To bedrifter i samme gate gjør hver sin feil.

Bakeriet har et cookie-banner som dekker halve skjermen på mobil. Du må trykke «godta» for å se åpningstidene. Nettsiden deres setter ingen informasjonskapsler i det hele tatt — banneret er der fordi de fikk høre at «alle må ha det».

Elektrikeren to dører ned har Google Analytics på siden, ingen banner og ingen personvernerklæring, og har aldri fått høre noe.

Begge tror de har gjort det riktig. Den ene irriterer kundene sine uten grunn, den andre har et faktisk problem.

Hva som endret seg 1. januar 2025

Norge fikk ny ekomlov. Den viktigste endringen for deg som driver en nettside: samtykke til informasjonskapsler må nå oppfylle kravene til gyldig samtykke etter personvernforordningen.

I praksis betyr det at de gamle triksene er ute. Et banner der «godta alle» er en stor farget knapp og «avvis» er grå småskrift, er ikke et fritt valg. En setning som sier «ved å bruke nettsiden godtar du bruk av informasjonskapsler» er ikke et samtykke i det hele tatt.

Datatilsynet og Nkom fører tilsyn sammen. Det første gebyret etter den nye loven kom allerede i februar 2025, og Datatilsynet publiserte samme vår en veiledning med ti konkrete råd. Den er verdt en halvtime hvis du bruker sporingsverktøy.

Regelen er enklere enn banneret får den til å virke

Du trenger samtykke for å lagre eller lese informasjon på besøkendes utstyr — med ett unntak: det som er strengt nødvendig for å levere tjenesten den besøkende har bedt om.

Strengt nødvendig er en kort liste. Handlekurven i en nettbutikk. Innlogging. Å huske at noen allerede har svart på cookie-spørsmålet.

Alt annet krever at den besøkende sier ja først. Analyseverktøy også, selv om du bare vil vite hvor mange som var innom. Særlig analyseverktøy, faktisk, for det er der de fleste små nettsider har sitt eneste problem.

Bruker du et analyseverktøy som setter informasjonskapsler? Google Analytics gjør det. Da trenger du samtykke før det lastes — ikke etter, ikke samtidig.

Bygger du inn noe fra en annen tjeneste? YouTube-video, Google Maps, et bookingsystem, en Facebook-feed. Slikt innhold setter som regel sine egne informasjonskapsler i det øyeblikket det lastes, og det skjer i ditt navn på din side.

Har du sporingspiksler fra annonsering? Meta-piksel, Google Ads-konvertering, LinkedIn Insight. Samme svar.

Er svaret nei på alle tre, trenger du sannsynligvis ikke banner. Da er banneret ditt ikke bare unødvendig, det er skadelig: du ber kundene om noe du ikke trenger, og du lærer dem at siden din er en hindring.

Personvernerklæring er noe annet

Dette blandes hele tiden sammen. Cookie-banneret handler om hva som lagres på maskinen til den besøkende. Personvernerklæringen handler om hva du gjør med opplysninger om folk — uansett hvor de kommer fra.

Har du et kontaktskjema, behandler du personopplysninger. Navn og e-postadresse er personopplysninger. Da skal besøkende kunne finne ut hvem som er ansvarlig, hva opplysningene brukes til, hvor lenge de lagres og hvilke rettigheter de har.

Det gjelder selv om nettsiden din ikke setter en eneste informasjonskapsel. Bakeriet fra innledningen trenger altså ikke banner, men de trenger sannsynligvis en personvernerklæring.

Skjemaet ditt er den delen folk glemmer

Et kontaktskjema føles ikke som databehandling. Det føles som en e-post.

Men innsendingene blir liggende et sted, og de blir liggende lenge. Vi har sett innbokser der det fortsatt ligger henvendelser fra 2019, med telefonnummer og alt folk skrev i fritekstfeltet. Ingen har bestemt at de skal lagres for alltid. Ingen har bestemt noe som helst — det er nettopp problemet.

Bestem en slettefrist, skriv den i erklæringen, og hold den. Vår egen personvernerklæring er skrevet etter samme mal, hvis du vil se hvordan det ser ut i praksis.

Hva Sitekit gjør med dette

Vi automatiserer den tekniske delen. Du bestemmer fortsatt formålene og går gjennom teksten — det er din bedrift som er behandlingsansvarlig, og det kan ikke settes bort til programvare.

Dette skjer av seg selv:

Personvernerklæringen genereres ut fra hva nettsiden din faktisk gjør, på alle språkene du har, og oppdateres når du legger til et skjema eller bygger inn noe.
Samtykkebanneret vises bare når siden trenger det. Har du ingen sporing og ingen innebygd tredjepart, møter besøkende ingen banner.
Innebygd innhold lastes først etter samtykke, og boksen sier hvem innholdet kommer fra. «Denne videoen lastes fra YouTube» er informert samtykke. «Denne siden bruker cookies» er det ikke.
Skjemainnsendinger slettes automatisk etter 90 dager.
Analysen bruker verken informasjonskapsler eller tredjepartsskript. Unike besøkende telles med en statistisk metode som ikke lagrer noe som identifiserer den enkelte — du får vite hvor mange, ikke hvem.

Det siste punktet er grunnen til at mange Sitekit-nettsider ikke trenger banner i det hele tatt. Du får vite hvilke sider som besøkes og hvor trafikken kommer fra, uten å be noen om lov, fordi du ikke tar noe du må be om lov til.

Det billigste banneret er det du ikke trenger

Start med å telle: hvor mange tredjeparter laster nettsiden din egentlig? Hos de fleste små bedrifter er svaret én eller to, og begge kom inn fordi noen la dem til uten å tenke over det.

Fjern det du ikke bruker. Så står du igjen med et enklere spørsmål, og ofte med et banner du kan slette.

Dette er ikke juridisk rådgivning, og driver du med helseopplysninger eller store mengder kundedata, bør du snakke med noen som kan feltet. Men for en vanlig bedriftsnettside med et kontaktskjema og et ønske om å vite hvor mange som var innom, er det fullt mulig å gjøre dette riktig uten å plage en eneste besøkende.

Se hva som følger med av personvern og SEO. Skal du i gang med nettsiden først, er hva den koster og hvorfor ingen finner den på Google de to andre spørsmålene folk stiller oss.