommer du igång utan att krångla till det

Börja med att faktiskt ta reda på vad din sajt sätter för cookies – de flesta webbläsare visar det om du högerklickar och inspekterar sidan, eller så frågar du den som byggt sajten. Om du bara har en enkel presentationssida utan Analytics eller pixlar kanske du inte behöver någon banner alls. Har du spårning behöver du ett verktyg som faktiskt blockerar cookies tills samtycke ges, inte bara visar en ruta ovanpå.

Det här är samma typ av sak som tillgänglighetskraven jag skrev om tidigare – ett lagkrav som är lätt att missa eftersom ingen knackar på din dörr och påminner dig, förrän det plötsligt spelar roll. Läs gärna den artikeln också om du vill se vad mer som ändrats för svenska hemsidor senaste åren.

Bygger jag en sajt åt dig hanteras det här från start – rätt banner, ingen spårning innan samtycke, inga överraskningar när IMY uppdaterar riktlinjerna nästa gång. Är du osäker på vad din nuvarande sajt gör kan du alltid höra av dig, så tittar jag på det med dig.